ISMS-P 비용 2026, 개인정보 인증수수료·심사 범위 예산 기준

ISMS-P 비용 검토 회의와 개인정보보호 심사 예산 산정 장면 — 공식 인증수수료와 내부 보완 예산을 분리해 보는 ISMS-P 준비 장면.

ISMS-P 비용을 찾는 조직은 컨설팅 견적 하나를 비교하려는 것이 아니라 개인정보 처리 범위가 인증수수료와 내부 보완 작업을 얼마나 밀어 올리는지 먼저 확인해야 한다.

이미 ISMS 인증 비용 글을 봤더라도, 개인정보 수집·보유·이용·제공·파기 흐름이 들어오면 심사 범위와 증적 준비 방식이 달라진다.

이 글은 ISMS-P를 개인정보보호 인증 프로젝트로 보고, 공식 수수료 산식의 숫자와 내부 예산 항목을 분리해 판단하는 기준만 남긴다.

핵심 요약

ISMS-P는 ISMS 범위에 개인정보 처리 시스템, 취급자, 위탁업체, 서비스 흐름을 함께 넣는 인증이다.
공식 산정내역서 기준으로 ISMS-P 기본 산정은 ISMS 수수료의 120% 구조를 먼저 확인한다.
사후심사는 인증 유효기간 중 매년 1회 이상 진행되므로 첫해 프로젝트 예산과 운영 예산을 나눠야 한다.
컨설팅 견적은 공식 인증수수료, 직접경비, 내부 보완 비용, 외부 자문 용역비를 별도 행으로 받아야 비교가 된다.

이 글이 필요한 사람

회원·결제·상담·마케팅 동의 데이터를 함께 처리하는 플랫폼 보안·개인정보 담당자
ISMS 인증 경험은 있지만 ISMS-P 전환 범위와 개인정보 증적이 불명확한 IT 관리자
인증수수료와 컨설팅 용역비가 섞인 견적서를 받은 구매 담당자
위탁업체 수, 서비스 수, 사후심사 비용을 내년 예산에 반영해야 하는 재무·보안 리더

ISMS-P 비용은 ISMS 비용에 개인정보 범위를 더한 문제가 아니다

KISA 정보보호 인증 관리 페이지는 ISMS-P를 정보보호와 개인정보보호 관리체계 인증으로 설명하고, 개인정보보호법 제32조의2와 정보통신망법 제47조를 시행 근거로 둔다.

ISMS-P 누리집의 인증범위 설명은 정보서비스 운영 조직과 물리적 위치뿐 아니라 개인정보 처리 시스템과 개인정보 취급자를 범위에 포함한다고 안내한다.

그래서 비용 검토의 첫 질문은 컨설팅 업체 단가가 아니라 개인정보가 지나가는 서비스, 시스템, 위탁업체, 담당자 경계가 어디까지인지다.

비용 축	ISMS만 볼 때	ISMS-P에서 추가로 보는 질문	예산 영향
인증 범위	정보서비스 운영 조직, 위치, 정보자산	개인정보 수집·보유·이용·제공·파기 시스템과 취급자까지 포함되는가	인터뷰 대상과 증적 폴더가 늘어난다
공식 인증수수료	범위 내 인력과 정보시스템 수 중심	ISMS-P 기준 120% 구조와 개인정보 관련 요율을 확인했는가	공식 수수료가 ISMS 단독보다 커질 수 있다
위탁업체	보안 운영 계약 중심으로 확인	개인정보 처리위탁 계약, 점검 기록, 재위탁 여부가 있는가	계약서 보완과 점검 증적 수집 시간이 붙는다
사후 운영	사후심사와 변경관리 증적 유지	개인정보 파기, 동의, 열람·정정·삭제 대응 증적이 지속적으로 쌓이는가	인증 뒤에도 운영비가 남는다

이 조건이면 ISMS-P로 검토한다: 고객 개인정보 처리와 서비스 운영이 분리되지 않고, 외부 위탁 처리와 개인정보 취급자 권한이 실제 운영에 얽혀 있다.

이 경우는 보류가 맞다: 아직 개인정보 흐름도와 처리위탁 목록이 없고, 인증 범위를 좁힐지 넓힐지 내부 합의도 끝나지 않았다.

공식 가격표 핵심 숫자: 인증수수료와 컨설팅 비용을 분리한다

ISMS-P 누리집의 인증 신청 안내는 수수료 확인 방법을 자료실의 정보보호 및 개인정보보호 관리체계 인증수수료 산정내역서 항목 입력으로 안내한다.

