2026-10-12 수정 ISMS-P 의무화 대상(시행령 미확정), 인증 3단계의 법적 근거와 강화 대상, 이사회 의결 범위, 인증 소요 기간을 1차 자료에 맞게 바로잡았습니다.
무엇이 바뀌었나
2026년 2월 12일, 개인정보보호법 일부개정안이 국회를 통과했습니다. 2026년 3월 10일 법률 제21445호로 공포돼 2026년 9월 11일부터 시행되고 있습니다. ISMS-P 인증 의무화(제32조의2제1항 단서) 등 일부 조항만 2027년 7월 1일부터 시행됩니다.
이번 개정은 단순한 조문 수정이 아닙니다. 일정 기준 이상 처리자에게 ISMS-P 인증이 의무가 되고, 세 가지 중대 위반에는 과징금 상한이 전체 매출의 10%까지 올라갔습니다. 경영진이 "보안팀에 맡겨놨으니 괜찮겠지"라고 생각할 수 없는 구조가 됐습니다.
변화 1: ISMS-P 인증 의무화
지금까지 ISMS-P 인증은 자율 인증입니다(ISMS 인증은 정보통신망법에 따라 일정 기준 사업자에게 의무). 개정법은 매출액·개인정보 처리 규모 등 대통령령 기준에 해당하는 개인정보처리자에게 ISMS-P 인증을 의무화했습니다(제32조의2제1항 단서, 2027년 7월 1일 시행).
대상은 아직 확정되지 않았습니다:
- 2026년 6월 시행령 입법예고안은 ① 개인정보위가 고시하는 공공시스템운영기관 ② 이동통신사업자 ③ 본인확인기관 ④ 전년도 매출액 1조 원 이상이고 정보통신서비스 부문 매출액 100억 원 이상이면서, 전년도 말 기준 직전 3개월간 임직원 정보를 제외한 국내 정보주체 수가 일평균 3,000만 명 이상인 자(「전자금융거래법」 제2조제3호의 금융회사 제외) 중 하나를 대상으로 제시했지만, 9월 공포된 시행령에는 들어가지 않았습니다
- 개인정보위는 2027년 상반기까지 시행령으로 대상 범위를 정하고, 대상 기업·기관은 2028년 12월 31일까지 인증을 받도록 할 계획이라고 밝혔습니다(2026년 9월 10일 브리핑)
지금 해야 할 것: 시행령으로 확정될 대상 기준을 지켜보고, 대상이 아니더라도 고객사·공공 입찰이 인증이나 진단 증적을 요구하는지부터 점검하세요.
변화 2: 인증 3단계 차등 적용
정부는 2026년 4월 「정보보호 및 개인정보보호 관리체계 인증제 실효성 강화방안」에서 인증을 강화·표준·간편 3단계로 나누겠다고 밝혔습니다. 강화 적용의 근거는 개정 정보통신망법 제47조의7과 같은 법 시행령 제55조의7(2026년 10월 1일 시행)에 있습니다.
| 등급 | 대상 | 비고 |
|---|---|---|
| 간편 인증 | 소기업 등 | 2024년 7월부터 완화 기준 적용 중 |
| 표준 인증 | 그 밖의 인증 대상 | 현행 기준 |
| 강화 인증 | ISMS 의무 대상 중 전년도 매출액 1조 원 이상 주요정보통신서비스 제공자·집적정보통신시설 사업자, 전년도 매출액 3조 원 이상 정보통신서비스 제공자, 최근 3년 안에 침해사고로 민·관합동조사단의 조사를 받았거나 과징금 처분을 받은 정보통신서비스 제공자 | 세부 기준은 고시로 정하며 정부는 2027년 적용을 목표로 함 |
강화 인증은 서류만으로 끝나지 않는 방향입니다. 실제 보안 수준이 뒷받침돼야 합니다.
