KISA 정보보호제품 신속확인제:
대상·절차·기간·지원 정리 [2026]

2026-10-12 수정 제도 시행 시점(2022년 11월)·처리 기간·수수료 지원 기준을 KISA 안내에 맞게 바로잡고, 확인할 수 없는 사례와 수치를 삭제했다.

KISA 정보보호제품 신속확인제는 국가용 보안요구사항이나 보호프로파일이 없어 CC 인증 등 기존 평가를 받을 수 없는 신기술·융복합 정보보호제품을 대상으로, 보안점검·기능시험 결과를 심의해 신속확인서(유효기간 2년)를 발급하는 제도다.

2022년 11월 시행됐고, KISA가 신속확인서를 받은 중소기업에 보안점검 수수료 일부를 지원한다(2026년 75%, 제품당 최대 1,000만 원, 예산 소진 시 종료).

공공 납품을 노리는 보안 스타트업이라면 1순위로 검토해야 할 절차다.

절차가 여러 고시와 안내에 흩어져 있어 일정과 비용을 가늠하기 어렵다.

이 글은 KISA 안내를 기준으로 절차·기간·지원을 정리하고, 신청을 준비하는 회사의 단계별 준비 일정 예시를 담았다.

보안 실무 10년, 레드팀 운영 경험 기반 SENTRIX 관점으로 정리했다.

한눈에 보는 신속확인제

Q. KISA 신속확인제란 무엇입니까?

A. 국가용 보안요구사항이나 보호프로파일이 없어 기존 평가를 받을 수 없는 신기술·융복합 정보보호제품을 대상으로, 보안점검·기능시험 결과를 심의해 신속확인서(유효기간 2년)를 발급하는 제도입니다. 신속확인서를 받은 제품은 보안적합성 검증 체계상 '나'·'다' 그룹 공공기관에 도입할 수 있고, '가' 그룹 기관은 국가정보원 보안적합성 검증을 따로 거쳐야 합니다.

Q. 누가 신청할 수 있나요?

A. CC 인증·EAL 등 기존 인증 제도에서 평가 기준이 없다고 KISA가 판단한 정보보호제품의 제조사. 사전검토에서 "기존 제도 평가 가능"으로 회신되면 신속확인 대상에서 빠집니다.

Q. 통과까지 얼마나 걸리나요?

A. KISA 안내(2023년)에 따르면 대상 여부 검토 1~2주, 보안점검·기능시험 등 사전 준비 2~6주, 신청부터 신속확인서 발급까지 약 1.5~2개월이 걸립니다. 대상 검토부터 따지면 대략 9~16주입니다.

Q. 비용은 얼마나 드나요?

A. 보안점검·기능시험 수수료가 핵심 비용입니다. KISA는 2026년 신속확인서를 새로 받은 중소기업에 보안점검 수수료의 75%(제품당 최대 1,000만 원)를 예산 범위에서 선착순 지원합니다. 수수료는 제품과 시험기관에 따라 달라 견적으로 확인해야 합니다.

Q. 통과율은 어느 정도인가요?

A. KISA는 공식 통과율을 공개하지 않습니다. 대상 여부 검토에서 기존 평가 제도로 안내되면 신속확인 대상에서 빠지므로, 제출 전 보호프로파일 매핑이 중요합니다.

준비 일정 예시 (자사 준비 기준)

D-0은 목표 발급일이며, 아래 일정은 보완 사항과 기관 일정에 따라 달라지는 준비 예시다.

4단계(자가점검 보완)는 발견된 결함의 조치 범위에 따라 일정이 늘어날 수 있다.

외부 자산 노출, 환경변수 유출, 인증 우회 같은 기본 결함이 점검 직전에 한꺼번에 발견되면 보완에 시간이 걸린다.

대상 여부 검토: 기존 평가 제도와의 구분

사전검토는 KISA가 "이 제품은 신속확인 대상이냐, 기존 인증으로 가야 하느냐"를 판단하는 단계다.

이 단계에서 막히면 신속확인 자체가 시작되지 않는다.

검토에서 나올 수 있는 권고 (예시)

• 제출 서류: 신속확인 대상여부 검토요청서, 제품기능설명서, 아키텍처 다이어그램
• 나올 수 있는 권고:
• 제품의 핵심 기능이 기존 국가용 보호프로파일과 부분 중복
• 일부 기능은 기존 평가(CC) 대상, 나머지는 신속확인 대상으로 분리 권고
• 분리 신청 또는 보호프로파일 적합성 사전 협의 필요

이런 권고에서 알 수 있는 점은 두 가지다.