자료실에는 2024년 7월 24일 게시된 인증수수료 산정내역서 v1.9가 있고, 실제 신청 전에는 이 최신 파일 기준으로 다시 계산해야 한다.

KAIT 공개 산정내역서 v1.8 파일에서 확인되는 핵심은 ISMS-P 기본수수료가 ISMS 기본수수료의 120% 구조로 계산된다는 점이다.

공식 숫자	본문에서 쓰는 의미	예산 검토 방법	주의할 점
ISMS-P = ISMS 수수료 × 120%	개인정보보호 관리체계 영역이 포함될 때의 기본 산정 구조	ISMS 단독 견적과 ISMS-P 견적을 같은 표에서 분리 비교	최신 v1.9 산정내역서로 재확인
사후심사 = 최초·갱신 수수료 × 60%	인증 유지 기간 중 매년 1회 이상 필요한 유지 비용 기준	2년 차와 3년 차 운영 예산에 별도 행으로 반영	첫해 구축비만 승인하면 운영비 공백이 생김
자율공시 수수료 할인 30%	의무대상이 아닌 기업이 정보보호 자율공시를 한 경우의 할인 가능성	공시 시점부터 1년 안의 최초·갱신·사후심사에 적용 여부 확인	의무공시자는 할인 대상이 아님
서비스 수 요율 0~30%	개인정보 처리 서비스 개수가 늘 때 추가 확인하는 요율 축	회원, 결제, 상담, 마케팅, 삭제 요청 같은 서비스를 분리 집계	서비스 정의를 느슨하게 잡으면 입력값이 흔들림
위탁업체 수 요율 0~30%	개인정보 처리위탁 대상이 많을 때 추가 확인하는 요율 축	수탁사 목록, 점검 기록, 계약 조항을 한 번에 정리	재위탁과 국외 이전 여부를 빼먹기 쉬움
홍보 표시 과태료 1천만원 또는 3천만원	인증 범위와 유효기간을 거짓 표시할 때의 리스크	홈페이지, 제안서, 영업자료의 인증 표기 관리	인증받은 범위 밖 서비스에 로고를 쓰면 위험

공식 인증수수료 숫자는 컨설팅 업체가 받는 용역비와 다르다.

견적서가 두 비용을 한 줄로 합치면, 실제 심사기관에 내는 비용과 자문사가 수행하는 산출물 범위를 나중에 분리하기 어렵다.

신청 절차와 비용 발생 지점을 같은 표로 본다

ISMS-P 누리집의 인증절차 안내는 신청, 계약, 심사, 인증 단계로 흐름을 나누고, 계약 단계에 수수료 산정과 수수료 납부를 둔다.

인증 신청 안내는 홈페이지 온라인 제출을 기본으로 설명하고, 대표자 명의 공문, 인증신청서, 운영현황, 명세서, 사업자등록증 또는 고유번호증을 제출서류로 제시한다.

단계	공식 절차 기준	돈이 드는 지점	담당자가 미리 할 일
신청	온라인 제출, 공문, 신청서, 운영현황, 명세서, 사업자등록증 준비	내부 담당자 투입 시간과 자료 정리 비용	범위 내 시스템·조직·위탁업체 목록 확정
예비점검	심사 전 인증 범위와 준비현황 확인	범위 재조정과 누락 증적 보완 시간	업무소개와 관리체계 운영현황을 부서별로 맞춤
계약	수수료 산정, 계약, 수수료 납부	공식 인증수수료와 직접경비	최신 산정내역서 입력값과 할인 근거 준비
심사	인증심사, 결함보고서, 보완조치내역서	컨설팅 보완 추적, 현장 대응, 부서 인터뷰 시간	결함별 책임자와 보완 마감표를 둠
인증·유지	인증위원회 심의, 인증서 발급, 사후심사	사후심사, 변경관리, 증적 유지 비용	인증서 발급 뒤 운영 예산을 남김

이 조건이면 진행한다: 신청 전에 개인정보 흐름도, 위탁 계약 목록, 관리자 권한표, 보존·파기 기준이 이미 하나의 폴더 구조로 묶여 있다.

이 경우는 보류한다: 신청서부터 먼저 넣고 나중에 범위를 줄이자는 식으로 시작하는데, 실제 서비스와 개인정보 처리 경계가 설명되지 않는다.

실무 시나리오 1: SaaS 플랫폼이 ISMS-P 예산을 짤 때

구독형 SaaS 회사는 회원가입, 유료 결제, 고객지원, 마케팅 동의, 데이터 삭제 요청이 모두 개인정보 처리 흐름에 들어간다.

