국내에서 가상자산 관련 사업을 하려면 특정금융정보법(특금법)에 따라 가상자산사업자(VASP)로 신고해야 해요. 그런데 이 신고를 하기 위한 선행 조건으로 반드시 필요한 게 바로 ISMS 인증이에요. 왜 가상자산사업자에게 ISMS 인증이 필수인지, 2026년 제도가 어떻게 바뀌고 있는지 정리해봤어요.
가상자산사업자와 ISMS 인증의 관계
국내에서 가상자산 사업을 진행하려면 특정금융정보법상 가상자산사업자로 등록해야 하고, 이를 위해서는 한국인터넷진흥원(KISA)이 발급하는 ISMS 인증 취득이 선행돼야 해요. ISMS는 ‘정보보호 관리체계 인증’의 줄임말로, 기업이 정보 자산을 안전하게 관리하고 있는지를 심사해서 인증해주는 제도예요.
가상자산 거래소나 지갑 서비스처럼 고객의 자산과 개인정보를 대량으로 다루는 사업 특성상, 정보보호 수준을 검증받지 못하면 아예 사업자 등록 자체가 불가능하도록 만든 규제 장치라고 볼 수 있어요.
2026년 ISMS 제도 개편 내용
개인정보보호위원회와 과학기술정보통신부는 2026년 4월 10일 ‘정보보호 및 개인정보보호 관리체계 인증제 실효성 강화방안’을 발표했어요. 이번 개편의 핵심은 인증을 받은 이후의 사후관리를 훨씬 강화하는 방향이에요.
- 상시 점검 의무화: 인증 취득 후에도 정기적으로 보안 관리 상태를 점검받아야 해요.
- 중대 침해사고 발생 시 심사 중단: 심사 도중 중대한 보안 사고가 발생하면 인증 심사 자체가 중단될 수 있어요.
- 인증취소 사유 구체화: 어떤 경우에 인증이 취소되는지 기준이 명확하게 정리됐어요.
- 사고이력 관리: 과거 침해사고 이력이 인증 심사에 반영되는 체계가 마련됐어요.
사후관리 분야는 2026년 하반기부터 시행되고, ISMS-P 의무화와 인증 차등 적용은 2027년부터 시행될 수 있도록 추진되고 있어요.
예비인증 제도
신규로 가상자산사업자 신고를 준비하는 사업자를 위해 예비인증 제도가 운영되고 있어요. 정식 ISMS 인증을 취득하기까지는 상당한 시일이 걸리기 때문에, 사업을 처음 시작하는 단계에서는 예비인증을 통해 신고 절차를 진행할 수 있도록 한 보완 장치예요. 이 제도 덕분에 신규 가상자산사업자들의 시장 진입 문턱이 어느 정도 완화된 측면이 있어요.
2026년 ISMS 의무대상 현황
2026년 2월 기준 ISMS 의무대상 사업체는 593개로 집계됐어요. 전체 인증 보유 건수는 1,257건에 달하는데, 이 가운데 ISMS 인증이 942건, 더 높은 수준의 ISMS-P 인증이 315건을 차지하고 있어요. 가상자산사업자뿐 아니라 정보통신서비스 제공자, 개인정보를 대량으로 처리하는 기업들도 이 의무대상에 포함돼요.
ISMS와 ISMS-P의 차이
ISMS는 정보보호 관리체계 자체를 인증하는 제도이고, ISMS-P는 여기에 개인정보보호 관리체계까지 포함해서 인증하는 상위 개념이에요. 가상자산사업자는 고객의 개인정보와 거래 정보를 동시에 다루기 때문에, 사업 성격에 따라 ISMS-P까지 요구받는 경우가 늘어나는 추세예요. 2027년부터 추진되는 인증 차등 적용이 시행되면 이런 구분이 더 명확해질 것으로 보여요.
가상자산사업자가 준비해야 할 점
ISMS 인증을 준비하는 가상자산사업자라면 정보보호 조직 구성, 위험 관리 체계 수립, 물리적·기술적 보안 대책 마련 등 여러 영역에서 KISA의 심사 기준을 충족해야 해요. 2026년 개편으로 사후관리가 강화된 만큼, 인증을 취득한 이후에도 지속적인 보안 관리 체계를 유지하는 것이 이전보다 더 중요해졌어요.
가상자산사업자에게 ISMS 인증은 사업자 신고를 위한 필수 관문이자, 고객 자산 보호를 위한 기본 장치예요. 2026년 제도 개편으로 사후관리가 강화되는 만큼, 인증 취득 이후의 지속적인 관리 체계 유지가 더욱 중요해지고 있어요.
Sources: [lawtimes.co.kr](https://www.lawtimes.co.kr/news/articleView.html?idxno=222032), [shinkim.com](https://www.shinkim.com/kor/media/newsletter/1790), [kisa.or.kr](https://www.kisa.or.kr/1050602)