정보보호 공시 의무, 2027년부터 전체 상장사 등으로 확대 — 「정보보호산업법 시행령」 개정 종합 보고서

0. 먼저 읽어 주십시오 (면책 · 기준일 · 출처 표기법)

면책: 이 문서는 공개된 법령·정부자료·언론보도를 모아 정리한 일반 정보이며 법률 자문(legal advice)이 아닙니다. 특정 회사가 공시 의무 대상인지, 언제 무엇을 공시해야 하는지 등 구체적 판단은 반드시 변호사·회계사 등 전문가와 주무부처(과학기술정보통신부·한국인터넷진흥원)에 확인하십시오.

기준일: 2026-10-20 (이날 국무회의 의결 직후 시점). 이날 기준으로 개정 시행령은 국가법령정보센터(law.go.kr)에 아직 올라오지 않았습니다(공포 전으로 보임). 법령은 자주 바뀌므로 적용 전 law.go.kr 원문과 시행일을 다시 확인하십시오.

계기 기사: 매일경제, 「모든 상장사 정보보호 공시 의무화」, 2026-10-20 17:39, 오찬종 기자 [1]. 이 보고서는 기사를 단서로만 썼고, 기사 본문은 저작권 보호를 위해 옮기지 않았습니다. 모든 결론은 정부 1차 자료로 다시 확인했습니다.

출처 표기 규칙

근거 위계: 법률 > 시행령 > 고시·가이드라인, 그리고 법령 원문·정부 보도자료·규제영향분석서 > 언론. 숫자가 서로 다르면 위계가 높은 자료를 본문 수치로 쓰고, 다른 수치는 2차로 나란히 적었습니다.

자주 나오는 용어 풀이

1. 핵심 요약표 — 무엇이 · 언제 · 누구에게

2. 기사 개요와 정부 발표

2-1. 계기 기사

• 매일경제는 2026-10-20 17:39에 오찬종 기자 이름으로 「모든 상장사 정보보호 공시 의무화」 기사를 냈습니다 [1]. 이 보고서는 기사 본문을 옮기지 않고, 같은 날 정부가 낸 1차 자료로 사실관계를 확인했습니다.

2-2. 과학기술정보통신부 보도자료 (2026-10-20) [2] 1차

보도자료에 없는 것: 대상 기업 수, 공시 기한, 신규 대상의 첫 공시 연도, 공포일·대통령령 번호 [2]. 대상 기업 수는 규제영향분석서 [5]와 종합대책 [14]에서 확인했습니다(5장).

2-3. 언론이 덧붙인 수치 (참고) 2차

• ZDNet은 2026년 의무대상을 693개사로, 개정 후 상장사 대상을 2,648개(코스피 829 + 코스닥 1,819)로 보도했습니다 [35]. 상장사 수의 기준일은 기사에 적혀 있지 않습니다.
• "2,765개사(2025년 기준)"라는 수치는 검색 결과 요약에만 나왔고, 매체와 원문을 특정하지 못했습니다. 정부 1차 자료 어디에도 이 수치는 없습니다 → 미확인.

3. 제도 개요와 연혁

3-1. 제도의 뼈대 (현행 법률) [8] 1차

「정보보호산업법」 [시행 2024. 7. 10.] [법률 제19990호] 기준입니다.

※ 과태료 조항은 제41조입니다(제40조는 비밀누설 벌칙) [8].

3-2. 연표 (2015 제정 → 2016 자율 → 2021 의무화 → 2023 검증 → 2026 확대)

4. 개정 전후 비교 (조문 단위)

4-1. 시행령 제8조 신·구 대비

현행 조문은 law.go.kr 현행본(대통령령 제35801호) [9], 개정안 조문은 2026.1 입법예고 법령안의 신·구조문대비표 [4]·규제영향분석서 조문대비표 [5] 기준입니다. 국무회의를 통과한 최종 조문은 공포 전이라 직접 확인하지 못했습니다 미확인 — 보도자료 [2]의 요약과는 일치합니다.

4-2. 규제영향분석서의 개정 전·후 요약표 [5] 1차

※ 규제영향분석서는 "본 개정안은 모든 공공기관, 금융회사, 소기업을 일괄적으로 의무 지정하는 것이 아니라, 법령에서 정한 사업 분야, 상장 여부, 이용자 수 등 객관적 기준에 해당하는 경우만 공시 의무를 부과하는 것"이라고 밝힙니다 [5]. 즉 예외가 삭제되어도 제1항 각 호 중 하나에 해당해야 대상이 됩니다.

4-3. 두 번의 입법예고와 소기업 유예 — 어느 단계에서 들어갔나

정리: 1월 입법예고안(제2026-10호)에는 소기업 유예가 없었다는 점은 원문으로 확인했습니다. 유예가 5월 재입법예고안(제2026-569호)에서 들어갔다는 점은 조사 노트 기록과 언론 보도가 일치하지만, 재입법예고 법령안 원문 사본은 이번 작업 폴더에 없어 직접 대조하지 못했습니다 → 부분 확인. 최종 부칙(경과조치) 문구는 미확인.

5. 대상 기업

5-1. 현행(개정 전) 의무 대상 유형과 연도별 수

유형 (시행령 제8조제1항·제2항, 현행) [9] 1차

연도별 의무 대상·공시 건수 — 정부 공식 표 (규제영향분석서, 출처 표기 "정보보호 공시 종합포탈, 한국인터넷진흥원") [5] 1차

다른 자료의 수치 (본문 수치는 위 정부 표를 씀)

2026년 의무대상 693개사 내역 (ZDNet 보도) [35] 2차

※ 526+60+35+33+28+11 = 693 [계산]. 한경은 전년 대비 매출 기준 +13, 이용자 기준 +10이라고 보도 [36] 2차.

5-2. 개정 후 대상 유형별 규모 (규제영향분석서) [5] 1차

규제영향분석서(2026.1 입법예고 첨부)의 추정입니다. 기준은 2024년 말이며, 한 회사가 여러 분야에 걸치면 "법령상 상위기준으로 포함하여 중복 제거"했다고 적혀 있습니다.

총괄

※ 666 + 2,359 − 2 = 3,023 [계산]으로 원문 수치끼리 맞습니다.

