"우리 회사도 보안 공시 대상?"…상장사·ISMS 의무기업, 준비 서둘러야
정보보호 공시 의무 확대를 앞두고 기업들이 보안 투자와 인력 현황을 공개하기 위한 준비에 나서야 할 것으로 보인다. 매출 규모가 작아 공시 대상에서 빠졌던 상장사와 정보보호 관리체계(ISMS) 인증의무자까지 대상이 넓어지면서 공시 의무 적용 여부를 확인하고 관련 자료를 관리할 내부 체계를 갖추는 일이 과제로 떠올랐다. 법무법인 태평양은 22일 '정보보호산업법 시행령 개정안 국무회의 통과'와 관련한 분석 자료를 통해 공시 대상 확대와 이용자 수 산정기준 변경, 소기업 적용 유예 등 기업들이 확인해야 할 주요 내용을 안내했다. 지난 20일 국무회의를 통과한 정보보호산업법 시행령 개정안은 기업의 보안 투자와 인력, 관련 인증 현황 등을 공개해야 하는 대상을 확대하는 내용이다. 내년 1월 1일부터 시행될 예정으로, 기존에 공시 의무가 없었던 기업도 새롭게 대상에 포함되는지 확인해야 한다. 기업이 우선 확인할 사항은 상장 여부다. 기존에는 정보보호 최고책임자(CISO) 지정·신고 의무가 있는 기업 중 직전 사업연도 매출액이 3000억원 이상인 코스피·코스닥 상장법인에 공시 의무가 적용됐다. 개정안은 이 두 요건을 삭제하고 기업인수목적회사(SPAC)를 제외한 코스피·코스닥 상장법인 전체로 대상을 확대했다. 법무법인 태평양은 "종전에는 매출액 규모 또는 CISO 지정·신고 의무 여부에 따라 정보보호 공시의무 대상에서 제외됐던 상장법인도 새롭게 공시의무를 부담하게 된다"며 "정보보호 현황 공시를 위한 내부 관리체계를 정비해야 한다"고 설명했다. 상장사가 아닌 기업도 ISMS 인증의무자에 해당하는지 살펴야 할 것으로 보인다. 개정안에 정보통신망법에 따른 ISMS 인증의무자를 정보보호 공시 대상으로 추가했기 때문이다. 주요정보통신서비스 제공자와 집적정보통신시설 사업자, 매출액·이용자 수 등 법령상 기준을 충족하는 정보통신서비스 제공자 등이 이에 해당한다. 이때 확인할 기준은 ISMS 인증 보유 여부가 아니라 법에 따른 인증 의무 여부다. 태평양은 기존 ISMS 인증의무자도 정보보호 현황 공시를 위한 별도의 이행체계를 마련할 필요가 있다고 짚었다. 인증 대응과 함께 투자·인력 등 공시 항목을 관리하고 공개할 준비도 해야 한다는 의미다. 이용자 수를 기준으로 공시 대상 여부를 판단하는 기업은 산정 기간을 바꿔야 한다. 기존에는 전년도 마지막 3개월간 정보통신서비스 부문의 일일평균 이용자 수를 적용했지만, 개정안은 전년도 전체 기간을 기준으로 삼도록 했다. 일일평균 이용자 수 100만명 이상이라는 기준은 유지된다. 기존 방식으로 공시 의무가 없다고 판단했던 기업도 연간 기준으로 다시 계산해볼 필요가 있다. 공공기관과 금융회사, 일부 전자금융업자도 공시 대상 여부를 재점검해야 한다. 개정안은 이들에 대한 공시 의무 적용 제외 규정을 삭제했다. 이에 따라 해당 기관이나 기업은 상장 여부, ISMS 인증 의무 등 시행령상 공시 대상 요건을 충족하는지 확인해야 한다. 소기업은 적용 시점을 구분해 준비해야 한다. 중소기업기본법 시행령에 따른 소기업에는 오는 2029년 1월 1일부터 공시 의무가 적용된다. 적용 유예 여부를 판단하려면 법령상 소기업에 해당하는지 확인하고 이후 공시 대상 요건 충족 여부를 살펴야 한다. 공시 대상 여부를 확인한 기업은 정보보호 투자·인력과 관련 인증 현황 등 공개 항목을 관리할 체계를 점검해야 한다. 새롭게 의무를 부담하는 기업은 공시 자료 확보와 작성에 필요한 내부 업무 절차를 정비하는 작업도 필요하다. 법무법인 태평양은 "기존에 정보보호 공시의무 대상에 해당하지 않았던 기업들도 새롭게 공시의무를 부담할 수 있다"며 "개정 시행령안에 따른 공시의무 적용 여부를 확인하고 정보보호 현황의 관리 및 공시를 위한 내부 체계를 사전에 점검할 필요가 있다”고 밝혔다.
