Door regering voor 'eerste helft van volgend jaar' aangekondigde uitbreiding van openbaarmaking over informatiebeveiliging opgeschoven naar 2027 – 40 van 773 bedrijven gecontroleerd
SEOUL
De verplichte openbaarmaking over informatiebeveiliging voor alle beursgenoteerde bedrijven, die de regering in oktober vorig jaar, na een reeks hacks bij telecombedrijven, financiële bedrijven en zelfs het werknetwerk van de overheid, 'vanaf de eerste helft van volgend jaar wilde invoeren', gaat pas op 1 januari 2027 in. Het ministerie van Wetenschap en ICT maakte bekend dat een wijziging met die strekking van het uitvoeringsbesluit van de 'wet ter bevordering van de informatiebeveiligingsindustrie' (wet op de informatiebeveiligingsindustrie) op de 20e door de ministerraad is aangenomen. Het gewijzigde besluit schrapt voor beursgenoteerde bedrijven de voorwaarde van 'een omzet van 300 miljard won of meer', waardoor alle op de KOSPI en de KOSDAQ genoteerde vennootschappen openbaarmakingsplichtig worden, en schrapt ook de uitzonderingen voor publieke instellingen, financiële bedrijven en aanbieders van elektronische financiële diensten. Voor kleine bedrijven onder de beursgenoteerde ondernemingen geldt het echter pas vanaf 1 januari 2029. De kring van openbaarmakingsplichtigen wordt groter, maar van de 773 bedrijven die vorig jaar openbaarmaking deden, controleerde de regering er achteraf 40, en de boete die kan worden opgelegd aan bedrijven die de controle weigeren of geen gecorrigeerde openbaarmaking doen, bedraagt maximaal 10 miljoen won.
Door regering voor 'eerste helft van volgend jaar' aangekondigde uitbreiding gaat pas in januari 2027 in
De uitbreiding van de openbaarmaking was een kerntaak van het 'ministeriebrede integrale plan voor informatiebescherming' dat de betrokken ministeries op 22 oktober vorig jaar gezamenlijk presenteerden. In de toenmalige stukken op Policy Briefing stond dat 'terwijl de kring van bedrijven met een openbaarmakingsplicht voor informatiebeveiliging wordt uitgebreid tot alle beursgenoteerde bedrijven', op basis van de resultaten van de openbaarmaking 'een systeem wordt ingevoerd dat het niveau van beveiligingscapaciteit indeelt in klassen en openbaar maakt'. Hetzelfde stuk presenteerde het plan als volgt: 'Het is gepresenteerd met de nadruk op kortetermijntaken die onmiddellijk kunnen worden uitgevoerd.' Een 'nationale cyberveiligheidsstrategie' met taken voor de middellange en lange termijn zou dat jaar nog afzonderlijk worden opgesteld, en in de vragenronde van de briefing werd geantwoord dat die 'vóór eind december' zou worden opgesteld en gepresenteerd.
Het tijdstip van invoering kwam in de vragenronde van de briefing rechtstreeks aan de orde. Toen een journalist vroeg: 'Ik wil nog één keer alleen naar het tijdstip vragen: gaat de openbaarmakingsplicht voor informatiebeveiliging voor alle beursgenoteerde bedrijven meteen vanaf volgend jaar in?', antwoordde de regeringskant: 'We zijn van plan de openbaarmakingsplicht voor informatiebeveiliging vanaf de eerste helft van volgend jaar in te voeren.' In het transcript staat niet vermeld wie dit antwoord gaf. Op het podium stonden vicepremier en minister van Wetenschap en ICT Bae Kyung-hoon, tweede viceminister van Wetenschap en ICT Ryu Je-myung, secretaris-generaal van de Financial Services Commission Shin Jin-chang, secretaris-generaal van de Commissie voor de Bescherming van Persoonsgegevens Lee Jeong-ryeol, derde adjunct-directeur van de Nationale Inlichtingendienst Kim Chang-seop en hoofd van het bureau voor innovatie van de digitale overheid van het ministerie van Binnenlandse Zaken en Veiligheid Lee Yong-seok.