변화 3: 과징금 — 중대·반복 위반은 전체 매출의 최대 10%
일반적인 위반의 과징금 상한은 종전과 같이 전체 매출액의 3%(매출액이 없거나 산정이 어려우면 20억 원)입니다. 개정법은 아래 세 가지 중 어느 하나에 해당하는 경우에만 상한을 전체 매출액의 10%(매출액이 없거나 산정이 어려우면 50억 원)로 높였습니다(제64조의2제2항).
- 과징금 부과처분을 받은 날부터 3년 안에 같은 유형의 위반을 되풀이한 경우(앞뒤 위반 모두 고의·중과실일 때)
- 고의·중과실로 위반해 1천만 명 이상에게 피해가 난 경우
- 시정명령을 따르지 않아 개인정보 유출 등이 일어난 경우
3%와 10%는 부과할 수 있는 상한이지 정해진 부과율이 아닙니다. 실제 과징금은 전체 매출액에서 위반행위와 관련 없는 매출액을 뺀 금액을 기준으로 산정합니다(제64조의2제3항). 반복 위반 요건은 2026년 9월 11일 이후 발생한 위반으로 과징금 처분을 받은 뒤부터 따집니다(부칙 제3조).
매출 100억 원 기업이라면 일반 위반의 상한은 3억 원이고, 위 세 가지 경우 중 어느 하나에 해당할 때만 상한이 10억 원까지 올라갑니다.
그리고 경영진 책임도 분명해졌습니다:
- 사업주 또는 대표자가 개인정보 보호의 최종 책임자로 명시됐습니다(제30조의3)
- 대통령령 기준에 해당하는 처리자는 CPO를 지정·변경·해제할 때 이사회 의결(법인인 경우)을 거치고 개인정보위에 신고해야 합니다(제31조제3항)
- CPO는 대표자와 이사회에 개인정보 보호 현황과 주요 사항을 보고합니다(제31조제4항제3호)
보안 사고가 나면 "몰랐다"로 넘어가기 어렵습니다. 대표자의 책임 이행 정도는 과징금을 정할 때 고려됩니다(시행령 제60조의2).
기업별 대응 전략
소규모 기업 (간편 인증 대상)
- 개인정보 처리 현황 파악 (어디서 수집, 어디에 저장, 누가 접근)
- 기본 보안 조치 (접근 통제, 암호화, 로그 관리) 점검
- 간편 인증 서면 준비
중견 기업 (표준 인증 대상)
- ISMS-P 인증 범위 재정의
- 기술적 보호조치 실효성 점검 (취약점 진단, 접근 통제 현황)
- 현장 심사 대비 증적 관리 체계 구축
대형 정보통신서비스 기업 (강화 인증 대상)
- 모의침투 테스트 사전 수행 검토 — 실제 공격 경로와 조치 필요 사항을 미리 확인합니다
- 침해 대응 시나리오 수립 및 훈련
- 이사회 보고 체계 정비 (CPO 지정 의결·보고 프로세스)
2027년 7월, 생각보다 짧다
ISMS-P 인증은 관리체계를 구축해 최소 2개월 이상 운영한 뒤 신청할 수 있고(인증 고시 제17조), 신청부터 인증서 발급까지 약 3~4개월이 걸립니다(정부 자료). 구축 기간을 빼고도 5~6개월 이상을 잡아야 하므로, 대상이 될 가능성이 있다면 지금 준비를 시작해야 합니다.
특히 강화 인증 대상 기업은 모의침투 테스트, 침해 대응 훈련 등 기술적 준비에 시간이 필요합니다. 서류 작업보다 실제 보안 수준을 올리는 데 더 많은 시간이 듭니다.
SENTRIX가 도울 수 있는 것
SENTRIX는 보안 실무 10년, 레드팀 운영 경험을 바탕으로 ISMS-P 대응을 지원합니다:
- 갭 분석: 현재 보안 수준과 개정 기준 사이의 차이 진단
- 모의침투 테스트: 실제 공격 경로를 검증하는 사전 점검
- 취약점 진단: 웹/앱/인프라 전반 기술 점검
- 이행 컨설팅: 조치 우선순위 설정, 증적 관리, 심사 대비