첫째, 제품 기능 단위로 평가 경로가 달라질 수 있다.

둘째, 제출 전에 보호프로파일 매핑을 해두지 않으면 분리·재신청으로 일정이 늘어난다.

대상 여부 검토를 준비하는 5가지

1. 국가용 보안요구사항·보호프로파일 사전 매핑 — 자사 제품이 어떤 PP에 가까운지 표로 정리
2. 제품기능설명서에 "신기술·융복합" 근거 명시 — AI 기반·SaaS 형태·클라우드 네이티브 등 구체적 차별점
3. 도입 기관 그룹을 미리 확인 — 목표 기관이 보안적합성 검증 '가'·'나'·'다' 중 어느 그룹인지
4. 기존 인증과 중복되는 기능은 분리 표기 — 검토자 입장에서 분리 가능 여부 즉시 판단할 수 있게
5. 보안 자문 1회 검토 후 제출 — 비대상 회신을 받으면 경로를 다시 정해야 해 일정이 밀린다

공공 납품 경로

신속확인서 발급만으로는 매출이 발생하지 않는다.

공공 채널에 등록되어야 실제 발주로 이어진다.

• 나라장터(g2b.go.kr) — 종합쇼핑몰 등록·다수공급자계약(MAS). 가격 협상력은 떨어지지만 진입 장벽이 낮다.
• 지자체·지역 기관 — 지역정보보호센터 등 지역 협력 채널과 발주 공고·RFI(정보 요청서)를 미리 모니터링.

준비가 늦어지는 경우 vs 앞당기는 경우

차이를 만드는 건 "얼마나 일찍 점검을 시작하느냐"다.

오늘 시작할 7가지 체크리스트

1. ☐ 자사 제품을 어떤 정부 보호프로파일과 비교해야 하는지 1페이지로 정리한다.
2. ☐ 제품기능설명서 v1을 만들고 신기술·융복합 근거를 한 단락으로 명시한다.
3. ☐ 공공 납품 경로 중 우선순위 1개를 정한다.
4. ☐ 외부에 노출된 도메인·서브도메인·포트를 30초 안에 1차 점검한다 — CodeScan 무료 스캔으로 외부 노출을 먼저 확인할 수 있다.
5. ☐ .env·시크릿 키·관리자 페이지 노출 여부를 코드 검색으로 확인한다.
6. ☐ 침해사고 대응 절차의 책임자·연락망을 갱신한다.
7. ☐ 보안 자문 1회와 사전검토 1차 회신 일정을 동일 주에 배치한다.

체크 항목 절반 이상이 "확인 안 됨"이면 준비를 더 일찍 시작해야 한다.

SENTRIX가 도와주는 지점

SENTRIX는 보안 실무 10년 경력의 레드팀이 운영하는 보안 전문 기업이다.

신속확인제 자문은 두 가지로 압축된다.

• 제품설명서·보안 요구사항 매핑 검토
• 외부 자산 점검 + 자가점검 보고서 — 보안점검 전에 기본 결함을 미리 찾아 조치

가격·범위는 기업 보안 진단 페이지에서 확인할 수 있다.

다음에 해야 할 한 가지

평가 기준이 없어 CC 인증을 받을 수 없는 신기술 제품이라면 신속확인제가 공공 납품을 여는 현실적인 경로다.

오늘 시작할 수 있는 두 가지 행동을 제안한다.

• 👉 개발자·실무자: 30초 무료 보안 스캔 — 사전점검 단계에서 막힐 결함을 미리 잡는다.
• 👉 임원·CISO: 진단 문의하기 — 30분 1:1 상담, 영업일 기준 24시간 내 회신. 대상 여부 검토 준비를 함께 점검한다.

관련 글
- 미토스 쇼크란? AI 해킹 시대 기업이 즉시 점검할 7가지 [2026]
- 9월 11일 시행 개정 개인정보보호법, 과징금 상한 10%는 중대·반복 3가지 경우만

참고 자료

• KISA 보도자료: 정보보호제품 신속확인 제도 안내(2023.3.9)
• 국가법령정보센터: 정보보호시스템 평가·인증 등에 관한 고시(신속확인 제8장)
• KISA: 정보보호제품 신속확인 안내