2027년 ISMS-P 인증 의무화
개인정보보호법 제32조의2 신설로 ISMS-P 인증이 의무화됩니다. 다만 근거 법률은 확정된 반면 대상 기준과 취득 기한은 아직 시행령 입법예고 단계입니다. 이 구분이 실무 판단의 출발점입니다.
먼저 — 확정도부터 구분해야 합니다
ISMS-P 의무화를 다루는 자료가 늘고 있으나, 확정된 법률과 아직 확정되지 않은 시행령이 섞여 서술되는 경우가 많습니다. 실무 판단에서는 이 구분이 가장 중요합니다.
| 층위 | 내용 | 확정도 |
|---|---|---|
| 근거 법률 | 개인정보보호법 제32조의2 신설 | 확정 2026.3.10 공포 2026.9.11 시행 |
| 대상 기준 | 4개 유형(안) | 입법예고 미확정 |
| 취득 기한 | 2028년까지(안) | 입법예고 미확정 |
| 시행 시점 | 2027년 7월 | 개인정보위 발표 |
| 제재 | 3천만 원 이하 과태료 | 보도 기반 |
| 인증체계 3단계 재편 | 강화·표준·간편 | 추진 중 |
확정된 것 — 법률 제32조의2
2026년 2월 12일 국회 본회의를 통과한 개인정보 보호법 개정안은 2026년 3월 10일 공포되어 2026년 9월 11일 시행됩니다. 개정 내용 중 인증에 관한 부분은 다음과 같습니다.
매출액, 개인정보 처리 규모 등을 고려하여 대통령령으로 정하는 기준에 해당하는 개인정보처리자에 대하여 개인정보 보호 인증을 의무화한다.
같은 개정에서 다음 사항도 함께 도입되었습니다.
- 사업주·대표자를 개인정보 보호의 최종 책임자로 명시
- 일정 규모 이상 개인정보처리자의 개인정보 보호책임자(CPO) 지정·변경·해제 시 이사회 의결 및 개인정보위 신고 의무 (제31조제3항)
- CPO 업무 범위에 전문 인력 관리·예산 확보, 대표자 및 이사회 보고 추가 (제31조제4항)
확정되지 않은 것 — 시행령 입법예고안
개인정보보호위원회는 2026년 6월 2일부터 7월 13일까지 개인정보 보호법 시행령 일부개정령안을 입법예고했습니다. 여기에 ISMS-P 의무 대상이 제시되었습니다.
| 유형 | 대상(안) |
|---|---|
| 1 | 공공시스템운영기관 중 개인정보보호위원회가 정하여 고시하는 자 |
| 2 | 이동통신사업자 |
| 3 | 본인확인기관 |
| 4 | 전년도 매출액 1조 원 이상이면서 정보통신서비스 부문 매출액 100억 원 이상이고, 처리하는 정보주체 수 요건을 충족하는 대규모 개인정보처리자 |
입법예고안에는 의무 대상의 인증 취득 기한을 2028년까지로 두는 내용도 포함되어 있습니다.
ISMS 의무와는 별개 제도입니다
실무에서 가장 자주 혼동되는 지점입니다. 두 의무는 근거 법률·소관 부처·대상이 모두 다릅니다.
| 구분 | ISMS 인증 의무 | ISMS-P 인증 의무 |
|---|---|---|
| 근거 | 정보통신망법 제47조제2항 | 개인정보보호법 제32조의2 |
| 소관 | 과학기술정보통신부 | 개인정보보호위원회 |
| 대상 | ISP·IDC·알뜰폰, 매출·이용자 규모 기준 | 공공시스템운영기관·이동통신사업자·본인확인기관·대규모 개인정보처리자(안) |
| 취득 인증 | ISMS 또는 ISMS-P 중 선택 | ISMS-P |
| 기한 | 의무대상 된 다음 해 8월 31일 | 2028년까지(안) |
| 제재 | 3천만 원 이하 과태료 | 3천만 원 이하 과태료(보도) |
| 현재 | 시행 중 | 법률 확정 · 시행령 미확정 |
함께 추진 중인 인증체계 개편
과학기술정보통신부와 개인정보보호위원회는 2026년 4월 10일 「정보보호 및 개인정보보호 관리체계 인증제 실효성 강화방안」을 발표했습니다. 서면·스냅샷 중심의 심사에서 실제 운영 상태를 지속적으로 검증하는 방향으로 전환하겠다는 내용입니다.
- 인증체계를 강화인증 · 표준인증 · 간편인증 3단계로 재편(안)
- 강화인증군: 매출 1조 원 이상 주요 ISP·IDC, 매출 3조 원 이상 정보통신서비스 제공자(안). 기존 인증기준(ISMS 80개 / ISMS-P 101개)에 20개 강화 인증기준 추가
- 예비심사 도입, 현장실사 강화
- 패치 관리·취약점 점검 기준 미달 시 인증심사 중단
- 사고 기업 특별점검, 중대·반복 위반 시 인증취소 등 사후관리 강화
이 개편안은 추진 단계이며 확정된 제도가 아닙니다.
근거: 과학기술정보통신부·개인정보보호위원회 「인증제 실효성 강화방안」(2026.4.10 발표)지금 확인할 것
대상 기준이 확정되지 않았다고 해서 준비를 미룰 이유는 없습니다. 확정 여부와 무관하게 필요한 작업이 있습니다.
- 두 축의 해당 여부를 각각 점검 — ISMS 축은 이미 확정된 기준으로 판단 가능합니다
- CPO 지정 체계 정비 — 2026년 9월 11일 시행이며 이사회 의결·신고가 필요합니다. 시행령 확정과 무관하게 준비해야 합니다
- 개인정보 처리 현황 정리 — 처리하는 정보주체 수와 정보통신서비스 부문 매출액을 산정 근거와 함께 문서화해 두면, 시행령 확정 시 즉시 판단할 수 있습니다
- 운영 증적 체계 점검 — 개편 방향이 문서 보유에서 운영 실효성 검증으로 이동하고 있습니다. 접속기록·점검 이력·승인 기록이 일관되게 축적되는 구조인지 확인이 필요합니다