매년 KISA(한국인터넷진흥원)는 일부 기업에 ISMS-P 의무대상자 통보를 발송하고, 6월 30일까지 이의신청(제외의견 제출)을 받습니다. 통보를 받지 못하면 ISMS 인증이 우리 회사와 상관없는 일처럼 보일 수 있습니다. 하지만 이 통보는 단순한 행정 안내일 뿐입니다. 정보통신망법 제47조제2항에 따라 전년도 실적이 기준선을 넘어서는 순간 사전 통보 없이도 법적 인증 의무가 발생합니다.
ISMS 인증 대상인 5가지 기준과 법정 기한, 그리고 KISA 통보 목록에 누락이 발생하는 이유를 정리했습니다.
ISMS 의무대상은 선택이 아닙니다
ISMS-P는 정보보호 및 개인정보보호 관리체계 인증입니다. 보통의 보안 인증(예: SOC 2)은 고객사 요구에 맞춰 기업이 자율적으로 준비하지만, 정보통신망법 제47조제2항은 강제 적용됩니다.
정보통신망법 제47조제2항: 「전기통신사업법」 제2조제8호에 따른 전기통신사업자와 전기통신사업자의 전기통신역무를 이용하여 정보를 제공하거나 정보의 제공을 매개하는 자로서 다음 각 호의 어느 하나에 해당하는 자는 제1항에 따른 인증을 받아야 한다.
법률 조문의 서술어는 받아야 한다로 명시되어 있습니다. 기업의 의사나 사전 통보 여부와 무관하게 요건이 충족되면 즉시 적용됩니다.
ISMS 인증 대상은 언제 정해지나요?
ISMS-P는 모든 기업의 의무가 아닙니다. 소규모 사업자는 대부분 대상에서 제외됩니다.
우리 회사가 ISMS-P 의무대상인지 판단하려면 두 가지를 보면 됩니다. 회사의 사업 유형, 그리고 전년도 실적입니다.
아래 5가지 중 하나라도 해당하면 인증은 의무가 됩니다.
- 주요정보통신서비스 제공자: KISA 안내 기준, 알뜰폰 사업자, 그리고 회선설비를 갖추고 서울 및 모든 광역시에서 서비스하는 기간통신사업자가 해당합니다. (규모 기준 없음)
- 집적정보통신시설 사업자: IDC(데이터센터)를 운영하는 사업자입니다. (규모 기준 없음)
- 전년도 매출액 또는 세입 1,500억원 이상: KISA 안내에 따르면 시행령상 상급종합병원과 재학생 1만 명 이상 고등교육기관이 여기에 해당합니다.
- 정보통신서비스 부문 전년도 매출액 100억원 이상.
- 전년도 일일평균 이용자 수 100만 명 이상: 개인정보 안전성 확보조치 기준의 인터넷망 차단 의무(100만 명)와 집계 방식은 다르지만 기준 수치는 같습니다.
특히 4번(매출액 100억원) 기준은 자칫 잘못 계산하기 쉽습니다.
김·장 법률사무소, 2024년 8월 22일: 전자상거래 매출액에는 최종 소비자(B2C) 매출뿐만 아니라 B2B 매출도 포함된다.
해당 자료에서는 "한국에서 온라인 서비스를 제공하는 국내외 기업" 모두를 의무 범위로 봅니다. 국내 법인이나 사무소가 없어도 의무가 발생할 수 있습니다.
KISA 통보를 기다리지 마세요
통보를 받고 나서 준비를 시작하면 늦습니다. 의무가 시작되기 전에 KISA 통보를 받는다는 보장이 없기 때문입니다. 미리 확인하고 준비하는 편이 안전합니다.
KISA는 시장 조사를 통해 통보 대상 목록을 작성합니다. 김·장 법률사무소 자료에 따르면 2023년 통보 안내문은 4월부터 순차 발송되었습니다. 그러나 KISA의 자체 조회 도구도 시스템의 한계를 명시하고 있습니다.
KISA ISMS-P 인증대상 안내: 과기정통부 및 KISA가 당해 안내한 자에 한하여 조회 가능하며, 별도 안내를 받지 않은 의무대상자는 조회되지 않을 수 있음
규제기관 스스로 명단이 불완전할 수 있음을 밝힌 셈입니다. 반대로 대상이 아닌데 통보를 받는 경우도 있습니다. 잘못 지정되었다고 판단되면 재무제표와 트래픽 자료를 갖추어 당해 6월 30일까지 제외의견(이의신청)을 제출할 수 있습니다.
