2025년 기업 필수 가이드: 정보보호 공시 의무화 및 CISO 지정 신고 완벽 분석

디지털 전환(DX)이 가속화됨에 따라 사이버 보안은 단순한 기술적 이슈를 넘어 기업 경영의 핵심 리스크로 부상했습니다. 과학기술정보통신부와 한국인터넷진흥원(KISA)은 기업의 정보보호 투자를 촉진하고 이용자의 알 권리를 보장하기 위해 관련 제도를 지속적으로 강화하고 있습니다.

특히 2025년은 정보보호 공시 제도가 안착 단계를 넘어 실질적인 **'기업 신뢰도 척도'**로 자리 잡는 해입니다. 기업 담당자라면 반드시 확인해야 할 CISO 지정 신고와 정보보호 공시 의무에 대한 최신 정보를 정리했습니다.

---

1. 정보보호 최고책임자(CISO) 지정 및 신고 제도란?

**CISO(Chief Information Security Officer)**는 정보보호 최고책임자를 뜻하며, 기업의 정보보호 관리체계를 수립하고 운영하는 임원급 책임자를 말합니다. 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(정보통신망법)에 따라 일정 규모 이상의 정보통신서비스 제공자는 반드시 CISO를 지정하고 신고해야 합니다.

1.1 2025년 기준 CISO 지정 의무 대상

모든 기업이 CISO를 신고해야 하는 것은 아닙니다. 하지만 신고 대상임에도 누락할 경우 과태료가 부과되므로 정확한 기준 확인이 필요합니다.

• 기본 대상: 전기통신사업법에 따른 전기통신사업자, 개인정보를 수집/이용하는 정보통신서비스 제공자 등.
• 신고 예외 대상 (소규모 기업):
  • 자본금 1억 원 이하인 경우
  • 중소기업기본법에 따른 소기업(매출액 규모 등 고려)
  • 단, 정보보호 관리체계(ISMS) 인증 의무 대상 기업은 규모와 상관없이 무조건 신고해야 합니다.

1.2 일반 CISO vs 전임 CISO (겸직 금지)

2025년 현재, 기업 규모에 따라 CISO가 다른 업무(IT 개발, 운영 등)를 겸직할 수 있는지 여부가 엄격하게 구분됩니다.

[겸직이 제한되는 전임 CISO 지정 의무 대상]

아래 조건 중 하나라도 해당하면, CISO는 오직 정보보호 업무만 전담해야 하며 다른 직무를 겸할 수 없습니다. 이는 정보보호 업무의 독립성을 보장하기 위함입니다.

1. 자산총액 5조 원 이상인 기업
2. ISMS 의무 대상 중 자산총액 5,000억 원 이상인 기업

💡 중요 포인트: 2025년 경영 환경 변화로 자산 규모나 매출이 변동되었다면, 전임 CISO 대상 여부를 다시 한번 검토해야 합니다.

1.3 CISO의 자격 요건

단순히 직원을 지정한다고 끝나는 것이 아닙니다. 법령에서 정한 자격 요건을 갖춰야 합니다.

• 일반 CISO: 임원급 또는 정보보호/IT 부서장.
• 전임 CISO:
  • 정보보호 또는 정보기술 분야 경력 4년 이상 (그중 정보보호 경력 2년 이상 필수)
  • 또는 정보보호 분야 경력 5년 이상 등 구체적인 전문성 요구.

---

2. 정보보호 공시 의무화 제도 심층 분석

정보보호 공시 제도는 기업이 정보보호에 얼마를 투자하고 있는지, 전담 인력은 몇 명인지, 어떤 인증을 받았는지를 일반 국민(이용자, 주주)에게 공개하는 제도입니다. 기업의 정보보호 역량을 시장에서 평가받게 함으로써 자발적인 투자를 유도하는 것이 목적입니다.

2.1 2025년 정보보호 공시 의무 대상 기준

초기에는 자율이었으나, 현재는 일정 규모 이상의 기업에 대해 의무화되었습니다. 2025년 공시(보통 6월 말까지)를 준비해야 하는 대상은 다음과 같습니다.

[주요 의무 대상]

1. 회선설비 보유 기간통신사업자: KT, SKT, LGU+ 등.
2. 집적정보통신시설(IDC) 사업자: 데이터센터 운영 사업자.
3. 상급종합병원: 의료법에 따른 주요 대형 병원.
4. 클라우드 컴퓨팅 서비스 제공자: IaaS, SaaS 등 주요 클라우드 사업자.
5. 매출액 및 이용자 수 기준 (가장 많은 기업이 해당):
   • 정보보호 최고책임자(CISO) 지정 신고 의무가 있는 상장법인 중,
   • 직전 사업연도 매출액 3,000억 원 이상인 기업
   • 또는 직전 3개월간 일일 평균 이용자 수 100만 명 이상인 기업

2.2 공시해야 하는 주요 내용

공시는 단순한 선언이 아닙니다. 회계법인 등의 사전 검증을 거친 정확한 데이터를 입력해야 합니다.

