ISMS 인증 대상, 2026년 법령 기준으로 의무 여부 확인하는 법

ISMS 인증 대상은 정보통신망법 제47조제2항에 따라 주요정보통신서비스 제공자, 집적정보통신시설 사업자, 그리고 매출액이나 일일평균 이용자 수가 시행령 기준을 넘는 정보통신서비스 제공자입니다. 이 글에서는 2026년 10월 시행 법령 원문으로 확인한 기준과 확인 순서를 정리했습니다.

ISMS 인증이란 무엇인가

ISMS(정보보호 관리체계) 인증은 회사가 정보통신망을 지키기 위해 관리적·기술적·물리적 보호조치를 체계적으로 운영하고 있는지 인증 기준에 따라 심사받는 제도입니다. 근거는 정보통신망법 제47조(정보보호 관리체계의 인증)이며, 같은 조에 따라 인증의 유효기간은 3년이고 연 1회 이상 사후관리를 받습니다.

원하는 회사는 누구나 인증을 받을 수 있지만, 법에서 정한 기준에 해당하면 반드시 인증을 받아야 하는 의무 대상이 됩니다. 의무 대상이 인증을 받지 않으면 같은 법 제76조에 따라 3천만원 이하의 과태료 대상이 됩니다.

ISMS 의무 대상을 정하는 법령 기준

정보통신망법 제47조제2항은 전기통신사업자와 그 전기통신역무를 이용해 정보를 제공하거나 매개하는 자 가운데 아래에 해당하는 자를 의무 대상으로 정합니다. 3번과 4번의 구체적인 숫자는 정보통신망법 시행령 제49조에 있습니다. 아래 표는 2026년 10월 시행 중인 법령 원문을 기준으로 주요 기준을 비교한 것입니다.

구분	법령 기준	확인할 자료
1. 주요정보통신서비스 제공자	전기통신사업법 제6조제1항에 따라 등록하고 대통령령으로 정하는 바에 따라 정보통신망서비스를 제공하는 자	전기통신사업 등록 여부와 제공 서비스
2. 집적정보통신시설 사업자	정보통신망법 제46조제1항제1호에 따른 집적정보통신시설 사업자	데이터센터 등 시설 운영 여부
3. 정보통신서비스 매출 기준	정보통신서비스 부문 전년도 매출액 100억원 이상(전자금융거래법상 금융회사 제외)	전년도(법인은 전 사업연도) 부문별 매출
4. 이용자 수 기준	전년도 일일평균 이용자 수 100만명 이상(금융회사 제외)	전년도 일일평균 이용자 통계

시행령은 이 밖에도 전년도 매출액 또는 세입이 1,500억원 이상인 상급종합병원과, 직전연도 12월 31일 기준 재학생 수가 1만명 이상인 고등교육법상 학교를 대상으로 정합니다. 병원과 대학이라면 이 기준도 함께 확인해야 합니다.

그림의 기준 가운데 하나라도 해당하면 의무 대상일 수 있습니다. 홈페이지를 운영하는 일반 기업이라면 대개 3번 매출 기준과 4번 이용자 수 기준이 판단의 중심이 됩니다.

판단이 헷갈리는 지점

"정보통신서비스 부문 매출액"은 회사 전체 매출이 아니라 정보통신서비스로 얻은 매출을 말하므로, 어떤 매출이 여기에 들어가는지 회계 자료와 함께 따져 봐야 합니다. 이용자 수도 어떤 방식으로 집계하는지에 따라 결과가 달라질 수 있습니다. 이런 부분은 법령만으로 단정하기 어려우므로 인증 기관이나 전문가의 확인을 받는 것이 안전합니다.

의무 대상인지 확인하는 순서

아래 순서로 자료를 모으면 기관에 문의할 때도 답을 빨리 받을 수 있습니다.

1. 사업 형태 확인: 전기통신사업 등록을 했는지, 데이터센터 같은 시설을 운영하는지 확인합니다.
2. 매출 구분: 전년도 매출 가운데 정보통신서비스 부문 매출을 따로 집계합니다.
3. 이용자 수 집계: 전년도 일일평균 이용자 수를 확인할 수 있는 통계를 준비합니다.
4. 업종 기준 확인: 상급종합병원이나 고등교육법상 학교라면 매출·세입과 재학생 수 기준을 봅니다.
5. 기관 확인: 해당 가능성이 있으면 ISMS-P 인증 누리집의 의무대상자 문의로 확인합니다.

KISA가 운영하는 ISMS-P 인증 누리집은 대표번호 1544-3770에서 의무대상자 문의를 따로 안내하고, 의무대상자 제외의견 제출 메뉴도 두고 있습니다. 최종 판단은 반드시 기관 확인을 거치세요.

의무 대상이 아니어도 챙길 보안 의무

ISMS 의무 대상이 아니라고 해서 보안 의무가 없는 것은 아닙니다. 회원이나 문의 고객의 개인정보를 다룬다면 개인정보 보호법에 따른 안전조치와 처리방침 공개가 필요하고, 해킹 같은 침해사고가 나면 신고 의무가 생길 수 있습니다. 홈페이지 운영자가 기본으로 챙길 방침은 개인정보처리방침 작성 필수 항목에서 확인할 수 있습니다.

규모가 커질 회사라면 인증 기준을 미리 참고해 접근 권한 관리, 백업, 로그 보관 같은 기본기를 갖춰 두는 것도 도움이 됩니다. 사고가 났을 때의 연락망과 역할은 보안 사고 대응 계획 문서화에서 다뤘습니다.

디코랩이 돕는 방식

디코랩은 웹 서비스와 맞춤형 시스템 제작, 운영 중인 사이트의 유지보수·개선, 웹 기술 컨설팅을 합니다. ISMS 인증 심사 자체를 대신하지는 않지만, 인증 준비 과정에서 필요한 홈페이지의 기술적 개선 범위는 상담 후 제안합니다. 자세한 내용은 디코랩 서비스 소개에서 볼 수 있습니다.

자주 묻는 질문

회사 전체 매출이 100억원을 넘으면 의무 대상인가요?

시행령 기준은 정보통신서비스 부문 매출액입니다. 회사 전체 매출이 아니라 그 부문 매출을 따로 봐야 하므로, 해당 여부는 기관에 확인하세요.

ISMS와 ISMS-P는 무엇이 다른가요?

ISMS-P는 정보보호에 개인정보보호 관리체계까지 함께 심사하는 인증입니다. 어떤 인증으로 의무를 이행할 수 있는지는 ISMS-P 인증 누리집 안내나 문의로 확인하세요.

인증을 받으면 계속 유지되나요?

정보통신망법 제47조에 따라 유효기간은 3년이며, 그 사이 연 1회 이상 사후관리를 받습니다. 기준에 못 미치게 되면 인증이 취소될 수 있습니다.

작은 쇼핑몰도 해당될 수 있나요?

규모가 작더라도 정보통신서비스 부문 매출이나 일일평균 이용자 수가 기준을 넘으면 해당될 수 있습니다. 전년도 실적을 기준으로 해마다 다시 확인하는 것이 좋습니다.

인증 준비와 함께 홈페이지의 접근 권한이나 로그 관리 같은 기술적 개선이 필요하다면 현재 구성을 적어 디코랩 프로젝트 문의로 보내 주세요.