가상자산사업자(VASP) 정보보호 관리체계 인증 요건

가상자산사업자에게 정보보호 관리체계 인증이 필요하다는 사실은 널리 알려져 있으나, 그 법적 성격은 자주 오해됩니다. 정보통신망법상 “의무대상”이 아니라 신고 수리의 요건입니다.

업종별 의무 · 2026.07.29 · 약 5분 · 시큐리스트(주)

근거 조문

「특정 금융거래정보의 보고 및 이용 등에 관한 법률」(특정금융정보법) 제7조제3항은 다음과 같이 정하고 있습니다.

금융정보분석원장은 제1항에도 불구하고 다음 각 호의 어느 하나에 해당하는 자에 대해서는 대통령령으로 정하는 바에 따라 가상자산사업자의 신고를 수리하지 아니할 수 있다.
1. 정보보호 관리체계 인증을 획득하지 못한 자

여기서 말하는 “정보보호 관리체계 인증”의 정의는 같은 법 제5조의2제1항제3호마목2)에 있습니다. 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제47조 또는 「개인정보 보호법」 제32조의2에 따른 인증, 즉 ISMS 또는 ISMS-P를 말합니다.

근거: 특정금융정보법 제7조제3항제1호, 제5조의2제1항제3호마목2)

이 구분은 실무에서 의미가 있습니다.

과태료는 사후 제재이지만, 신고 수리 거부는 사업 개시 자체를 막습니다. 기한을 넘기면 과태료를 내고 이후에 취득하면 되는 구조가 아니라, 인증이 없으면 신고 단계에서 멈춥니다.

또한 취득 시점의 성격도 다릅니다. 의무대상은 “언제까지”이지만, 가상자산사업자는 신고와 갱신신고 시점에 유효한 인증을 보유하고 있어야 합니다. 인증 유효기간이 3년이므로 갱신 주기와 신고 갱신 주기를 함께 관리해야 합니다.

특정금융정보법 시행령 제10조의11제1항은 신고를 하려는 자가 금융정보분석원장이 정하여 고시하는 신고서에 서류를 첨부하여 제출하도록 정하고 있으며, 그 첨부 서류에 법 제5조의2제1항제3호마목2)에 따른 정보보호 관리체계 인증 관련 서류가 포함됩니다.

근거: 특정금융정보법 시행령 제10조의11제1항

정보통신망법 시행령 제49조의2제2항제3호는 가상자산사업자를 간편인증 특례 대상에서 명시적으로 제외하고 있습니다. 「중소기업기본법」상 소기업에 해당하더라도 완화된 인증기준을 적용받을 수 없으며, 일반 ISMS 또는 ISMS-P 기준으로 준비해야 합니다.

근거: 정보통신망법 시행령 제49조의2제2항제3호

특정금융정보법은 둘 중 어느 것이든 인정합니다. 다만 가상자산사업자는 고객확인의무(KYC) 이행 과정에서 실명확인 정보, 거래 내역 등 개인정보의 처리 흐름이 필연적으로 발생합니다.

따라서 개인정보 처리 단계별 요구사항이 포함된 ISMS-P를 검토하는 경우가 많으나, 인증 범위와 준비 부담을 함께 고려하여 판단할 사항입니다. 어느 쪽을 선택하든 신고 요건은 충족됩니다.

가상자산사업자의 인증 범위는 통상 다음을 포함합니다. 실제 범위는 인증기관과의 협의로 확정됩니다.

가상자산사업자의 인증은 일반 정보통신서비스와 달리 개인키 관리와 콜드월렛 운영이 핵심 쟁점이 됩니다. 이 영역의 통제 설계와 증적 확보가 준비 기간을 좌우합니다.

정보통신망법 제47조제2항 기준으로 5개 이하의 문항을 통해 확인하실 수 있습니다. 개인정보를 수집하지 않습니다.