개발팀은 계정 데이터베이스와 관리자 콘솔을 보고, 고객지원팀은 문의 티켓과 로그 열람 권한을 보고, 마케팅팀은 동의 이력과 발송 제외 목록을 본다.

이 조직은 공식 인증수수료 외에도 권한 재정리, 로그 보존 정책, 개인정보 처리위탁 계약 점검, 삭제 증적 자동화에 내부 보완 예산을 따로 잡아야 한다.

항목	예산에 넣을 작업	왜 필요한가	보류 신호
개인정보 흐름도	수집·이용·제공·파기 단계와 시스템 매핑	ISMS-P 범위와 취급자 인터뷰 대상을 정함	서비스별 개인정보가 엑셀 한 장에도 없음
위탁업체 관리	수탁사 목록, 계약 조항, 정기 점검 기록	위탁업체 수 요율과 심사 증적에 영향	결제·문자·CRM 업체가 빠져 있음
권한·접속기록	관리자 권한표, 분기 권한 검토, 로그 보존	개인정보 취급자 통제와 사고 조사 근거	공유 계정과 예외 계정이 방치됨
파기·보존	보존기간표, 삭제 로그, 예외 승인 기록	개인정보 생명주기 증적의 핵심	탈퇴자 데이터 삭제 증거가 없음

이 조건이면 외부 컨설팅은 전면 대행보다 모의심사와 결함 보완 추적 중심으로 줄일 수 있다.

반대로 개인정보 흐름도가 없으면 낮은 컨설팅 단가를 골라도 내부 담당자 투입 시간이 폭증한다.

실무 시나리오 2: 병원·학교·대형 서비스의 예산 승인

KISA는 의무 대상 예시로 정보통신서비스 부문 전년도 매출액 100억원 이상 또는 전년도 일일 평균 이용자 수 100만명 이상 사업자를 설명한다.

같은 안내는 전년도 매출액 또는 세입 1,500억원 이상 상급종합병원과 재학생 수 1만명 이상 학교도 의무 대상 기준에 넣는다.

이 유형은 정보보호팀 예산만으로 끝나기 어렵고, 개인정보보호책임자, 법무, 구매, 현업 부서, 외주 운영사가 동시에 움직여야 한다.

조직 유형	먼저 확인할 기준	예산 승인 포인트	실패하면 생기는 비용
대형 정보통신서비스	매출 100억원 또는 일평균 이용자 100만명 기준 해당 여부	개인정보 처리 서비스와 정보시스템 수를 분리 산정	범위 재산정으로 심사 일정이 밀림
상급종합병원	세입 1,500억원 기준과 환자정보 처리 범위	의료정보 접근권한과 외주 시스템 증적 확보	진료·예약·검사 시스템 인터뷰가 늦어짐
대학·학교	재학생 1만명 기준과 원격교육·학사 시스템 범위	학사, 포털, LMS, 외주 솔루션 계약 점검	부서별 개인정보 처리 현황이 따로 놈
임의 신청 기업	영업·입찰·고객 요구 때문에 인증이 필요한지	인증 범위를 과도하게 넓히지 않는 설계	범위 대비 매출 효과가 낮아짐

이 조건이면 검토한다: 인증 범위가 영업 요구, 규제 요구, 고객 계약 요구 중 어느 것 때문에 필요한지 명확하다.

이 경우는 보류한다: 인증을 받으면 신뢰가 올라간다는 말만 있고, 인증 범위와 실제 매출·계약 효과가 연결되지 않는다.

컨설팅 견적서에서 분리해야 할 비용 항목

ISMS-P 비용 견적은 공식 인증수수료 산식과 외부 컨설팅 용역 범위가 분리될 때만 비교가 된다.

특히 개인정보 증적은 정책 문서보다 운영 기록이 중요하므로, 산출물 이름만 많은 견적서가 항상 좋은 견적은 아니다.

견적 항목	포함되어야 할 산출물	비교 질문	위험 신호
갭 진단	인증기준별 현재 상태, 결함 목록, 우선순위	개인정보 처리 흐름을 실제 시스템 기준으로 봤는가	체크리스트 점수만 주고 근거가 없음
운영명세서 지원	조직, 자산, 시스템, 개인정보 처리 범위 정리	신청서와 심사 인터뷰가 같은 범위를 쓰는가	템플릿만 제공하고 검토 시간이 없음
증적 수집	권한 검토, 로그, 파기, 위탁 점검, 교육 기록	부서별 소유자와 제출 마감이 있는가	문서 작성만 있고 운영 기록 확인이 없음
모의심사	인터뷰 질문, 결함 리포트, 보완 과제	몇 회 수행하고 재점검을 포함하는가	1회 워크숍을 모의심사라고 부름
사후지원	사후심사 준비, 변경관리, 증적 유지 점검	인증 후 몇 개월까지 지원하는가	인증서 발급 시점에 지원 종료

이 조건이면 계약해도 된다: 공식 수수료, 컨설팅 용역비, 직접경비, 보안 솔루션 구매, 부가세가 별도 행으로 표시된다.