새로 편입되는 그룹별 수 (규제영향분석서 별첨 "피규제자 수 추정") — 원문은 이 4개 그룹이 "새로 편입되는 기관 및 기업에 한하여 상호 배타적(mutually exclusive)이며 전체를 포괄(collectively exhaustive)"한다고 명시합니다 [5].

피규제자 유형별 표 (규제영향분석서 본문 "피규제집단") [5] 1차

읽는 법 (신규분인지 전체인지): 본문 "피규제집단" 표 자체에는 이 숫자가 '새로 추가되는 수'라는 말이 없습니다. 그래서 1차 출처 정리 파일은 "합계 2,359와 일치하므로 신규 추가분으로 보임 추론"으로 적었습니다. 이번에 규제영향분석서 별첨을 다시 열어 보니, 그룹 A(389)·B(251 = 8+79+164)·C(4)·D(1,715)를 "새로 편입되는" 그룹으로 정의하고 있고, 1,715+4+389+251 = 2,359 [계산]입니다. 따라서 이 숫자들은 신규 편입분이라고 읽는 것이 원문에 맞습니다. 다만 본문 표만 보고 판단하면 추론이라는 점, 그리고 이 분석이 1월 입법예고 시점 자료라서 소기업 유예(재입법예고)와 최종본 반영 여부는 미확인이라는 점을 함께 적어 둡니다.

정책 발표·언론 수치와의 비교

※ 3,023과 약 2,700은 범위가 다릅니다. 종합대책의 2,700은 "상장사 전체로 확대"라는 문맥의 개략 수치이고, 3,023은 ISMS·공공·금융·소기업까지 넣은 규제영향분석 추정치입니다 [5] [14]. 두 수치의 정확한 관계는 정부가 설명하지 않았습니다 미확인.

5-3. 새로 포함되는 유형별 설명

(1) 중소·중견 상장사

• 무엇이 바뀌나: 매출 3,000억원 미만이라도 코스피·코스닥에 상장돼 있으면(스팩 제외) 대상입니다 [2] [4]. 규제영향분석서는 이 이유로 추가되는 기업을 1,715개('24년 말)로 봤습니다 [5].
• 정부가 든 이유 [5] 1차
• KISA 「'25년 상반기 사이버보안 위협 동향 보고서」(2025.8): 국내 침해사고의 93%가 중소·중견기업에서 발생, 국내 상장사 중 중소·중견기업 비율은 83%.
• "상장기업은 투자자 보호를 위한 정보공개에 대해 동일한 책임을 부담하는 만큼 … 기업 규모와 관계없이 동일한 시점에" 지정해야 형평성이 맞음.
• 미국 SEC가 모든 상장사에 사이버보안 공시를 의무화한 점(10장).
• 상장 중소기업·소기업 수 (규제영향분석서 중소기업 영향평가 표) [5] 1차

※ 상장 + 기간통신 합이 원문 합계와 맞습니다(예: 2024 소기업 151+13 = 164) [계산]. 기간통신시설사업자 중 비상장 중소기업은 "공식 통계자료를 통해 확인하는 데 한계가 있어 … 추정"했다고 원문에 적혀 있습니다 [5].

(2) 금융회사·전자금융업자

• 현행: 「전자금융거래법」상 금융회사, 그리고 정보통신업·도소매업이 주된 업종이 아닌 전자금융업자는 의무에서 빠져 있었습니다(시행령 제8조제2항제3·4호) [9].
• 개정 후: 이 예외가 삭제됩니다 [2] [4]. 규제영향분석서는 새로 편입되는 금융회사를 79개사('24년 말)로 봤습니다 [5].
• 주의: 예외가 없어진다고 모든 금융회사가 대상이 되는 것은 아니고, 상장·이용자 수·ISMS 등 제1항 기준 중 하나에 해당해야 합니다 [5]. 참고로 ISMS 의무 기준 중 "정보통신서비스 매출 100억원 이상"과 "일평균 이용자 100만명 이상" 항목은 「전자금융거래법」상 금융회사를 제외합니다(망법 시행령 제49조제2항제2·3호 단서) [18] 1차. 따라서 비상장 금융회사가 어느 경로로 대상이 되는지는 회사별로 따져야 합니다 추론.
• 배경: 금융회사는 그동안 자율 공시만 했습니다. 예: 우리은행은 의무대상이 아닌데도 2020년부터 자율 공시 [51] 2차. 금융사 자율 공시 2025년 16개사, 2026년 26개사라는 보도가 있습니다 [66] [2차, 수치 미확인].
• 관련 입법: 종합대책은 "비상장 금융회사는 전자금융거래법 개정으로 포함"한다고 했습니다 [15] 1차. 유동수 의원 등 10인이 2025-11 발의한 전자금융거래법 개정안(일정 규모 이상 금융회사의 정보보호 예산·인력·지배구조 공시, 과징금 최대 총매출 3%, CEO 최종 책임자 명시)은 2026-10-06 보도 시점까지 정무위 법안심사소위에서 논의되지 않았습니다 [68] [66] 2차. 의안번호 미확인.
• 업계 반응: 금융권 실무자는 취지에 공감하지만 "중소 금융회사의 보안 부담이 커질 것"이라고 했고 [68] 2차, 공청회에서 지정호 토스 CISO는 업권별 보고와 공시가 겹치는 부담을 지적했습니다 [47] 2차.

(3) 공공기관

• 현행: 공공기관은 의무 대상에서 제외(시행령 제8조제2항제1호) [9].
• 개정 후: 예외 삭제 [2]. 규제영향분석서의 신규 공공기관은 8개('24년 말) [5]. 제1항 기준(사업 분야·이용자 수·ISMS 등)에 해당하는 공공기관만 대상입니다 [5].
• 정부가 든 이유: 개인정보보호위원회 자료상 공공기관 개인정보 유출 건수 2022년 64만 건 → 2023년 352만 건 → 2024년 390만 건 [5] [1차, 규제영향분석서 인용]. 학계 서면자문은 "상장법인과 공공기관은 … 즉시 확대 대상으로 지정"하자는 의견이었습니다 [5].
• 다른 공시와의 관계: 공공기관은 이미 「공공기관의 운영에 관한 법률」에 따라 경영공시시스템(ALIO)에 개인정보보호 현황 등을 공개하고 있다고 규제영향분석서가 소개합니다 [5]. 법 제13조제2항 단서("다른 법률의 규정에 따라 정보보호 현황을 공시하는 자는 제외")가 ALIO 공시에 적용되는지는 정부가 설명하지 않았습니다 미확인.

