ISMS 인증 의무대상 판단 기준
ISMS 인증 의무대상 여부는 사업자가 스스로 확인할 책임이 있습니다. 해당함에도 인증을 취득하지 않은 사실이 확인되면 과태료 부과 대상이 되므로, 기준을 정확히 이해하는 것이 우선입니다.
근거 법령
ISMS 인증 의무는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제47조제2항에 규정되어 있으며, 세부 기준은 같은 법 시행령 제49조에 위임되어 있습니다.
의무대상자의 범위는 「전기통신사업법」 제2조제8호에 따른 전기통신사업자와, 전기통신사업자의 전기통신역무를 이용하여 정보를 제공하거나 정보의 제공을 매개하는 자입니다. 이 범위에 속하면서 아래 기준 어느 하나에 해당하면 의무대상자가 됩니다.
의무대상 5개 기준
| 구분 | 기준 |
|---|---|
| 1 | 주요정보통신서비스 제공자 — 「전기통신사업법」 제6조제1항에 따른 등록을 한 자로서 시행령이 정하는 자 (영 제49조제1항) ① 「전기통신사업법」 제2조제3호에 따른 전기통신회선설비를 설치·보유하고 서울특별시 및 모든 광역시에서 정보통신망서비스를 제공하는 자 ② 「전기통신사업법」 제38조제1항에 따라 기간통신사업자로부터 이동통신서비스를 제공받아 재판매하는 전기통신사업자 — 2025.11.4 신설 |
| 2 | 집적정보통신시설 사업자 (IDC) |
| 3 | 전년도 매출액 또는 세입이 1,500억 원 이상인 자 중 「의료법」 제3조의4에 따른 상급종합병원 또는 직전연도 12월 31일 기준 재학생 수 1만 명 이상인 「고등교육법」 제2조에 따른 학교 (영 제49조제2항제1호) |
| 4 | 정보통신서비스 부문 전년도(법인은 전 사업연도) 매출액이 100억 원 이상인 자. 다만 「전자금융거래법」 제2조제3호에 따른 금융회사는 제외 (영 제49조제2항제2호) |
| 5 | 전년도 일일평균 이용자 수가 100만 명 이상인 자. 다만 금융회사는 제외 (영 제49조제2항제3호) |
실무에서 자주 어긋나는 네 지점
1. 금융회사는 4·5번 기준에서 제외됩니다
시행령 제49조제2항제2호와 제3호에는 각각 "다만, 「전자금융거래법」 제2조제3호에 따른 금융회사는 제외한다"는 단서가 있습니다. 은행·금융투자업자·보험회사·여신전문금융회사 등은 매출액과 이용자 수가 기준을 넘더라도 이 두 항목으로는 의무대상이 되지 않습니다.
2. 알뜰폰(MVNO)이 2025년 11월 4일 신규 편입되었습니다
시행령 제49조제1항제2호가 신설되어, 기간통신사업자로부터 이동통신서비스를 제공받아 재판매하는 전기통신사업자가 주요정보통신서비스 제공자에 포함되었습니다. 매출 규모나 이용자 수와 무관하게 의무대상이 됩니다. 상세는 알뜰폰 ISMS 인증 의무를 참고하시기 바랍니다.
3. 3번은 종합병원이 아니라 상급종합병원입니다
일부 요약 자료에서 "종합병원"으로 기술되는 경우가 있으나, 시행령이 정한 대상은 「의료법」 제3조의4에 따른 상급종합병원입니다. 두 개념은 지정 요건과 범위가 다르므로 병원 규모만으로 판단해서는 안 됩니다.
4. 4번의 매출액은 전사 매출이 아닙니다
정보통신서비스 부문 매출이며, 법인의 경우 전 사업연도가 기준입니다. 제조업이나 유통업을 주력으로 하면서 부수적으로 온라인 서비스를 운영하는 경우, 전사 매출이 크더라도 부문 매출이 100억 원 미만이면 이 기준에는 해당하지 않습니다. 산정 근거를 문서로 남겨 두는 편이 안전합니다.
5번의 이용자 수 기준은 전년도 일일평균입니다. 과거에는 "전년도 말 기준 직전 3개월간의 일일평균"이었으나, 2024년 1월 23일 개정으로 매출액·세입·이용자 수의 판단 기준이 연도 단위로 통일되었습니다. 개정 전 기준을 인용한 자료가 아직 유통되고 있으므로 주의가 필요합니다.
해외 사업자
정보통신망법은 인증 의무대상자를 국내 사업자로 한정하고 있지 않습니다. 해외 사업자라도 위 요건에 해당하면 인증 의무가 발생합니다. 특히 사업의 성격이 아닌 규모 기준인 4번·5번에 해당하는지를 사전에 확인할 필요가 있습니다.
취득 기한과 유효기간
인증 의무대상자는 의무대상에 최초로 해당된 해의 다음 해 8월 31일까지 인증을 취득해야 합니다.
| 구분 | 내용 |
|---|---|
| 취득 기한 | 최초 해당 연도의 다음 해 8월 31일 |
| 기한의 기준 | 인증서 발급 시점 (심사 신청 시점이 아님) |
| 인증 종류 | ISMS와 ISMS-P 중 선택 가능 |
| 유효기간 | 3년 (법 제47조제5항) |
| 사후관리 | 연 1회 이상 (법 제47조제8항) |
ISO 27001을 보유한 경우
정보통신망법 제47조제3항은 의무대상자가 과학기술정보통신부령이 정하는 바에 따라 국제표준 정보보호 인증을 받았거나 정보보호 조치를 취한 경우 인증 심사의 일부를 생략할 수 있도록 정하고 있습니다. 세부 생략 범위는 과학기술정보통신부장관이 정하여 고시합니다.
다만 생략은 심사의 일부에 관한 것이며, 인증 자체가 면제되는 것은 아닙니다.
근거: 정보통신망법 제47조제3항미이행 시 조치
인증 의무대상자가 인증을 받지 않은 경우 3천만 원 이하의 과태료가 부과됩니다. 과태료와 별개로, 이후 개인정보 유출 사고 등이 발생한 경우 인증 의무 미이행 사실이 불리한 정황으로 작용할 수 있습니다.
근거: 정보통신망법 제76조제1항제6호의5의무대상이 아닌 경우
의무대상 기준에 해당하지 않더라도 자율적으로 인증을 신청할 수 있으며, 이 경우 임의신청자로 분류됩니다. 인증 취득이 계약 요건으로 요구되거나, 공공 입찰·대기업 협력사 등록에서 평가 요소가 되는 경우에 검토하게 됩니다.