• 정보보호 투자 현황: 정보보호 관련 하드웨어/소프트웨어 구매 비용, 유지보수 비용, 컨설팅 비용 등.
• 정보보호 인력 현황: 내부 전담 인력 및 외주 인력 수.
• 정보보호 관련 인증: ISMS, ISMS-P, ISO27001 등 보유 현황.
• 이용자의 정보보호를 위한 활동: 모의해킹, 보안 캠페인, 버그바운티 운영 등.

2.3 공시 시기 및 절차

• 공시 시기: 매년 6월 30일까지 (전년도 실적 기준).
• 절차:
  1. 공시 자료 작성 (기업)
  2. 사전 검증 (회계법인, 감리법인 등)
  3. 제출 및 접수 (KISA 정보보호 공시 종합 포털)
  4. 대국민 공개

---

3. 2025년 정책 트렌드와 기업의 대응 전략

2025년은 정보보호 규제 대응이 '비용'이 아닌 '투자'로 인식되는 원년이 될 것입니다. 정부 정책의 흐름을 읽고 선제적으로 대응해야 합니다.

3.1 공급망 보안의 중요성 확대

단순히 우리 회사의 보안뿐만 아니라, 협력사의 보안 수준까지 관리해야 하는 책임이 커지고 있습니다. 정보보호 공시 내용 중 협력사 보안 점검 활동 등이 포함될 경우 ESG 평가에서 긍정적인 요인이 됩니다.

3.2 허위 공시에 대한 검증 강화

2025년부터는 공시 데이터의 신뢰성을 높이기 위해 사후 검증이 더욱 강화될 전망입니다. 단순히 숫자를 맞추기 위한 공시가 아니라, 실제 회계 증빙과 인사 데이터를 기반으로 한 정확한 산출이 요구됩니다. 허위 사실이 적발될 경우 신뢰도 하락은 물론 법적 제재를 받을 수 있습니다.

3.3 ESG 경영과의 연계

정보보호(Security)는 ESG 경영의 사회(Social) 및 지배구조(Governance) 부문에서 핵심 지표로 자리 잡았습니다.

• 투자자 관점: 해킹 사고로 인한 주가 폭락 리스크를 헷지하기 위해 정보보호 공시 내용을 투자 판단의 근거로 활용하고 있습니다.
• 파트너십: 대기업 납품이나 글로벌 파트너십 체결 시 정보보호 공시 내역(보안 투자 비율)을 요구하는 사례가 늘고 있습니다.

---

4. 위반 시 제재 사항 (과태료 및 벌칙)

규정을 준수하지 않을 경우 강력한 제재가 따릅니다. 2025년 기준, 법적 리스크를 최소화하기 위해 아래 내용을 숙지해야 합니다.

4.1 CISO 관련 제재

• 미신고: CISO를 지정하지 않거나 신고하지 않은 경우 3,000만 원 이하의 과태료.
• 겸직 금지 위반: 전임 CISO 의무 대상 기업이 CISO에게 다른 업무를 겸직하게 한 경우, 마찬가지로 3,000만 원 이하의 과태료가 부과될 수 있습니다.

4.2 정보보호 공시 관련 제재

• 미공시: 의무 대상 기업이 공시를 하지 않은 경우 1,000만 원 이하의 과태료.
• 2022년부터 의무화가 시행되었으나, 초기 계도 기간이 끝난 현재는 즉각적인 과태료 부과 대상이 될 수 있으므로 주의해야 합니다.

---

5. 실무자를 위한 Q&A (자주 묻는 질문)

Q1. 매출액 3,000억 원 미만 기업은 공시를 할 수 없나요? A1. 아닙니다. 의무 대상이 아니더라도 자율 공시가 가능합니다. 자율 공시를 할 경우 ISMS 인증 수수료 감면(30% 수준) 등의 혜택을 받을 수 있으며, 기업의 보안 신뢰도를 홍보하는 수단으로 활용할 수 있습니다.

Q2. CISO가 퇴사했습니다. 언제까지 신고해야 하나요? A2. 변경 사유가 발생한 날로부터 30일 이내에 신고해야 합니다. 늦어질 경우 과태료 대상이 되므로, 퇴사 즉시 후임자 지정 프로세스를 가동해야 합니다.

Q3. 정보보호 투자액에 'PC 구매 비용'도 포함되나요? A3. 원칙적으로 일반 업무용 PC 구매 비용은 포함되지 않습니다. 그러나 보안 전용 장비나, PC에 설치되는 보안 소프트웨어(백신, DRM, DLP 등) 구입 비용은 포함됩니다. 산출 기준 가이드라인을 꼼꼼히 확인해야 합니다.

---

6. 결론: 보안은 기업의 경쟁력입니다.

2025년, 정보보호 공시와 CISO 지정은 단순한 행정 절차가 아닙니다. 고객에게 "우리 기업은 당신의 데이터를 소중히 여기고, 이를 지키기 위해 이만큼 투자하고 있습니다"라고 증명하는 공식적인 채널입니다.

경영진은 CISO에게 힘을 실어주고, 실무진은 정확한 데이터 산출과 기한 내 신고를 통해 법적 리스크를 해소해야 합니다. 지금 바로 우리 회사가 전임 CISO 대상인지, 정보보호 공시 의무 대상인지 다시 한번 체크리스트를 점검해 보시길 바랍니다.

안전한 디지털 환경이 곧 기업의 지속 가능한 성장을 담보합니다.