이 경우는 보류한다: “인증 완료 패키지”처럼 보이지만 결함 보완 책임, 재점검 횟수, 사후심사 지원 조건이 빠져 있다.

ISMS-P 비용 산정 스켈레톤

아래 YAML은 예산 회의 전에 인증 범위와 비용 항목을 빠르게 정리하기 위한 내부 검토용 스켈레톤이다.

공식 신청이나 실제 산정에는 반드시 ISMS-P 누리집의 최신 인증수수료 산정내역서와 심사기관 안내를 사용해야 한다.

# ismsp-cost-scope-check.yaml
# 목적: ISMS-P 비용 산정 전에 인증 범위와 개인정보 처리 범위를 분리한다.
# 실제 신청 전에는 ISMS-P 누리집의 최신 산정내역서와 심사기관 안내를 다시 확인한다.

certification:
  type: ISMS-P
  review_kind: initial  # initial, surveillance, renewal
  expected_certificate_validity_years: 3
  surveillance_review: every_year_at_least_once

scope:
  organizations:
    - platform_engineering
    - security_privacy
    - customer_support
  locations:
    - head_office
    - cloud_production_account
  information_systems:
    count_for_fee_sheet: 18
    critical_systems:
      - account_db
      - payment_log_store
      - marketing_consent_system
  personal_data_services:
    count_for_fee_sheet: 6
    examples:
      - signup_login
      - paid_subscription
      - customer_inquiry
      - marketing_consent
      - data_export_delete
      - settlement_report
  processors:
    count_for_fee_sheet: 4
    check_points:
      - processor_contract
      - overseas_transfer_if_any
      - access_log_retention
      - deletion_proof

budget_lines:
  official_certification_fee:
    basis: latest ISMS-P fee calculation sheet
    known_public_formula_hint:
      isms_p_base: ISMS fee * 120%
      surveillance: initial_or_renewal_fee * 60%
      voluntary_disclosure_discount: 30% when eligible
  consulting_fee:
    include:
      - gap_assessment
      - management_statement_workshop
      - evidence_collection
      - mock_audit
      - remediation_tracking
  remediation_budget:
    include:
      - access_control_cleanup
      - log_retention
      - encryption_key_management
      - dlp_or_masking_if_needed
      - backup_restore_test

red_flags:
  - official_fee_and_consulting_fee_are_not_separated
  - processor_count_is_unknown
  - personal_data_flow_map_is_missing
  - post_certification_surveillance_budget_is_zero

개인정보 흐름이 넓은 조직은 증적 누락이 컨설팅 비용보다 큰 병목이 된다.

아래 Python 스켈레톤은 실제 심사 판정용이 아니라, 내부 증적 폴더의 빈 영역을 찾기 위한 사전 점검용이다.

# ismsp_evidence_gap_check.py
# 목적: ISMS-P 준비 전 증적 폴더의 누락 영역을 점검하는 내부용 스켈레톤이다.
# 실제 판정은 ISMS-P 인증기준, 최신 안내서, 심사기관 요구사항을 기준으로 검토한다.

from pathlib import Path

REQUIRED_EVIDENCE = {
    "governance": ["policy", "risk_assessment", "management_review"],
    "privacy_lifecycle": ["collection_notice", "consent_record", "retention_schedule", "deletion_log"],
    "access_control": ["admin_account_list", "quarterly_access_review", "mfa_exception"],
    "outsourcing": ["processor_contract", "processor_inspection", "subprocessor_inventory"],
    "incident_response": ["incident_playbook", "breach_notification_drill", "postmortem_sample"],
    "operation_security": ["vulnerability_result", "patch_exception", "backup_restore_test"],
}


def scan(root: Path) -> dict[str, list[str]]:
    missing: dict[str, list[str]] = {}
    names = {p.name.lower() for p in root.rglob("*") if p.is_file()}
    for domain, docs in REQUIRED_EVIDENCE.items():
        for doc in docs:
            if not any(doc in name for name in names):
                missing.setdefault(domain, []).append(doc)
    return missing


if __name__ == "__main__":
    result = scan(Path("./evidence"))
    for domain, docs in result.items():
        print(domain, ", ".join(docs))