Южная Корея распространит обязанность раскрывать информацию о безопасности на все компании, котирующиеся на бирже, с 2027 года
Коротко
Кабинет министров Южной Кореи 20 октября одобрил поправку, согласно которой все компании, котирующиеся на KOSPI и KOSDAQ, должны подавать раскрытие информации о безопасности, сообщило Министерство науки и ИКТ. Порог годовой выручки в 300 млрд вон отменяется, а в число обязанных включаются финансовые компании, государственные учреждения и компании, обязанные иметь сертификат ISMS. Для малых предприятий срок продлён до 1 января 2029 года.
Читать полностью 2 мин чтения
Министерство науки и ИКТ сообщило, что поправка к указу о применении Закона о содействии развитию отрасли информационной безопасности прошла заседание кабинета 20 октября. Поправка расширяет круг организаций, которые обязаны раскрывать информацию о безопасности. Newsis сообщила, что измененный указ вступает в силу 1 января 2027 года, а другие издания говорят, что обязанность действует с будущего года. [ 1 , 2 , 3 , 4 ]
До сих пор раскрывать информацию были обязаны только котирующиеся компании с годовой выручкой не менее 300 млрд вон. Поправка отменяет это требование, поэтому каждая компания, котирующаяся на KOSPI и KOSDAQ, подпадает под обязанность независимо от выручки. Newsis и Hankook Ilbo сообщили, что SPAC исключены. [ 1 , 2 , 3 , 4 ]
Указ также отменяет исключения для государственных учреждений, малых предприятий, финансовых компаний и операторов электронных финансовых услуг. В группу раскрывающих информацию добавляются компании, обязанные иметь сертификат ISMS. Hankook Ilbo сообщила, что сертификат ISMS требуется от компаний в сфере информации и связи с выручкой за предыдущий год от 10 млрд вон и более и с 1 млн и более среднесуточных пользователей. Малые предприятия, определённые указом по Рамочному закону о малых и средних предприятиях, будут подпадать под действие с 1 января 2029 года, по словам министерства, с учётом их управленческих условий. [ 1 , 2 , 3 , 4 ]
Меняется и способ подсчёта пользователей, по которому определяется, кто должен раскрывать информацию. Прежняя основа — среднесуточное число пользователей за три месяца до конца предыдущего года. Новая основа — среднесуточное число пользователей за весь предыдущий год. [ 1 , 2 , 3 , 4 ]
Раскрытие информации о безопасности — это система, в рамках которой компании публикуют свои инвестиции в информационную безопасность, данные о штате и связанные с этим сертификаты, оценки и проверки. Newsis сообщила, что система введена в 2022 году и работала в основном для крупных компаний, соответствующих таким порогам, как выручка и число пользователей. [ 1 , 2 , 4 ]
Seoul Economic Daily, Newsis и Hankook Ilbo описали изменение как продолжение межведомственного плана по информационной безопасности, объявленного в октябре прошлого года. Newsis, Hankook Ilbo и Kyunghyang Shinmun связали его с серией киберинцидентов. Правительство заявило, что стремится закрыть слепые зоны в системе раскрытия и добиться, чтобы компании рассматривали информационную безопасность как инвестицию, а не как издержки. [ 1 , 2 , 3 , 4 ]
Чтобы помочь вновь подпадающим под требования компаниям, министерство планирует подготовить руководство по раскрытию информации с учётом изменений, а также предоставить консультации, советы и обучение. Newsis и Kyunghyang Shinmun сообщили, что это включает онлайн-консультации и выездное обучение в регионах. По словам министра Бэ Кён-хуна, который также является вице-премьером, раскрытие информации — это «важная система», гарантирующая право общества на информацию и побуждающая компании к добровольным инвестициям в безопасность. Он выразил надежду, что более широкий охват приведёт к порочному кругу, но уже добродетельному: больше инвестиций и более высокому уровню информационной безопасности в стране. [ 2 , 3 , 4 ]
Почему это важно
Гораздо больше компаний будут обязаны публиковать свои расходы на информационную безопасность, данные о штате и сертификатах. Министерство и издания связывают это изменение с серией киберинцидентов и с целью правительства добиться, чтобы компании рассматривали безопасность как инвестицию, а не как издержки.
Ключевые факты
- Заседание кабинета 20 октября одобрило поправку к указу о применении Закона о содействии развитию отрасли информационной безопасности, сообщило Министерство науки и ИКТ. [ 1 , 2 , 3 , 4 ]
- Правило, согласно которому раскрывать информацию о безопасности обязаны только котирующиеся компании с годовой выручкой не менее 300 млрд вон, отменяется, поэтому под действие попадают все компании, котирующиеся на KOSPI и KOSDAQ. [ 1 , 2 , 3 , 4 ]
- Исключения для государственных учреждений, малых предприятий, финансовых компаний и операторов электронных финансовых услуг отменяются, а компании, обязанные иметь сертификат ISMS, добавляются. [ 1 , 2 , 3 , 4 ]
- Малые предприятия, определённые указом по Рамочному закону о малых и средних предприятиях, попадают под действие с 1 января 2029 года с учётом их управленческих условий. [ 1 , 2 , 4 ]
- По данным Newsis, измененный указ вступает в силу 1 января 2027 года. [ 2 ]
- Число пользователей теперь учитывается как среднее количество ежедневных пользователей за весь предыдущий год, а не за последние три месяца предыдущего года. [ 1 , 2 , 3 , 4 ]
- Компании специального назначения (SPAC) из обязанности исключены. [ 2 , 3 ]
Подтверждено несколькими источниками
- Кабинет министров одобрил измененный указ о применении 20 октября, как объявило Министерство науки и ИКТ. [ 1 , 2 , 3 , 4 ]
- Все компании, котирующиеся на KOSPI и KOSDAQ, должны раскрывать данные об информационной безопасности независимо от выручки. [ 1 , 2 , 3 , 4 ]
- Указ является продолжением межведомственного плана по информационной безопасности, объявленного в октябре прошлого года. [ 1 , 2 , 3 ]
- Министерство планирует выпустить руководство по раскрытию информации и поддержку, включая консультации, советы и обучение, для вновь подпадающих под требования компаний. [ 2 , 3 , 4 ]
Пока неясно
- Санкции или меры принуждения для компаний, которые не раскроют информацию. Ни один из документов их не описывает.
- Точная дата вступления в силу. Только Newsis называет 1 января 2027 года; другие издания говорят, что изменение действует с будущего года.