정보보호 및 개인정보보호관리체계 인증/변화

정보보호 및 개인정보보호관리체계 인증/변화는 정보보호 및 개인정보보호관리체계 인증(ISMS-P) 제도가 ISMS와 PIMS의 도입부터 2018년 통합을 거쳐 지금까지 어떻게 바뀌어 왔는지를 정리한 문서이다. 인증기준 자체의 개정은 ISMS-P 인증 기준/개정 문서에서 다룬다.

개요

ISMS-P 제도는 여러 층의 문서로 이루어져 있고, 각 층이 따로 개정된다.

구분	문서	내용	판
법률	「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제47조·제47조의7, 「개인정보 보호법」 제32조의2	인증 근거, 의무대상, 인증 취소 사유	법 개정 때마다
고시	「정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시」	인증 절차, 인증기관과 심사기관, 심사원, [별표 7] 인증기준	2018.11 전부개정 후 5차례 일부개정
인증제도 안내서	ISMS-P 인증제도 안내서	인증 대상과 범위, 심사 절차, 사후관리	2021.7, 2024.7
인증기준 문서	세부점검항목, 인증기준 안내서	인증기준별 확인사항과 해설	ISMS-P 인증 기준/개정 참고

고시 개정일은 국가법령정보센터에 실린 고시 부칙의 날짜다. 2018년 이전 연혁과 기관 지정은 2024년 인증제도 안내서의 '인증제도 추진경과'를 따랐다.

연표

시기	내용
2001년 7월	「정보통신망법」 개정으로 정보보호 관리체계(ISMS) 인증 도입
2010년 11월	방송통신위원회 의결(제2010-66-273호)로 개인정보보호 관리체계(PIMS) 인증 도입, 2011년부터 주요 정보통신서비스 제공자 대상으로 시행
2013년 2월	ISMS 인증 의무화(ISP, IDC, 매출액과 이용자 수 등 일정 기준에 해당하는 정보통신서비스 제공자), PIMS 법적 근거 마련
2013년 11월	「개인정보 보호법」 개정으로 개인정보보호 인증(PIPL) 법적 근거 마련
2014년~2015년	한국정보통신진흥협회(KAIT, 2014년 4월)와 한국정보통신기술협회(TTA, 2015년 2월)를 ISMS 심사기관으로, 금융보안원(FSI, 2015년 7월)을 ISMS 인증기관으로 지정
2016년 1월	행정안전부와 방송통신위원회 공동고시로 PIPL과 PIMS 통합
2016년 6월	연간 매출액 또는 세입 1,500억 원 이상인 자 중 일정 요건 해당자를 ISMS 의무대상에 추가
2018년 11월 7일	ISMS와 PIMS를 통합한 「정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시」 전부개정 시행
2019년 7월	금융보안원을 ISMS-P 인증기관으로, 한국정보통신기술협회와 한국정보통신진흥협회를 ISMS-P 심사기관으로 확대 지정
2020년 2월	개인정보보호협회(OPA) 심사기관 추가 지정
2020년 8월 5일	고시 개정. 개인정보보호 기능이 개인정보보호위원회로 일원화되면서 소관 부처가 과학기술정보통신부와 개인정보보호위원회로 바뀜
2021년 3월 31일	고시 개정. 심사기관 상시 지정, 사후관리 강화, 재해·재난 발생 시 예외조항 신설
2021년 7월	인증제도 안내서 개정
2022년 7월 21일	고시 개정. 가상자산사업자 대상 ISMS 예비인증 도입
2023년 2월	차세대정보보안인증원(NISC) 심사기관 추가 지정
2023년 10월 5일	고시 개정. 「개인정보 보호법」 개정을 반영해 인증기준이 102개에서 101개로 바뀜
2024년 7월 24일	고시 개정. 중소기업 대상 ISMS-P 인증의 특례(간편인증) 시행, 인증제도 안내서 개정
2026년 2월	ISMS-P 플랫폼 개통. 인증 신청을 전자우편에서 누리집 신청으로 전환
2026년 3월	「개인정보 보호법」 개정 공포(ISMS-P 의무화, 2027년 7월 1일 적용 예정), 「정보통신망법」 개정 공포(인증 강화 적용 근거, 인증 취소 사유 추가)
2026년 4월 10일	과학기술정보통신부와 개인정보보호위원회가 정보보호 및 개인정보보호 관리체계 인증제 실효성 강화방안 발표

통합 이전

ISMS는 2001년 「정보통신망법」에 근거해 도입되었고, 2013년부터 ISP, IDC와 일정 규모 이상의 정보통신서비스 제공자에게 의무가 되었다. 2016년 6월에는 정보통신망 의존도가 높고 민감정보를 많이 다루는데도 의무대상에서 빠져 있던 기관을 넣기 위해, 연간 매출액 또는 세입 1,500억 원 이상인 자 중 일정 요건에 해당하는 자(상급종합병원, 재학생 1만 명 이상 대학 등)가 의무대상에 들어갔다.