(4) ISMS 인증 의무 대상자 (기준 상세)

• 개정 후 제4호: "전년도 말 기준 정보통신망법 제47조제1항에 따른 인증을 받거나 유지하고 있는 자로서 같은 조 제2항 각 호에 해당하는 자" [4]. 즉 ① ISMS 의무대상자이면서 ② 전년도 말에 실제 인증을 받았거나 유지하고 있는 자입니다. 자율로 ISMS를 받은 회사는 이 조항 문구상 해당하지 않는 것으로 읽힙니다 추론(조문별 이유서는 "ISMS 인증 기업"이라고만 써서 표현이 다름 [6]).
• 규모: 새로 편입되는 ISMS 기업 389개('24년 말) [5].

ISMS 의무 기준 — 정보통신망법 제47조제2항 [17] 1차 (현행 [시행 2026. 10. 2.] [법률 제21988호])

전기통신사업자와 그 역무를 이용해 정보를 제공·매개하는 자로서 다음 중 하나에 해당하는 자는 인증을 받아야 합니다.

제3호의 대통령령 기준 — 정보통신망법 시행령 제49조제2항 [18] 1차 (현행 [시행 2026. 10. 2.] [대통령령 제36728호]; 제49조제1항은 "삭제 <2026. 9. 30.>")

• 인증 현황: 2025-11-20 기준 ISMS·ISMS-P 인증 유지 기업·기관 총 1,222곳(ISMS 921, ISMS-P 301) [57] 2차. 이 수치에는 자율 신청자가 포함되어 있어 의무대상자만의 공식 수는 미확인입니다. 종합대책은 점검 대상으로 "ISMS 인증기업 949개"를 언급했습니다 [14] 1차.
• 기타(언론): 의무대상자는 지정 다음 해 8월 31일까지 인증을 받아야 하고, 미인증 과태료는 최대 3,000만원이라는 보도가 있습니다 [57] 2차. 조문 번호(기사는 "제75조"로 표기)는 미확인.

(5) 소기업

• 현행: 제1항제1호(사업 분야)·제3호(이용자 수) 해당자 중 소기업은 제외 [9].
• 개정 후: 예외 삭제. 다만 2029년 1월 1일부터 적용(2년 유예) [2]. 유예 이유는 "경영 여건 등을 고려" [2].
• 규모: 규제영향분석서상 공시 대상에 해당할 것으로 예상되는 소기업은 2022년 152개, 2023년 175개, 2024년 164개 [5]. 유예 대상 규모가 이 164개와 같은지는 최종 분석이 공개되지 않아 미확인입니다.
• 배경: 공청회에서 김진수 한국정보보호산업협회 수석부회장이 "소기업에는 유예와 지원이 필요"하다고 했고 [47] 2차, 재입법예고안이 중기부·업계 의견을 반영해 소기업 2년 유예를 넣었다는 보도가 있습니다 [59] 2차. 규제영향분석서(1월)는 중소기업 차등화가 "필요성은 낮음"이라며 "차등화 미적용"으로 결론냈었습니다 [5] — 이후 정책 판단이 바뀐 셈입니다 추론.

5-4. 주요 기업 사례 (출처가 있는 것만)

(1) 정보보호 투자 상위 기업 — 2025·2026 공시액 2차

공시 수치는 기업이 KISA 공시 종합포털(isds.kisa.or.kr)에 올린 값을 언론이 보도한 것입니다. 포털 원문은 직접 조회하지 못했습니다 미확인.

• 2026년: SKT와 SK브로드밴드(323억원)를 합하면 약 1,434억원으로 2위에 해당한다는 보도 [42] [44] 2차.
• 네이버 660억3,414만원(IT 대비 4.5%), 카카오 340억4,339만원(IT 대비 4.1%) — 2026년 공시로 보도 [46] 2차. 그런데 서울경제는 네이버의 "2025년 공시 투자액이 약 660억원(+19.5%)"이라고 보도해 공시 연도 표기가 엇갈립니다 [52] 2차 → 미확인.
• 과거 상위: 2023년 공시 삼성전자 2,435억·KT 1,035억·쿠팡 639억·SK하이닉스 590억·SKT 550억원 [39], 2022년 공시 삼성전자 6,939억·KT 1,021억·쿠팡 535억원 [38] 2차. 2022년 삼성전자 수치는 이후 재집계와 관련된 것으로 보이나 미확인.
• 국회입법조사처(2025-05-21 「이슈와 논점」)는 2024년 정보보호 투자를 SKT 600억·KT 1,218억·LGU+ 632억원으로 제시했다는 보도 [67] 2차 — 위 공시 수치와 산정 기준이 다른 것으로 보이며 원문 미확인.

(2) 최근 유출사고 기업과 공시 상태

개인정보보호위원회(PIPC) 의결로 확인한 수치를 본문으로 쓰고, 언론의 다른 수치는 2차로 기준 차이를 적었습니다.

• 2026-09-28부터 신한은행 등 금융사 7곳 고객정보 유출이 보도되었습니다 [66] 2차.
• 정부가 신규 편입 기업 명단을 공개하지 않아, 이 보고서는 특정 회사가 신규 대상이라고 단정하지 않습니다.
• 외국계(마이크로소프트·AWS·오라클·한국IBM)는 의무대상이지만 본사 관리를 이유로 정보를 제출하지 않았다는 보도가 있고 [51], 과기정통부는 본사 데이터를 검증할 수단이 없다고 했다는 보도가 있습니다 [48] 2차.