De werkelijke invoering kwam later. Het ministerie zei op 9 januari van dit jaar bij de voorpublicatie van het ontwerpbesluit: 'We zullen het zo aanpakken dat de regeling kan worden toegepast vanaf de openbaarmakingsplichtigen van 2027.' Op dat moment was het tijdstip van toepassing al op 2027 gezet. Bij de hernieuwde voorpublicatie op 11 mei (bekendmaking van het ministerie van Wetenschap en ICT nr. 2026-569) werd het overgangsrecht gewijzigd. Nieuw opgenomen werd dat voor kleine bedrijven volgens de kaderwet voor kleine en middelgrote ondernemingen de inwerkingtreding, gezien hun personeel en bedrijfsomstandigheden, twee jaar wordt uitgesteld. In de stukken op Policy Briefing bij de voorpublicatie in januari stond dat de uitzonderingsbepaling voor kleine bedrijven zou worden geschrapt. De termijn voor het indienen van zienswijzen op de hernieuwde voorpublicatie liep tot 22 juni; bij het ontwerp waren een regelgevingseffectanalyse en een toelichting per artikel gevoegd. De uitbreiding van de openbaarmaking die vorig jaar oktober als 'kortetermijntaak' werd gepresenteerd, begint daarmee in 2027, en beursgenoteerde kleine bedrijven beginnen pas twee jaar later met openbaarmaking.
Al de presentatie van het integrale plan liep vertraging op. In de vragenronde begon een woordvoerder van de regeringskant met: 'Over de redenen voor de vertraging van eind september: eigenlijk hebben wij steeds, met de vijf ministeries als kern', en zei vervolgens: 'Het heeft wat langer geduurd.'
Ministerie wijst op dichten van leemten en recht van burgers op informatie
Het ministerie zei met de wijziging leemten in het openbaarmakingssysteem te willen dichten en het recht van burgers op informatie te waarborgen, en bedrijven ertoe te willen brengen informatiebeveiliging niet als kostenpost maar als investering te zien. Vicepremier Bae Kyung-hoon zei op de 20e: 'De openbaarmaking over informatiebeveiliging is een belangrijk systeem dat het recht van burgers op informatie waarborgt en bedrijven aanzet tot vrijwillige investeringen in informatiebeveiliging.' Bae zei: 'Ik hoop dat er een positieve spiraal ontstaat waarin investeringen in informatiebeveiliging verder toenemen en het niveau van informatiebeveiliging in het hele land stijgt.'
De wijzigingen zijn gericht op uitbreiding van de kring van plichtigen. Volgens de hernieuwde voorpublicatie worden in artikel 8, eerste lid, van het besluit de voorwaarde van aanwijzing en melding van een Chief Information Security Officer (CISO) en de voorwaarde van een omzet van 300 miljard won of meer geschrapt en worden op de effectenbeurs en de KOSDAQ genoteerde vennootschappen opgenomen. Volgens de stukken van het ministerie van de 20e vallen Special Purpose Acquisition Companies (SPAC) erbuiten. Wie per eind van het voorgaande jaar volgens de netwerkwet verplicht is tot certificering van een managementsysteem voor informatiebeveiliging (ISMS), wordt als nieuw onderdeel 4 in hetzelfde lid opgenomen. Artikel 8, tweede lid, wordt geschrapt, waarmee de uitsluitingsvoorwaarden voor publieke instellingen, kleine bedrijven, financiële bedrijven en elektronische financiële bedrijven verdwijnen. Ook de grondslag voor het berekenen van het aantal gebruikers verandert, van het daggemiddelde over de laatste drie maanden vóór het einde van het voorgaande jaar naar het daggemiddelde over het hele voorgaande jaar.