개인정보 쪽은 인증이 둘로 나뉘어 있었다. 방송통신위원회가 2010년 의결로 시작한 PIMS는 2013년 2월 「정보통신망법」에 법적 근거를 얻었고, 행정안전부 소관의 PIPL은 2013년 11월 「개인정보 보호법」에 근거를 얻었다. 두 인증이 따로 운영되어 기업이 혼란스러워하자 2016년 1월 두 부처의 공동고시로 PIPL을 PIMS에 통합했다.

2018년 ISMS-P 통합

2018년 11월 7일 과학기술정보통신부, 행정안전부, 방송통신위원회가 공동고시로 ISMS와 PIMS를 통합했다. 기업이 개인정보 흐름까지 인증받으면 ISMS-P, 정보보호 중심으로만 인증받으면 ISMS가 되는 구조다. ISMS 의무대상자는 ISMS-P를 받아도 의무를 이행한 것으로 인정된다.

구분	ISMS(통합 전)	PIMS(통합 전)	ISMS-P(통합 후)
정책기관	과학기술정보통신부	방송통신위원회, 행정안전부	과학기술정보통신부, 방송통신위원회, 행정안전부(관계부처 협의회)
인증기준 수	104개	86개	102개(ISMS는 80개)
심사원 요건	4년제 대학 졸업 이상, 정보통신·정보보호 유관 경력 합산 6년	ISMS 요건에 개인정보보호 경력 2년 필수	정보보호·개인정보보호·정보기술 경력 합산 6년, 정보보호 경력 1년과 개인정보보호 경력 1년 필수
의무대상자 인증 시한	매년 1월 1일부터 12월 31일까지	해당 없음	다음 해 8월 31일까지
보완조치 기간	최대 90일(재조치 요구 60일 포함)	최대 90일(재조치 요구 60일 포함)	최대 100일(재조치 요구 60일 포함)

출처: 한국인터넷진흥원, 「인증제도 통합에 따른 고시 개정사항 안내」 '고시 주요 개정사항(종합)'

인증기준이 어떻게 합쳐졌는지는 ISMS-P 인증 기준/개정 문서에 있다.

경과조치

고시 시행 후 6개월(2019년 5월 7일)까지는 개정 전 인증기준으로 최초심사와 갱신심사를 받을 수 있었다. 기존 ISMS·PIMS 심사원에게도 자격 전환 기간을 주었다. 의무대상자의 '다음 해 8월 31일' 시한은 통합 고시 시행 후 의무대상자, 곧 2019년도 의무대상자부터 적용되었다.

인증기관과 심사기관

통합 뒤 한국인터넷진흥원과 금융보안원이 인증기관을 맡고, 심사기관이 차례로 늘었다.

기관	지정
금융보안원(FSI)	2015년 7월 ISMS 인증기관, 2019년 7월 ISMS-P 인증기관으로 확대
한국정보통신진흥협회(KAIT)	2014년 4월 ISMS 심사기관, 2019년 7월 ISMS-P 심사기관으로 확대
한국정보통신기술협회(TTA)	2015년 2월 ISMS 심사기관, 2019년 7월 ISMS-P 심사기관으로 확대
개인정보보호협회(OPA)	2020년 2월 심사기관 지정
차세대정보보안인증원(NISC)	2023년 2월 심사기관 지정

심사기관 지정은 2021년 3월 고시 개정으로 상시 지정이 가능해졌다. 자세한 내용은 ISMS-P 심사기관 문서에 있다.

2020년 소관 부처 변경

2020년 8월 「개인정보 보호법」 개정으로 행정안전부와 방송통신위원회에 나뉘어 있던 개인정보보호 기능이 개인정보보호위원회로 모였다. 이에 맞춰 같은 달 5일 고시가 개정되어 인증제도 소관 부처가 과학기술정보통신부와 개인정보보호위원회 두 곳이 되었다.