6. 공시 항목 · 기한 · 절차 · 검증 · 과태료 (실무)

6-1. 공시 항목 — 시행령 제8조제3항 (개정 없음) [9] 1차

• 2025년 도입된 "주석 양식"에는 전략·정책, 조직·체계, 인프라, 인증·평가·활동의 4개 부문을 서술한다는 보도 [53] 2차.
• 전담인력에는 정보보호 업무만 하는 인원만 넣고 겸직자는 빼며, 보안 기능이 일부 들어간 IT 제품은 보안 비용을 분리해야 투자로 인정된다는 보도 [52] 2차.

6-2. 기한·주체·방법 [9] 1차

• 신규 대상의 첫 공시 시점 추론: 시행일이 2027-01-01이고 기한 조항(매년 6월 30일)은 그대로이므로, 새로 대상이 된 기업의 첫 공시 기한은 2027년 6월 30일로 보입니다. 상장 여부·ISMS 여부를 "전년도 말 기준"으로 판단하므로 첫해에는 2026년 말 기준으로 판단하는 것으로 보입니다. 그러나 보도자료·법령안에 이런 명시 문구는 없습니다 [2] [4] → 과기정통부 가이드라인·고시로 확인해야 합니다 미확인.
• 소기업 첫 공시 추론: 2029-01-01 적용이므로 2029년 6월 30일이 첫 기한으로 보입니다 미확인.
• CISO가 없는 회사는?: 개정안은 상장사 기준에서 "CISO를 지정·신고해야 하는 자" 요건을 지웠습니다 [4]. 그런데 제8조제4항은 여전히 "정보보호 최고책임자가 주관"하도록 합니다 [9]. 공청회에서 이종혁 정보보호산업과장은 공시 대상 확대가 CISO 지정 의무로 곧바로 이어지지는 않는다고 설명했다고 보도되었습니다 [47] 2차. CISO 지정 의무가 없는 신규 대상의 공시 주관자를 어떻게 정할지는 미확인(가이드라인 확인 필요).
• 가이드라인은 "매년 개정"된다는 과기정통부 관계자 설명 보도가 있습니다 [52] 2차. 2027년판의 이름·내용과 고시의 정확한 명칭·번호는 미확인.

6-3. 검증 [8] [12] 1차

• 법 제13조제4항: 장관이 공시 내용을 검증하고 사실과 다르면 수정 요청 가능. 제5항: 세부는 과기정통부령(시행규칙 조문은 미확인).
• 시행령 제27조제2항제4호의2: 검증 업무를 KISA에 위탁 [12].
• 검증 실적 2차

• KISA 공시 담당 인력이 3명이고, 추가 검증을 받는 공시는 약 10%라는 보도가 있습니다 [50] 2차.

6-4. 과태료

• 시행령 제28조는 "과태료의 부과기준은 별표 2와 같다"고 합니다 [9]. 별표 2 원문은 첨부 파일이라 직접 열어보지 않았고, 위 금액은 개정이유 원문으로 확인한 것입니다 → 별표 원문 미확인. 개별 기준으로 최대 1/2 감경할 수 있다는 보도가 있습니다 [55] [2차, 미확인].
• 제32195호로 바뀐 별표 2 가중 규정: 가중 부과 기간은 "과태료 부과처분을 받은 날과 그 처분 후 다시 같은 위반행위를 하여 적발된 날을 기준으로" 계산하고, 가중처분 차수는 직전 부과처분 차수의 "다음 차수"로 한다는 문구가 개정문에 있습니다 [11] 1차.
• 허위 공시 자체에 대한 별도 벌칙·과태료 조항은 없고, 검증 거부나 수정 요청 불응만 과태료 대상입니다 [8] 1차. 실제 과태료 부과 건수·금액은 미확인.
• 경영진이 투자 대신 과태료를 감수할 수 있다는 우려가 보도되었습니다 [53] 2차.

6-5. 인센티브

• 공시한 자는 ISMS 인증 수수료 30% 할인(법 제13조제3항) [8] 1차. 2026년 보도는 ISMS-P 할인도 언급합니다 [36] 2차.

7. 배경: 2025–2026 침해사고와 범부처 종합대책

7-1. 침해사고 흐름

• 규제영향분석서가 인용한 KISA 통계: 사이버침해 신고 2023년 1,277건 → 2024년 1,887건(약 48% 증가), 2025년 상반기 1,034건(전년 동기 대비 15% 증가) [5] 1차.

• 개인정보보호위원회 2025년 통계: 유출신고 447건(+45.6%), 조사·처분 227건, 과징금 40건 1,677억원, 과태료 125건 약 5억8,720만원 [28] 1차. 국회 제출자료의 1,579억907만원은 '유출에 따른 과징금'만 센 것으로 집계 범위가 다릅니다 [28] [2차 비교].
• 주요 사고와 처분은 5-4절 표를 참조하십시오. 정책브리핑(2025-10-22)은 LG유플러스(2023), SKT, KT 펨토셀, 롯데카드, 행안부 온나라시스템을 종합대책의 배경으로 언급했습니다 [15] 1차.
• 정보보호산업법 2021 개정 때도 "온라인 패션 스타트업의 고객 개인정보 유출 등"이 개정이유였습니다 [10] 1차.

7-2. 「범부처 정보보호 종합대책」 (2025-10-22) [14] 1차

• 정책브리핑판은 공시 확대 시기를 "내년 상반기", 등급제 세부 기준은 "12월 발표 예정", 비상장 금융회사는 전자금융거래법 개정으로 포함, 해외 플랫폼도 같은 의무 적용이라고 설명했습니다 [15] 1차.
• 등급제의 현재 상태: 이번 시행령에는 등급제 내용이 없고 [4], 법적 근거·추진 일정은 미확인입니다.
• 종합대책 → 시행령으로: 규제영향분석서의 추진 경과는 "'24.7~12월 선행 연구(정보보호 공시 제도의 효과성 분석 연구) → '25.7~9월 이해관계자 의견수렴 → '25.10월 종합대책 발표 → '25.11월 시행령 개정안 마련"입니다 [5] 1차.

8. 연도별 공시 현황 통계

8-1. 공시 기업 수 (정부 공식) [5] 1차

5-1절 표와 같습니다: 공시 건수 2016년 2 → 2021년 64 → 의무화 첫해 2022년 658(의무 594, 자율 64) → 2023년 715(652/63) → 2024년 746(655/91) → 2025년 773(666/107).

