ISMS 인증 의무대상 자가진단

ISMS 의무(정보통신망법 제47조제2항)와 ISMS-P 의무(개인정보보호법 제32조의2) 두 축을 함께 확인합니다. 두 제도는 근거 법률과 대상이 다르며, 한쪽에 해당하지 아니하여도 다른 쪽에 해당할 수 있습니다.

개인정보를 수집하지 않습니다 · 입력값은 서버로 전송되지 않습니다

문항 1

조직의 사업 형태에 해당하는 항목을 선택하십시오.

둘 이상 해당하는 경우 상단 항목을 선택하십시오.

문항 3

「전자금융거래법」 제2조제3호에 따른 금융회사입니까?

은행, 금융투자업자, 보험회사, 여신전문금융회사 등이 해당합니다.

문항 2

전년도 연간 매출액 또는 세입이 1,500억 원 이상입니까?

문항 4

정보통신서비스 부문의 전년도 매출액이 100억 원 이상입니까?

전사 매출이 아니라 정보통신서비스 부문 매출 기준입니다. 법인은 전 사업연도 기준입니다.

문항 5

전년도 일일평균 이용자 수가 100만 명 이상입니까?

문항 6 · ISMS-P 축

다음 중 해당하는 것이 있습니까?

개인정보보호법 제32조의2에 따른 ISMS-P 인증 의무 대상 여부를 확인합니다. 아래 기준은 2026년 6월 2일 입법예고된 시행령 개정안 기준이며 확정 전입니다.

ISMS 인증 의무 (정보통신망법) — 판단 근거

ISMS-P 인증 의무 (개인정보보호법)

인증 취득 기한

참고

의무대상자는 ISMS 인증과 ISMS-P 인증 중 선택하여 취득할 수 있습니다.
의무대상에 해당하지 않더라도 자율적으로 신청하여 인증을 받을 수 있습니다(임의신청자).
의무대상 해당 여부는 사업자가 스스로 확인할 책임이 있습니다.

상담 신청 판단 기준 자세히 보기

본 진단은 참고 자료입니다. 실제 의무대상 해당 여부는 사업 구조, 매출 산정 방식, 서비스 범위에 따라 달라질 수 있으며 최종 판단과 그 책임은 사업자에게 있습니다. 판단이 모호한 경우 전문가의 검토를 요합니다.

판정 기준

정보통신망법 제47조제2항 · 시행령 제49조

인증 의무대상자는 「전기통신사업법」 제2조제8호에 따른 전기통신사업자와, 전기통신사업자의 전기통신역무를 이용하여 정보를 제공하거나 정보의 제공을 매개하는 자 중에서 아래 기준 어느 하나에 해당하는 자입니다.

구분	기준
1	주요정보통신서비스 제공자 — 아래 둘 중 하나 (영 제49조제1항) ① 전기통신회선설비를 설치·보유하고 서울특별시 및 모든 광역시에서 정보통신망서비스를 제공하는 자 ② 기간통신사업자로부터 이동통신서비스를 제공받아 재판매하는 전기통신사업자(알뜰폰) — 2025.11.4 신설
2	집적정보통신시설 사업자 (IDC)
3	전년도 매출액 또는 세입이 1,500억 원 이상인 자 중 「의료법」 제3조의4에 따른 상급종합병원 또는 직전연도 12월 31일 기준 재학생 수 1만 명 이상인 「고등교육법」 제2조에 따른 학교
4	정보통신서비스 부문 전년도(법인은 전 사업연도) 매출액이 100억 원 이상인 자 ※ 「전자금융거래법」 제2조제3호에 따른 금융회사는 제외
5	전년도 일일평균 이용자 수가 100만 명 이상인 자 ※ 「전자금융거래법」 제2조제3호에 따른 금융회사는 제외

금융회사는 4번·5번 기준에서 제외됩니다. 시행령 제49조제2항제2호·제3호에 단서로 명시되어 있습니다. 매출과 이용자 수만 보고 판단하면 금융회사가 의무대상으로 잘못 분류됩니다. 다만 금융회사에는 「전자금융거래법」 및 전자금융감독규정에 따른 별도의 정보보호 의무가 적용됩니다.

3번은 종합병원이 아니라 상급종합병원입니다. 일부 요약 자료에서 “종합병원”으로 기술되는 경우가 있으나 시행령이 정한 대상은 「의료법」상 상급종합병원이며, 두 개념의 범위가 다릅니다. 판단 시 주의가 필요합니다.

인증 의무대상자는 국내 사업자로 한정되지 않습니다. 해외 사업자라도 위 요건에 해당하면 인증 의무가 발생합니다.

알뜰폰(MVNO) 사업자

시행령 제49조제1항제2호 · 2025.11.4 신설

2025년 11월 4일 공포·시행된 시행령 개정(대통령령 제35837호)으로, 기간통신사업자로부터 이동통신서비스를 제공받아 재판매하는 전기통신사업자가 주요정보통신서비스 제공자에 포함되었습니다. 매출 규모나 이용자 수와 무관하게 의무대상이 됩니다.

구분	내용
공포·시행	2025년 11월 4일 (부칙 제1조 — 공포한 날부터 시행)
기존 사업자	적용됨 (부칙 제2조 적용례 — 시행 당시 이미 재판매 중인 사업자 포함)
경과조치	없음 — 별도의 유예기간이 부여되지 아니하였습니다
간편인증	적용 불가 — 영 제49조의2제2항제1호에 따라 특례 대상에서 제외

취득 기한을 역산하십시오. 2025년 중 의무대상이 되었으므로 고시 제19조제4항의 일반 원칙을 적용하면 기한은 2026년 8월 31일이 됩니다. 심사신청부터 인증서 발급까지 통상 7개월 이상이 소요되는 점을 고려할 필요가 있습니다.

취득 기한과 미이행 시 조치

고시 제19조제4항 · 정보통신망법 제76조

구분	내용
취득 기한	의무대상에 최초로 해당된 해의 다음 해 8월 31일까지
기한의 의미	인증서 발급 기준입니다. 심사 신청 기준이 아닙니다.
미이행 시	3천만 원 이하의 과태료

기한이 인증서 발급 기준이라는 점이 실무에서 가장 자주 간과됩니다. 인증기관의 심사 일정과 결함 조치 기간을 역산해 준비를 시작해야 하며, 심사신청부터 인증서 발급까지의 행정 절차는 통상 7개월 이상 소요됩니다.

과태료와 별개로, 이후 개인정보 유출 사고 등 정보보호 체계와 관련한 사안이 발생한 경우 인증 의무 미이행 사실이 불리한 정황으로 작용할 수 있습니다.

다음 단계

의무대상 여부를 확인한 뒤

판단 기준의 상세한 해설은 ISMS 인증 의무대상 판단 기준에서, 중소기업 대상 완화 제도는 ISMS·ISMS-P 간편인증 제도에서 확인하실 수 있습니다. 준비 기간과 비용에 관한 사항은 자주 묻는 질문에 정리되어 있습니다.