Het ministerie zei voor de nieuw verplichte bedrijven 'richtlijnen voor openbaarmaking over informatiebeveiliging' uit te brengen waarin de wijzigingen zijn verwerkt, en advies te bieden. Daarnaast komen er doorlopend online advies en trainingen en rondreizende trainingen in de regio's. In de toelichting bij de hernieuwde voorpublicatie staat dat men de door recente hacks gegroeide ongerustheid van burgers wil wegnemen en de nationale capaciteit op het gebied van informatiebeveiliging wil vergroten. Het ministerie vatte in het persbericht van 9 januari de kern van de wijziging samen als 'schrappen van het omzetcriterium voor beursgenoteerde bedrijven, opname van ISMS-gecertificeerde bedrijven en afschaffing van de uitzonderingsbepalingen', en het doel als 'bevordering van vrijwillige beveiligingsinvesteringen door bedrijven en versterking van het recht van burgers op informatie'. Dezelfde dag zei Choi Woo-hyuk, hoofd van het bureau voor netwerkbeleid van het ministerie: 'Met deze verbetering van het systeem kunnen we de stand van de informatiebeveiliging bij meer bedrijven dan voorheen nagaan.'
Ook KT, waar bij spoedinspectie 'geen bijzonderheden' waren, kwam twee maanden later ter sprake bij briefing over maatregelen
De discussie over uitbreiding van de openbaarmaking kwam pas na grote incidenten in een stroomversnelling. Een functionaris van het ministerie zei op 11 augustus vorig jaar in stukken op Policy Briefing: 'Uit spoedinspecties ter plaatse die naar aanleiding van het inbraakincident bij SKT tot deze week zijn uitgevoerd bij andere telecombedrijven zoals KT en LGU+ en bij grote platformbedrijven zoals Naver, Kakao, Coupang en Woowa Brothers, zijn geen bijzonderheden naar voren gekomen.'
Bij de briefing over het integrale plan ruim twee maanden later werd een incident bij KT, een van de toen geïnspecteerde bedrijven, onderwerp van vragen. Een journalist vroeg: 'Voor zover ik weet is ook het recente probleem met de femtocellen van KT uiteindelijk ontstaan doordat KT niet alle apparaten heeft kunnen vernietigen.' Viceminister Ryu Je-myung antwoordde over de femtocellen: 'Eén ding is het terughalen, het probleem van het terughalen is niet eenvoudig.' Ryu zei verder: 'In verband met het KT-incident willen we nu afschaffen dat kleine betalingen alleen met sms- of ARS-verificatie kunnen.' In dezelfde vragenronde kwam ook het incident bij Lotte Card ter sprake.
Het recept van de regering was meer inspecties en meer openbaarmaking. In de stukken op Policy Briefing stond: 'Om de wijdverbreide ongerustheid over hacking weg te nemen, wordt onmiddellijk een grootschalige controle op beveiligingskwetsbaarheden ingezet voor zo'n 1.600 IT-systemen die door de meerderheid van de burgers worden gebruikt, zoals in de publieke sector, de financiële sector en de telecommunicatie.' Secretaris-generaal Shin Jin-chang zei de controle van 260 systemen in de financiële sector daaronder tegen het einde van die maand af te ronden. De uitbreiding van de openbaarmakingsplicht maakte deel uit van dit maatregelenpakket, maar het uitvoeringsbesluit dat de wettelijke grondslag vormt, werd pas op de 20e van deze maand, bijna een jaar na de briefing, door de ministerraad aangenomen.
Hetzelfde pakket bevatte meerdere taken gericht op bedrijven met incidenten. De regering zei 'de onderzoeksbevoegdheden van de regering uit te breiden, zodat zij bij aanwijzingen voor hacking ook zonder melding snel ter plaatse kan onderzoeken'. De ISMS- en ISMS-P-certificeringsaudits zouden worden omgezet naar audits ter plaatse, en certificeringen zouden bij ernstige tekortkomingen worden ingetrokken. Ook stond erin dat bij hacks als gevolg van nalatige beveiliging door bedrijven de bewijslast voor consumenten wordt verlicht, en dat de oprichting wordt onderzocht van een fonds dat boete-inkomsten uit datalekken onder meer gebruikt om slachtoffers te steunen. Ook versterking van de verantwoordelijkheid van de CEO en de rol van de CISO werd als taak genoemd. Bij de briefing werden van de circa 1.600 te controleren systemen 900 grote bedrijven en 260 financiële instellingen genoemd, en een journalist stelde een vraag met verwijzing naar het cijfer van 228 infrastructuurvoorzieningen van publieke instellingen.