8-2. 투자·인력 (KISA·과기정통부 「정보보호 공시 현황 분석보고서」 보도) 2차

• 4년 연속 공시 기업 559개(2025) [41] 2차.
• 2022년·2023년 수치는 보고서 발표 당시와 이후 재집계가 다릅니다. 재집계 공시 기업 수(658·715)는 정부 공식 표 [5]와 같아, 사후 수정공시를 반영한 재집계로 보이지만 원인은 미확인입니다.

8-3. 업종별 평균 투자·인력 2차

• 2022년 업종별 공시기업 수: 제조 318, 정보통신 108, 도소매 60, 보건 38, 건설 32, 운수 21, 금융 13 [38] 2차.
• 금융회사는 현행 예외 대상이므로 금융업 수치는 자율 공시 기업 중심으로 보입니다 추론.

9. 평가와 쟁점

9-1. 정부의 대안 검토 [5] 1차

• 선택 근거: 효과성(중소·중견 상장사·공공·금융 사각지대 해소), 형평성(상장사는 같은 투자자 보호 책임), 국제 정합성(미국 SEC) [5]. 국회입법조사처 보고서 「정보보호 공시 의무화의 의의와 향후 과제」(2023.1)의 "매출 규모나 이용자 수 등과 관계없이 … 의무 대상을 지속적 확대 필요" 문구를 인용했습니다 [5] [1차, 입법조사처 원문은 미열람].
• 단기 부담은 "가이드라인 제공, 사전점검 지원, 단계적 이행 지원" 등으로 완화한다고 했습니다 [5]. 최종 의결안에서 소기업만 2년 유예한 것은 대안1과 대안2 사이의 절충으로 볼 수 있습니다 추론.

9-2. 비용·편익 분석 [5] 1차

• 편익/비용 비율은 약 10.7배입니다 [계산: 1,410,572.65 ÷ 131,853.8].
• 원문 내 표기 불일치: 편익 산식 결과는 178,226,509,839원인데, 연도별 표의 경상가치는 178,266,509,839원으로 적혀 있습니다 [5]. 오기로 보이며, 현재가치 합계(1,410,572,652,776원)와 요약표(1,410,572.65백만원)는 서로 맞습니다.
• 지불의사액 설문: 만 19세 이상 500명, 성별 균등·연령 비례 할당, 온라인 패널, 2024-11-04~11-20 [5].
• 인터넷 이용자 수: 2022년 47,247,870명, 2023년 47,746,871명, 2024년 48,189,411명(한국지능정보사회진흥원 「인터넷이용 실태조사('24)」) [5].
• 한계: 1월 입법예고판 분석이라 소기업 2년 유예는 반영되지 않은 것으로 보입니다 추론. 기업 비용은 공시 작성 행정비용만 넣었고, 실제 보안 투자 증가분은 비용으로 넣지 않았습니다(정보공개형 규제라 투자를 강제하지 않는다는 전제) [5].

9-3. 선행 연구(정부 연구용역)와 설문 결과 [5] 1차

「정보보호 공시제도 효과성 분석 연구」(2024.12):

• 공청회 보도에서는 연구자(조일형 상명대 교수)가 의무기업 87개사와 국민 500명을 분석했고, 투자를 늘렸다는 기업이 36.1%라고 전했습니다 [47] 2차 — 규제영향분석서의 36.8%와 다릅니다 미확인. 연구보고서 원문은 미확인.
• 공시 기업 중 대상 확대에 동의한 비율은 43.7%로, 이용자(74.4%)보다 낮습니다 [5].

9-4. 이해관계자 의견 수렴 (2025년) [5] 1차

※ 배경 조사 노트는 상장회사협의회·코스닥협회 공식 의견을 "찾지 못함"으로 적었으나, 규제영향분석서 원문에 위 간담회 기록이 있습니다 [5].

9-5. 공청회(2026-02-06) 발언 [47] 2차

※ 규제영향분석서(2026.1)는 과장을 "최영선", 국장을 "임정규"로 적었고 [5], 2026-10-20 보도자료는 과장을 "이종혁"으로 적었습니다 [2]. 인사이동으로 보이나 미확인.

9-6. 업계 부담과 형식화 우려 2차

• 중소 상장사 부담: 외부 감사비용·인건비 산정 등 초기 비용 부담, R&D·인건비 기준 불명확. 세액공제, 외부 검증 지원, K-ESG·조달 가점 연계 요구 [48].
• 형식적 공시 우려: 실질적 인센티브가 없으면 서류상 공시에 그칠 수 있음. 이상직 변호사(태평양)는 핵심 항목 위주 간결한 공시를 제안하며 해커가 공시 내용을 악용할 위험도 언급 [48].
• 투자액 지표의 한계: 자체 개발 보안기술은 투자액에 잡히지 않아 실제보다 적게 보인다는 불만(네이버 사례), 과기정통부는 가이드라인을 매년 개정한다고 답변 [52].
• 기준 논쟁: 투자 기준을 IT 예산의 10%로 할지 매출액 대비로 할지 의견이 갈림, 경영진이 투자 대신 과태료를 감수할 수 있다는 우려 [53].
• 외국계 형평성: 글로벌 빅테크는 공란에 가까운 공시를 내는데 본사 데이터 검증 수단이 없음 [48].
• 검증 역량: KISA 공시 담당 3명, 추가 검증은 약 10%. 홍준호 성신여대 교수는 예산을 약 4배로 늘려야 한다고 함 [50].
• 데일리시큐는 "공시는 보안 인증이 아니며, 투자 수치만으로 보안 수준을 증명할 수 없다"는 단서를 달았습니다 [54].
• 정부 측 반론(규제영향분석서): 새 보안설비·인력 채용을 강제하지 않는 "정보공개형 규제"이고 부담은 주로 초기 행정비용이며, 상장사 다수가 이미 자본시장법상 사업보고서 공시 경험이 있어 수용성이 높다 [5] 1차.

9-7. 학술 연구 3편 [1차·학술]

※ 끝 쪽수는 PDF 쪽수로 계산한 값이고, KCI 등재 여부는 미확인입니다.

