ISMS·ISMS-P 간편인증 제도
중소기업의 인증 취득 부담을 완화하기 위해 도입된 제도입니다. 대상 요건과 제외 사유가 모두 조문에 명시되어 있으므로, 자사가 어디에 해당하는지 확인하는 것이 먼저입니다.
근거와 시행 시점
간편인증은 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제47조의7이 신설되면서 도입되었습니다. 해당 조항은 2024년 1월 23일 개정되어 2024년 7월 24일부터 시행되고 있습니다.
대상 사업자는 기존 인증 제도보다 완화된 인증기준과 절차를 적용받습니다.
근거: 정보통신망법 제47조의7 (2024.1.23 개정, 2024.7.24 시행)대상 — 세 가지입니다
간편인증 대상은 법률에서 직접 정한 것 하나와 시행령이 정한 것 둘, 합계 세 가지입니다.
| 근거 | 대상 |
|---|---|
| 법 제47조의7제1항제1호 | 「중소기업기본법」 제2조제2항에 따른 소기업 |
| 영 제49조의2제1항제1호 | 중기업 중 정보통신서비스 부문 전년도(법인은 전 사업연도) 매출액이 300억 원 미만인 자 |
| 영 제49조의2제1항제2호 | 중기업 중 매출액 300억 원 이상이나 주요 정보통신설비를 직접 설치·운영하지 않는 자로서, ISMS·ISMS-P·CSAP 인증을 받은 자가 제공하는 호스팅서비스 또는 클라우드컴퓨팅서비스를 이용하는 자 |
★ 제외 대상 — 소기업이어도 적용받을 수 없는 경우
시행령 제49조의2제2항은 다음에 해당하는 자를 간편인증 특례 대상에서 제외합니다.
| 호 | 제외 대상 |
|---|---|
| 1호 | 법 제47조제2항제1호 또는 제2호에 해당하는 자 = 주요정보통신서비스 제공자(알뜰폰 포함), 집적정보통신시설 사업자 |
| 2호 | 영 제49조제2항제1호 또는 제3호에 해당하는 자 = 매출·세입 1,500억 원 이상 상급종합병원·학교, 전년도 일일평균 이용자 100만 명 이상인 자 |
| 3호 | 가상자산사업자 |
| 4호 | 금융회사 (「전자금융거래법」 제2조제3호) |
영 제49조의2제1항제2호 판단 — 주요 정보통신설비
영 제49조의2제1항제2호의 핵심 요건은 주요 정보통신설비를 직접 설치·운영하지 않을 것입니다. 여기서 인정되는 서비스는 조문상 두 가지로 한정됩니다.
- 호스팅서비스 — 인터넷 홈페이지 구축 및 웹서버 관리 등을 해주는 서비스
- 클라우드컴퓨팅서비스 — 「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률 시행령」 제3조제2호 및 제3호에 따른 서비스
또한 이 서비스를 제공하는 사업자가 ISMS·ISMS-P 또는 CSAP 인증을 받은 자여야 합니다. 인증받지 않은 사업자의 호스팅·클라우드를 이용하는 경우에는 이 항목에 해당하지 않습니다.
의무대상과의 관계
간편인증은 인증 방식에 관한 제도이지 의무 자체를 면제하는 제도가 아닙니다. 인증 의무대상자에 해당한다면 간편인증을 통해서라도 인증을 취득해야 의무를 이행한 것이 됩니다.
자사가 의무대상인지 여부는 별도의 기준으로 판단합니다. 상세한 내용은 ISMS 인증 의무대상 판단 기준을 참고하시기 바랍니다.
준비 착수 전 확인할 사항
- 「중소기업기본법」상 소기업인지 중기업인지 — 이 구분이 근거 조문을 가릅니다
- 정보통신서비스 부문 매출액의 산정 범위와 근거 (법인은 전 사업연도 기준)
- 주요 정보통신설비의 직접 설치·운영 여부, 이용 중인 호스팅·클라우드 사업자의 인증 보유 여부
- 제외 대상 4호에 해당하지 않는지 — 특히 업종 기준(가상자산사업자·금융회사)
- 인증 범위에 포함되는 서비스와 자산의 목록
인증기준의 개수는 유형별로 다르며, 최종 적용 유형과 인증기준은 인증기관과의 협의 과정에서 확정됩니다.