2021년 고시 개정

2021년 3월 31일 고시가 개정되었다. 인증제도 안내서는 이를 "심사기관 상시 지정, 현장실사 등 사후관리를 강화하였으며, 지정취소 및 업무정지 사실의 공고기준을 마련"한 것으로 설명한다. 재해·재난이 발생했을 때의 예외조항도 이때 생겼다. 같은 해 7월 인증제도 안내서가 개정되어 2020년 소관 부처 변경, 개인정보보호협회 심사기관 지정, 이 고시 개정을 반영했다.

2022년 ISMS 예비인증

「특정 금융거래정보의 보고 및 이용 등에 관한 법률」 제7조 제1항에 따라 신고하려는 가상자산사업자는 ISMS 인증이 필요하지만, 신규 사업자는 2개월 이상 운영 이력이 없어 본인증 심사를 받을 수 없었다. 2022년 7월 고시에 가상자산사업자 인증 특례조항을 넣어, 실제 서비스 전에 임시로 구축·운영한 시스템을 심사하는 ISMS 예비인증을 시행했다.

2023년 고시 개정

2023년 10월 5일 고시 개정은 같은 해 3월 개정되어 9월 15일 시행된 「개인정보 보호법」을 반영한 것이다. 정보통신서비스 제공자 특례가 일반 규정으로 합쳐지고 개인정보 유효기간제가 없어지는 등 법이 바뀌면서 인증기준이 102개에서 101개로 줄었다. 고시에 이어 10월 31일 세부점검항목, 11월 23일 인증기준 안내서가 개정되었다. 바뀐 기준의 내용은 ISMS-P 인증 기준/개정 문서에 있다.

2024년 인증의 특례(간편인증)

2024년 1월 23일 「정보통신망법」에 제47조의7(정보보호 관리체계 인증의 특례)이 신설되었고, 같은 해 7월 24일 고시가 개정되어 중소기업에 완화된 인증기준과 절차를 적용하는 ISMS-P 인증의 특례가 시행되었다. ISMS-P 누리집은 이를 '간편인증'이라고도 부른다.

대상	적용 별표	ISMS-P 인증기준 수	ISMS 인증기준 수
소기업, 정보통신서비스 부문 매출액 300억 원 미만인 중기업	[별표 7의2]	62개	40개
정보통신서비스 부문 매출액 300억 원 이상이고 주요 정보통신설비를 직접 운영하지 않는 중기업	[별표 7의3]	65개	44개

ISP, IDC, 상급종합병원, 대학교, 금융회사, 가상자산사업자는 특례 대상에서 빠진다. 의무대상자가 인증의 특례로 인증을 받아도 인증 의무를 이행한 것으로 본다. 적용 별표는 고시 제23조 제3항·제4항이 정한다. 영역별 기준 수는 ISMS-P 인증 기준/개정 문서에 있다.

인증제도 안내서 2021년판과 2024년판

2024년 7월 인증제도 안내서는 2021년판 이후의 제도 변화를 반영했다. 인증 종류에 ISMS 예비인증과 인증의 특례가 들어가면서 '가상자산사업자'와 '중소기업' 절이 새로 생겼고, 2021년판의 '인증 의무대상자 유의사항' 절은 '인증 대상별 유의사항'으로 넓혀졌다. 그 밖에 문구가 달라진 곳은 다음과 같다.

항목	2021년 7월판	2024년 7월판
의무대상 이용자 수 기준	전년도 말 기준 직전 3개월간의 일일평균 이용자 수 100만 명 이상	전년도 일일평균 이용자 수 100만 명 이상
의무대상 매출액 기준(병원, 학교)	연간 매출액 또는 세입 1,500억 원 이상	전년도 매출액 또는 세입 1,500억 원 이상
인증 근거 조문(정보통신망법)	제47조, 제47조의2	제47조, 제47조의2, 제47조의7
사후심사를 받지 않은 경우	인증이 취소된다	고시 제35조(인증의 취소)에 따라 인증이 취소될 수 있다
인증심사 수수료 납부처	심사 수행기관	인증 또는 심사기관
인증기준 수	102개(3장 22개)	101개(3장 21개)

인증 유효기간 3년, 매년 사후심사, 최대 100일의 보완조치 기간, 35명 이하의 인증위원회는 두 판이 같다.