시사점(종합 판단, 법적 결론 아님): 정은수(2025)의 "공시 여부는 법적 의무가 좌우한다"는 결과는 의무 범위 확대의 논거가 되고, 백승준·이홍주(2021)의 "투자 증감에는 영향 없음"은 형식화 우려와 맞닿습니다 [33] [34].

10. 국제 비교

비교 시사점(종합 정리, 법적 결론 아님)

• 한국 정보보호 공시는 연 1회 현황 공시(투자·인력·인증·활동)이고 주무 부처가 과기정통부·KISA입니다. 사고 발생 시 적시 공시 의무는 없습니다 [8] [9]. 미국 SEC는 증권 공시로서 사고 공시(8-K)와 연차 거버넌스 공시(10-K)를 함께 둡니다 [29].
• NIS2·DORA는 일반 공개가 아니라 감독당국 보고 제도입니다 [30] [31].
• 한국은 이번 개정으로 "모든 상장사"라는 대상 범위는 SEC와 비슷해졌지만, 공시 내용(투자·인력 수치 중심)과 사고 공시 유무에서는 차이가 남습니다 추론.

11. 관련 제도 연계

11-1. ISMS 강화 — 정보통신망법 법률 제21500호 (2026.3.31 공포, 2026.10.1 시행) [19] 1차

11-2. 정보통신망법 시행령 제36735호 (2026.9.30, 시행 2026.10.1) [20] 1차

• 연계 시사점 추론: 공시 의무 대상에 ISMS 의무대상자가 들어가고(정보보호산업법 시행령 제8조제1항제4호 신설 [4]), 반대로 정보통신망법 시행령은 매뉴얼 점검에서 공시 이행 여부를 고려합니다 [20]. 공시 이행이 ISMS·침해사고 대응 감독과 서로 맞물리는 구조입니다. 다만 공시 불이행만으로 ISMS 인증이 취소되는지는 시행령 제52조의2 취소 사유에 없으므로 그렇게 단정할 수 없습니다 [20].

11-3. ISMS-P 의무화 — 개인정보보호법 법률 제21445호 (2026.3.10 공포) [21] 1차

• 정부 'ISMS-P 실효성 강화방안'(2026-04): 주요 공공시스템 운영기관·이동통신사업자·본인확인기관·대규모 개인정보처리자 ISMS-P 의무화, 인증 3단계(강화·표준·간편), 2027년 시행 목표 [72] 2차.
• 개인정보보호위원회의 ISMS-P 심사 개선 시행령안(서면·현장 병행, 유출 시 취약점 진단·모의침투 등) 입법예고 2026.9.16~10.26 [83] [1차, 제목·요지는 집행 정리 파일 기재, 본문 미열람].
• 연계 시사점 추론: 개정 공시 시행령의 제4호는 "정보통신망법 제47조"(ISMS) 의무대상자만 명시하므로 [4], 2027.7.1부터 개인정보보호법상 ISMS-P 인증 의무를 지게 되는 자가 공시 의무 대상에 자동 포함되는지는 조문상 분명하지 않습니다 → 미확인.

12. 기업 대응 체크리스트와 일정표

아래는 공개 자료를 바탕으로 한 일반적인 점검 항목이며 법적 의무 목록이 아닙니다. 최종 조문·가이드라인 공개 후 다시 확인하십시오.

12-1. 일정표

12-2. 체크리스트

A. 대상 여부 판단

• [ ] 2026년 말 기준 코스피·코스닥 상장법인인가? (스팩이면 제외) [4]
• [ ] 회선설비 보유 기간통신사업자·IDC·상급종합병원·클라우드 제공자인가? [9]
• [ ] 정보통신서비스의 전년도 1년 일일평균 이용자 수가 100만명 이상인가? (기존 3개월 기준으로 대상이던 회사는 빠질 수도 있음 — 정부 추정 2개사) [4] [5]
• [ ] 정보통신망법 제47조제2항 ISMS 의무대상자이면서 전년도 말 인증을 보유·유지하는가? [4] [17] [18]
• [ ] 공공기관·금융회사·전자금융업자라서 그동안 빠져 있었다면, 위 기준 중 하나에 해당하는지 다시 확인 [5]
• [ ] 소기업이면 2029-01-01 적용 대상인지 확인 [2]
• [ ] 다른 법률로 정보보호 현황을 이미 공시해 제외되는지(법 제13조제2항 단서) 확인 [8] — 적용 범위 미확인

B. 조직·책임

• [ ] 공시 주관자(CISO) 지정 여부와, CISO 지정 의무가 없는 경우의 주관자 확인(가이드라인 대기) [9] [47]
• [ ] CEO 사전 확인 절차 마련 [9]
• [ ] (정보통신서비스 제공자라면) 망법 개정에 따른 임원 CISO·정보보호위원회·이사회 보고 의무 확인 [19] [20]

C. 데이터 준비 (2차 자료의 실무 팁 포함)

• [ ] IT 투자 대비 정보보호 투자, IT 인력 대비 전담인력 산정 기준 확인(겸직자 제외, 복합 제품은 보안 비용 분리) [9] [52]
• [ ] 재무·인사·IT 부서 사이 데이터 채널 구축, 산출 근거 증빙 보관, 연도별 일관성 유지 [73] 2차
• [ ] ISMS를 출발점으로 하되 공시 항목과의 차이(GAP) 분석 [73] 2차
• [ ] 자체 개발 보안기술은 특기사항·주석에 서술 [52] 2차
• [ ] 공시 범위가 공격자에게 정보를 주지 않는지 사전 검토 [48] 2차
• [ ] 금융회사는 업권별 보고와의 중복 정리 [47] 2차

D. 제출·사후 대응

• [ ] KISA 정보보호 공시 종합포털 계정·입력 절차 확인 [79]
• [ ] 매년 6월 30일 기한 관리 [9]
• [ ] 검증 대응: 오차 5% 이상, CISO/CPO·인증 정보 불일치가 주요 수정 사유였음 [49] 2차
• [ ] 과태료 위험: 미공시 1차 300만원 → 2차 600만원 → 3차 이상 1천만원, 검증 거부·수정 불응도 같은 단계 [11] [12]
• [ ] 정부 지원 활용: 가이드라인, 컨설팅, 온라인 상담·교육, 지역 순회 교육 [2]
• [ ] 공시 후 ISMS 수수료 30% 할인 확인 [8]

13. 미확인 목록

미확인 총 31건.