인증 마감 기한: 다음 해 8월 31일
통보 수신 여부와 관계없이 고시는 이행 마감일을 명확히 규정합니다.
ISMS-P 고시 제19조제4항: 의무대상자에 해당하는 자는 다음 해 8월 31일까지 인증을 받아야 한다.
법적 이행 여부는 인증위원회의 인증 결정일을 기준으로 판단합니다. 인증서 실물 발급은 결정일 이후에 이루어지므로 심사 일정은 8월 31일보다 훨씬 앞서 완료되어야 합니다. 고시 제19조제5항의 기한 연장은 재난 발생 등 협의회가 인정하는 사유에 한하고, 새 기한도 협의회가 정합니다.
기한 내 인증을 받지 않으면 정보통신망법 제47조제2항 위반으로, 제76조제1항제6호의5에 따라 3,000만원 이하의 과태료가 부과될 수 있습니다. 기준을 넘긴 해마다 독립된 의무와 8월 31일이라는 개별 마감 기한이 새로 설정됩니다. 다만 이 과태료가 실제로 부과된 공개된 기록은 저희가 찾지 못했습니다.
2026년 10월 1일 시행되는 개정법에서는 침해사고 미신고 및 시정명령 불이행에 5,000만원 이하 과태료가 신설되며, 인증 미이행 과태료 조항은 제76조제2항으로 이관됩니다. 달력에 표시해 둘 법정 날짜가 하나 더 늘어난 셈입니다.
ISMS-P 의무대상, 먼저 확인하세요
- 전년도 정보통신서비스 매출액 점검: 재무팀과 B2B 매출을 포함한 실적을 확인하세요. (100억원 이상 시 대상)
- 전기통신사업법 등록 유형 확인: 주요정보통신서비스 제공자와 IDC 사업자는 매출과 무관하게 의무 대상입니다.
- 6월 30일 이의신청 기한 챙기기: 부당하게 통보받은 경우 재무제표를 첨부해 제외의견을 제출하는 마감일입니다.
- 다음 해 8월 31일 이전 심사 완료: 기준점은 '인증 결정일'이므로 심사는 최소 수개월 전에 시작해야 합니다.
2026년 8월 25일 기준 KISA 발급 현황에 등록된 유효 ISMS-P 인증서는 1,254건입니다. 이 글을 읽으며 우리 회사 숫자가 떠올랐다면, 확인은 거기서 시작하면 됩니다.
다섯 가지 기준 중 우리 회사가 가장 먼저 넘을 기준은 무엇인가요? 전년도 정보통신서비스 부문 매출액을 찾아보지 않고 바로 답할 수 있으신가요?
참고 자료
- 국가법령정보센터 — 정보통신망 이용촉진 및 정보보호 등에 관한 법률, 제47조 · 제76조. https://www.law.go.kr/법령/정보통신망이용촉진및정보보호등에관한법률
- 과학기술정보통신부 — 정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시, 제19조. https://www.law.go.kr/행정규칙/정보보호및개인정보보호관리체계인증등에관한고시
- 개인정보보호위원회 — 개인정보의 안전성 확보조치 기준 (고시 제2026-9호). https://www.law.go.kr/행정규칙/개인정보의안전성확보조치기준
- KISA — ISMS-P 인증대상. https://isms-p.or.kr/cert/aply/selectCertTrgtDetail.do
- KISA — 의무대상자 제외의견 제출. https://isms-p.or.kr/cert/obli/selectObjcTrgtDetail.do
- KISA — ISMS-P 인증서 발급 현황. https://isms-p.or.kr/sttus/cert/selectCrtfctIsueList.do
- 김·장 법률사무소 — 한국인터넷진흥원(KISA)의 ISMS 인증 의무대상자 지정 통보. https://www.kimchang.com/ko/insights/detail.kc?sch_section=4&idx=27190
- Kim & Chang — Information Security-Related Certification Requirement for Companies Doing On-Line Business in Korea. https://www.kimchang.com/en/insights/detail.kc?sch_section=4&idx=30170
Instagram