2026년 이후

2026년에는 신청 방식과 법률이 먼저 바뀌었다.

• 2026년 2월 ISMS-P 플랫폼이 열리면서 인증 신청이 누리집 신청으로 바뀌었다. 4월 21일과 5월 12일 신청서 양식이 2.4판, 2.5판으로 개정되었는데, 한국인터넷진흥원은 운영명세서와 인증기준은 그대로라고 밝혔다. 2.5판에서는 정보보호 공시 증빙 서류가 '정보보호 공시 이행 확인서'로 바뀌었다.
• 「개인정보 보호법」 개정안이 2026년 2월 12일 국회 본회의를 통과해 3월 10일 공포되었다. 매출액과 개인정보 처리 규모 등 대통령령으로 정하는 기준에 해당하는 개인정보처리자는 ISMS-P 인증을 받아야 하며, 이 의무 규정은 2027년 7월 1일부터 적용될 예정이다. 지금까지 ISMS만 의무였고 ISMS-P는 임의 인증이었다.
• 「정보통신망법」 개정안이 2026년 3월 12일 국회를 통과해 3월 31일 공포되었다. 제47조의7의 제목이 '정보보호 관리체계 인증의 차등적용 등'으로 바뀌고, 침해사고 시 중대한 위험을 초래할 우려가 있는 자에게 인증기준과 절차를 강화해 적용할 수 있는 근거(제2항)가 생겼다. 정보보호 관계 법령을 중대하게 위반한 경우도 인증 취소 사유(제47조 제10항 제4호)에 들어갔다.
• 2026년 4월 10일 발표된 「정보보호 및 개인정보보호 관리체계 인증제 실효성 강화방안」은 인증을 강화·표준·간편의 3단계로 나누는 안을 내놓았다. 표준인증은 지금의 ISMS 80개·ISMS-P 101개, 간편인증은 ISMS 44개·ISMS-P 65개이고, 강화인증은 표준인증기준에 강화인증기준 20개(세부점검항목 76개, 안)를 더한다. 심사도 핵심항목을 먼저 검증하는 예비심사, 취약점점검원을 투입하는 기술심사, 현장실증 중심으로 바꾸는 계획이다. 이 가운데 상시 점검체계와 인증취소 기준 등은 2026년 하반기부터, 인증 3단계 차등화와 강화 인증기준은 2027년부터 추진한다.

2026년 11월 현재 국가법령정보센터의 현행 고시는 2024년 7월 24일 개정판이다.

원문 자료

아래 자료는 모두 한국인터넷진흥원이 운영하는 ISMS-P 누리집에 올라 있으며, 첨부파일은 각 게시글에서 받을 수 있다(2026년 11월 7일 확인).

게시일	자료	첨부 형식
2018.11.7	정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시(전부개정 전문)	HWP
2018.11.15	인증 설명회 자료(고시 개정사항 안내, 인증기준 주요 변경사항)	PDF 2개
2018.11.29	통합 인증제도 질문과 답변 v1.0	PDF
2019.8.1	ISMS-P 제도개선 의견 수렴 및 보안위협 공유회 발표자료	PDF 2개
2020.11.23	ISMS-P 인증제도 안내 리플릿	PDF
2021.7.14	ISMS-P 인증제도 안내서(2021.7)	PDF
2022.8.30	ISMS 예비인증 신청 안내(예비인증 세부점검항목, 수수료 산정내역서)	XLSX
2024.7.24	ISMS-P 인증제도 안내서(2024.07)	PDF
2024.7.24	ISMS-P 간편인증 세부점검항목	XLSX 2개
2026.4.10	정보보호 및 개인정보보호 관리체계 인증제 실효성 강화방안(공지사항)	PDF, HWPX
2026.4.21	인증 신청서 양식 개정 2.4판	DOCX, HWP, XLSX
2026.5.12	인증 신청서 양식 개정 2.5판	DOCX, HWP, XLSX

같이 보기

• ISMS-P 인증 기준/개정
• ISMS-P 인증 기준 세부점검항목 개정(23.10.31)
• ISMS-P 인증의 특례
• ISMS 예비인증
• ISMS-P 사후심사
• ISMS-P 갱신심사
• 정보보호 및 개인정보보호 관리체계 인증제 실효성 강화방안