14. 출처 목록

계기 기사

1. 매일경제, 「모든 상장사 정보보호 공시 의무화」, 2026-10-20 17:39, 오찬종 기자 (단서로만 사용, 본문 미전재) — https://v.daum.net/v/20261020173917397

1차 정부 발표·입법 자료

2. 과학기술정보통신부 보도자료, 「정보보호 공시 의무, 2027년부터 전체 상장사 등으로 확대」(2026.10.20) — https://www.msit.go.kr/bbs/view.do?sCode=user&mId=307&mPid=208&bbsSeqNo=94&nttSeqNo=3187876 (첨부 hwpx: https://www.msit.go.kr/ssm/file/fileDown.do?atchFileNo=55383&fileOrd=1&fileBtn=A)
3. 입법예고 과학기술정보통신부공고 제2026-10호(2026.1.9, 예고기간 2026-01-09~02-19) — https://www.moleg.go.kr/lawinfo/makingInfo.mo?lawSeq=85168&lawCd=0&lawType=TYPE5&mid=a10104010000
4. 위 입법예고 첨부 「정보보호산업의 진흥에 관한 법률 시행령 일부개정령안」(신·구조문대비표 포함) — https://opinion.lawmaking.go.kr/file/download/10561668/186V1IR451RLX3ZUF5TS (PDF판 https://opinion.lawmaking.go.kr/file/download/10561702/QJPS8SK404IP47XKU5QN)
5. 위 입법예고 첨부 규제영향분석서 — https://opinion.lawmaking.go.kr/file/download/10561698/LAM4WP6AZYYX73EZXSJI
6. 위 입법예고 첨부 조문별 제·개정이유서 — https://opinion.lawmaking.go.kr/file/download/10561700/U89E2JXRUSWA19NZFKQG
7. 재입법예고 과학기술정보통신부공고 제2026-569호(2026-05-11~06-22) — https://opinion.lawmaking.go.kr/gcom/ogLmPp/86656?opnOpYn=Y (원문 사본 미보관)
8. 「정보보호산업의 진흥에 관한 법률」 [시행 2024. 7. 10.] [법률 제19990호] — https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=258523
9. 「정보보호산업의 진흥에 관한 법률 시행령」 [시행 2025. 10. 1.] [대통령령 제35801호] — https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=278237
10. 법률 제18200호(2021.6.8) 개정이유 — https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=232617
11. 대통령령 제32195호(2021.12.9) 개정이유·개정문 — https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=237537
12. 대통령령 제33788호(2023.10.10) 개정이유·개정문 — https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=255215
13. 정보보호산업법(lsId=012310)·시행령(lsId=012401) 연혁 목록 (law.go.kr 연혁 탭, 2026-10-20 조회 — 2026.10.20 의결분 미등재) — https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=258523 / https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=278237
14. 과학기술정보통신부 외 관계부처 합동 보도자료, 「범부처 정보보호 종합대책 발표」(2025.10.22) — https://www.msit.go.kr/bbs/view.do?sCode=user&mId=307&mPid=208&bbsSeqNo=94&nttSeqNo=3186409 (첨부 https://www.msit.go.kr/ssm/file/fileDown.do?atchFileNo=51318&fileOrd=2&fileBtn=A)
15. 대한민국 정책브리핑, 범부처 정보보호 종합대책 기사(2025-10-22) — https://www.korea.kr/news/policyNewsView.do?newsId=156722097
16. 대한민국 정책브리핑 보도자료, 2025년 정보보호 공시 의무대상 671개사(2025-04-30, 제목 확인) — https://www.korea.kr/briefing/pressReleaseView.do?newsId=156687027
17. 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 [시행 2026. 10. 2.] [법률 제21988호] 제47조 — https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=290001
18. 「정보통신망법 시행령」 [시행 2026. 10. 2.] [대통령령 제36728호] 제49조 — https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=290483
19. 정보통신망법 법률 제21500호(2026.3.31) 개정이유·개정문 — https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=285199
20. 정보통신망법 시행령 대통령령 제36735호(2026.9.30) 개정이유·개정문 — https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=290811
21. 「개인정보 보호법」 법률 제21445호(2026.3.10) — https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=283839

1차 개인정보보호위원회 의결 보도자료 (URL 형식: https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=번호)

22. SK텔레콤 처분(2025-08-27 의결) — nttId=11453
23. 쿠팡 처분(2026-06-10 의결, 6-11 발표, 첨부 PDF 포함) — nttId=12171
24. KT 처분(2026-07-29 의결) — nttId=12349
25. 롯데카드 처분(2026-03-11 의결) — nttId=11878
26. GS리테일 외 처분(2026-08-26 의결) — nttId=12425
27. LG유플러스 처분(2023-07-12) — nttId=9030
28. 2025년 조사·처분 통계(2026-05-15) — nttId=12078

1차 해외 감독기구

29. 미국 SEC 보도자료 2023-139 — https://www.sec.gov/newsroom/press-releases/2023-139
30. EU 집행위원회 NIS2 정책 페이지 — https://digital-strategy.ec.europa.eu/en/policies/nis2-directive
31. EIOPA DORA 페이지 — https://www.eiopa.europa.eu/digital-operational-resilience-act-dora_en

[1차·학술]

32. 박재영·정우진(2019), 『지식경영연구』 20(4) — https://doi.org/10.15813/kmr.2019.20.4.003 (PDF https://koreascience.kr/article/JAKO201909255111800.pdf)
33. 백승준·이홍주(2021), 『지식경영연구』 22(1) — https://doi.org/10.15813/kmr.2021.22.1.015 (PDF https://www.koreascience.or.kr/article/JAKO202112354514420.pdf)
34. 정은수(2025), 『융합보안논문지』 25(3) — https://doi.org/10.33778/kcsa.2025.25.3.059 (PDF https://koreascience.kr/article/JAKO202530250462110.pdf)

