2026년 9월 11일, 과징금 기준이 '전체 매출 10%'로
개정 개인정보보호법이 2026년 9월 11일 시행되면서 과징금 산정의 모수가 달라집니다. 종전에는 '위반행위와 관련된 매출액'의 3% 이내에서 부과했으나, 고의 또는 중대한 과실에 의한 위반이 반복되는 경우 '전체 매출액'의 10%까지 부과할 수 있는 근거가 마련됐습니다. 산정 기준액과 요율이 동시에 커지는 구조여서 기업이 체감하는 리스크는 단순 배수 이상으로 확대됩니다.
연매출 규모별 상한 시뮬레이션
실제 부과액은 위반의 중대성과 사후 협조 정도에 따라 감경됩니다. 다만 협상의 출발선 자체가 달라진다는 점, 그리고 '고의·중대과실의 반복'이라는 요건이 관리체계 부재가 입증되는 순간 성립한다는 점이 핵심입니다. 인증 이력과 내부 감사 기록은 이 요건을 다투는 가장 현실적인 방어 수단입니다.
ISMS·ISMS-P 인증제도 개편의 세 가지 축
첫째, 스냅샷 심사에서 상시 검증으로. 개편의 배경에는 인증을 받은 기업 179개사(약 14%)에서 침해사고가 발생했다는 통계가 있습니다. 심사 시점에만 갖춰진 서면 증적으로는 실제 보안 수준을 담보하지 못한다는 판단입니다. 앞으로는 인증 유지 기간 중의 로그와 취약점 조치 이력이 상시 확인 대상이 됩니다.
둘째, 강화 인증에 모의침투 테스트 도입. 실제 공격 시나리오로 방어 체계를 검증하므로 정책 문서만 정비해서는 통과할 수 없습니다. 웹·모바일 서비스를 운영한다면 사전 진단과 취약점 조치에 최소 2~3개월을 배정해야 합니다.
셋째, 이사회 의결과 CEO 책임의 명문화. 정보보호 주요 사항이 이사회 의결 안건으로 격상되고 대표이사가 최종 관리감독 책임을 집니다. 보안이 담당자의 업무에서 경영진의 의사결정 사항으로 이동한다는 의미입니다.
2027년 7월 의무화, 우리 회사는 해당될까요
의무화 대상은 '중요 개인정보처리자'이며 현재 파악된 규모는 공공 57곳과 민간 약 50곳 수준입니다. 숫자만 보면 대다수 중소기업은 직접 대상이 아닙니다.
문제는 간접 요구입니다. 공공기관 발주 사업의 제안 요건, 대기업 협력사 등록 심사, 이커머스·핀테크 플랫폼 입점 조건에 ISMS 보유 여부가 가점 또는 필수 항목으로 들어가는 사례가 늘고 있습니다. 의무 대상이 아니어도 매출 기회를 지키기 위해 사실상 준비해야 하는 구조입니다. 정보보호 공시 의무는 자산총액·매출액 등을 기준으로 하는 별개 제도이므로, 공시 대상 여부와 인증 대상 여부는 분리해 점검하시기 바랍니다.
ISO 27001 보유 기업의 중복 부담 줄이기
ISO 27001은 국제표준 인증이고 ISMS-P는 국내 법정 인증입니다. 근거 법령과 심사기관이 다르므로 하나가 다른 하나를 대체하지 않습니다. 다만 통제항목이 상당 부분 겹치므로 다음과 같이 설계하면 부담을 줄일 수 있습니다.
단, ISMS-P 고유 영역인 개인정보 생명주기(수집·이용·제공·파기) 통제는 별도로 보강해야 합니다.
준비 기간 12개월, 단계별 로드맵
0~3개월 — 현황 진단
개인정보 흐름도(수집 경로, 저장 위치, 제3자 제공, 위탁 현황)를 작성하고 인증 기준과의 갭 분석을 수행합니다. 위탁 계약서의 재위탁 조항과 수탁사 점검 기록이 가장 자주 지적되는 항목입니다.
4~9개월 — 구축과 검증
접근통제, 암호화, 로그 보관, 백업 등 기술적 보호조치를 구현하고 운영 증적을 최소 3개월분 이상 축적합니다. 내부 감사를 1회 이상 실시하고, 강화 인증 대상이라면 모의침투 사전 진단을 이 구간에 배치합니다.
10~12개월 — 심사와 정착
심사 신청과 결함 조치를 진행하고, 정보보호 주요 사항의 경영진·이사회 보고 체계를 정례화합니다.
비용 부담이 크다면 중소기업 정보보호 컨설팅 지원, 정보보호 솔루션 도입 바우처, 지역 정보보호지원센터 무료 진단 등 공공 지원사업을 우선 검토하시기 바랍니다. 사업별로 예산 소진 시점이 다르므로 연초 공고를 놓치지 않는 것이 중요합니다.
KITIM 컨설팅 문의
한국기술혁신경영연구원은 갭 분석부터 정책·지침 체계 수립, 기술적 보호조치 설계, 모의침투 대비, 심사 대응과 사후관리까지 단계별로 지원합니다. ISO 27001을 이미 보유한 기업의 통합 운영 설계와 정보보호 지원사업 연계도 함께 진행하고 있습니다. 우리 회사의 의무 대상 여부와 현재 준비 수준이 궁금하시다면 상담을 신청해 주시기 바랍니다.