Corea del Sur amplía el deber de divulgación de seguridad de la información a todas las empresas cotizadas a partir de 2027

El Ministerio de Ciencia y TIC informó que una enmienda al decreto de aplicación de la Ley de Promoción de la Industria de Seguridad de la Información fue aprobada en una reunión del gabinete el 20 de octubre. La enmienda amplía el grupo de organizaciones que deben presentar divulgaciones de seguridad de la información. Newsis informó que el decreto modificado entra en vigor el 1 de enero de 2027, mientras que otros medios dijeron que el deber se aplica desde el año próximo. [ 1 , 2 , 3 , 4 ]

Hasta ahora solo las empresas cotizadas con ingresos anuales de 300.000 millones de wones o más debían divulgar. La enmienda elimina ese requisito, de modo que todas las empresas cotizadas en KOSPI y KOSDAQ quedan sujetas al deber, sin importar sus ingresos. Newsis y Hankook Ilbo dijeron que las SPAC quedan excluidas. [ 1 , 2 , 3 , 4 ]

El decreto también elimina las exenciones para instituciones públicas, pequeñas empresas, empresas financieras y operadores de negocios financieros electrónicos. Las empresas obligadas a tener la certificación ISMS se añaden al grupo de divulgación. Hankook Ilbo dijo que la certificación ISMS se exige a las empresas de información y comunicaciones con ingresos del año anterior de 10.000 millones de wones o más y con 1 millón o más de usuarios diarios promedio. Las pequeñas empresas definidas en el decreto de la Ley Marco de Pequeñas y Medianas Empresas quedarán cubiertas desde el 1 de enero de 2029, según el ministerio, por sus condiciones de gestión. [ 1 , 2 , 3 , 4 ]

También cambia la forma de contar a los usuarios para determinar quién debe divulgar. La base anterior era el promedio diario de usuarios de los tres meses previos al cierre del año anterior. La nueva base es el promedio diario de usuarios de todo el año anterior. [ 1 , 2 , 3 , 4 ]

La divulgación de seguridad de la información es un sistema en el que las empresas publican su inversión en seguridad de la información, su personal y las certificaciones, evaluaciones e inspecciones relacionadas. Newsis dijo que se introdujo en 2022 y que funcionaba principalmente para grandes empresas que cumplían umbrales como los ingresos y el número de usuarios. [ 1 , 2 , 4 ]

Seoul Economic Daily, Newsis y Hankook Ilbo describieron el cambio como una continuación del plan interministerial de seguridad de la información anunciado en octubre del año pasado. Newsis, Hankook Ilbo y Kyunghyang Shinmun lo vincularon con una serie de incidentes cibernéticos. El Gobierno ha dicho que su objetivo es cerrar los puntos ciegos del sistema de divulgación y que las empresas vean la seguridad de la información como una inversión, no como un costo. [ 1 , 2 , 3 , 4 ]

Para ayudar a las empresas recién incluidas, el ministerio prevé ofrecer una guía de divulgación que refleje los cambios, junto con consultoría, asesoramiento y apoyo formativo. Newsis y Kyunghyang Shinmun dijeron que esto incluye asesoramiento en línea y formación con visitas regionales. El ministro Bae Kyung-hoon, que también es viceprimer ministro, dijo que la divulgación es "un sistema importante" que garantiza el derecho del público a saber y fomenta la inversión voluntaria en seguridad por parte de las empresas. Expresó la esperanza de que el mayor alcance dé lugar a un círculo virtuoso de más inversión y un mayor nivel nacional de seguridad de la información. [ 2 , 3 , 4 ]