2차 언론·업계 자료

35. ZDNet Korea (2026-10-19/20) — https://zdnet.co.kr/view/?no=20261019231118
36. 한국경제 (2026-05-08) — https://www.hankyung.com/article/2026050840597
37. 바이라인네트워크 (2021-12) — https://byline.network/2021/12/7-115/
38. 바이라인네트워크 (2022-12) — https://byline.network/2022/12/19-235
39. 바이라인네트워크 (2023-12) — https://byline.network/2023/12/1211_001/
40. 바이라인네트워크 (2024-12) — https://byline.network/2024/12/22-385/
41. 보안뉴스 (2025-12) — http://www.boannews.com/news/articleView.html?idxno=141241
42. 보안뉴스 (2026) — http://www.boannews.com/news/articleView.html?idxno=144449
43. 뉴시스 (2025-12-30) — https://www.newsis.com/view/NISX20251230_0003459819
44. 디지털데일리 (2026-07-01) — https://www.ddaily.co.kr/page/view/2026070115080188317
45. 파이낸셜뉴스 (2026-06-30) — https://www.fnnews.com/news/202606301820556411
46. 뉴스토마토 — https://newstomato.com/ReadNews.aspx?no=1305704
47. 바이라인네트워크, 공청회 (2026-02-06) — https://byline.network/2026/02/6-336/
48. 바이라인네트워크 (2025-11) — https://byline.network/2025/11/11-567/
49. 바이라인네트워크, 공시 검증 결과 (2025-11-06) — https://byline.network/2025/11/6-289/
50. MTN (2025-10-30) — https://news.mtn.co.kr/news-detail/2025103016413185098
51. MTN (2025-07-02) — https://news.mtn.co.kr/news-detail/2025070215040857911
52. 서울경제 — https://m.sedaily.com/article/20101423
53. 디지털데일리 (2026-07-03) — https://www.ddaily.co.kr/page/view/2026070309304466472
54. 데일리시큐 — https://www.dailysecu.com/news/articleView.html?idxno=208963
55. 보안뉴스 (2022) — http://www.boannews.com/news/articleView.html?idxno=107736
56. 아이뉴스24 (2023-01) — https://www.inews24.com/view/1555856
57. 바이라인네트워크, ISMS (2025-11-20) — https://byline.network/2025/11/20-518/
58. 전자신문 (2025-10-22) — https://www.etnews.com/20251022000285
59. 뉴스1, 재입법예고 (2026-05 무렵, 제목·부제만 열람) — https://www.news1.kr/amp/it-science/security-hacking/6162598
60. 디지털데일리, SKT 민관합동조사단 결과 (2025-07-04) — https://m.ddaily.co.kr/page/view/2025070412563749518
61. 한국경제, 쿠팡 (2025-11-30) — https://www.hankyung.com/article/2025113040317
62. 다음뉴스, 롯데카드 (2025-09-18) — https://v.daum.net/v/20250918173953073
63. MTN, 롯데카드 제재 (2026-07-31) — https://news.mtn.co.kr/news-detail/2026073117091156581
64. 경향신문, KT 펨토셀 (2025-12-29, 검색요약 기반) — https://www.khan.co.kr/article/202512291739001 / LG유플러스 조사중단 보도 https://byline.network/2026/07/30-587/
65. 디지털데일리, 예스24 (2025-06-10) — https://www.ddaily.co.kr/page/view/2025061019134845163 / https://byline.network/2025/08/11-515/
66. MTN, 금융권 유출·전자금융거래법 계류 (2026-10-06) — https://news.mtn.co.kr/news-detail/2026100615043814626
67. 보안뉴스, 국회입법조사처 (2025-05) — http://www.boannews.com/news/articleView.html?idxno=137332
68. 보안뉴스, 전자금융거래법 개정안 (2025-11) — http://www.boannews.com/news/articleView.html?idxno=140763
69. 일본총합연구소 (2024-02-21) — https://www.jri.co.jp/page.jsp?id=107299
70. BUSINESS LAWYERS — https://www.businesslawyers.jp/articles/1465
71. KPMG 뉴스레터 (2026-08) — https://kpmg.com/kr/ko/media/newsletter/202608/emerging-trends.html
72. 헤럴드경제, ISMS-P 실효성 강화방안 (2026-04-09) — https://www.heraldk.com/article/2026040915075146606
73. 안랩 콘텐츠센터 — https://www.ahnlab.com/ko/contents/content-center/36093
74. 바이라인네트워크, GS리테일 (2026-08, 검색요약) — https://byline.network/2026/08/31-326/
75. 디지털데일리, 예스24 공시 (2025-06-30, 검색요약) — https://www.ddaily.co.kr/page/view/2025063019164427725
76. 뉴시스, 롯데카드 (2025-09-18, 검색요약) — https://www.newsis.com/view/NISX20250918_0003334850
77. 바이라인네트워크, 입법예고 보도 (2026-01) — https://byline.network/2026/01/9-377/
78. ScanNetSecurity, 일본 총무성 가이드 — https://scan.netsecurity.ne.jp/article/2019/07/01/42552.html
79. KISA 정보보호 공시 종합포털 — https://isds.kisa.or.kr/
80. 바이라인네트워크, 2016 자율공시 — https://byline.network/2016/07/1-262/ / https://byline.network/2017/01/1-510/
81. SKT 취소소송 보도 — https://www.smarttoday.co.kr/ko-kr/articles/101599 / https://byline.network/2025/08/28-507/
82. NIS2 제23조 해설 — https://presencis.com/regulations/nis2/article-23/
83. 개인정보보호위원회, ISMS-P 심사 개선 시행령안 입법예고(2026.9.16~10.26) — https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12500

이 프로젝트 내부 조사 기록 (원문 사본 위치)

• refs/2026-10-20_정보보호공시_1차출처.md, refs/2026-10-20_정보보호공시_raw/ (보도자료·법령안·규제영향분석서·law.go.kr 원문 사본)
• refs/2026-10-20_정보보호공시_대상기업.md, refs/2026-10-20_정보보호공시_배경비교.md
• refs/2026-10-20_집행_영향분야.md, refs/2026-10-20_교차검증.md (PIPC 처분 1차 확인)