정보보호관리체계(ISMS) 인증 의무를 위반해 과태료를 부과받은 기업 가운데 절반 이상이 과태료 처분 이후에도 인증을 취득하지 않은 것으로 나타났다.

더불어민주당 이훈기 국회의원(인천 남동구을·국회 과학기술정보방송통신위원회)이 2026년 국정감사를 준비하며 과학기술정보통신부로부터 제출받은 자료를 분석한 결과, 2022년과 2023년 ISMS 인증 의무 미준수로 과태료 처분 대상이 된 기업은 모두 125곳이었다.

연도별로는 2022년 58개 기업에 13억 8,600만원, 2023년 67개 기업에 16억 500만원의 과태료가 부과됐다. 2년간 부과된 과태료는 총 29억 9,100만원이다.

그러나 과태료 처분 이후에도 인증을 취득하지 않은 기업은 2022년 31곳, 2023년 36곳 등 모두 67곳으로 집계됐다. 전체 과태료 처분 대상 기업의 53.6%가 제재를 받고도 인증을 취득하지 않은 것이다.

연도별 미인증 비율도 2022년 53.4%, 2023년 53.7%로 모두 절반을 넘었다.

과태료 처분을 받고도 인증을 취득하지 않은 기업에 부과된 과태료는 2022년 7억 9,500만원, 2023년 9억 8,100만원 등 총 17억 7,600만원에 달했다.

과태료를 부과해도 기업 절반 이상이 인증 의무를 이행하지 않은 것으로, 현행 과태료 제재가 실제 인증 취득을 유도하는 수단으로 제대로 작동하지 않고 있다는 지적이 나온다.

과태료 징수도 완료되지 않았다. 2022년 과태료 13억 8,600만원은 전액 징수됐지만, 2023년에는 부과액 16억 500만원 가운데 14억 3,000만원만 징수됐고 1억 7,500만원은 아직 징수되지 않았다.

정부의 과태료 처분도 지연되고 있다. 과기정통부는 2023년 의무대상 기업에 대한 과태료를 올해 1월에야 부과했다. 2024년 의무대상 기업에 대해서는 현재까지도 당사자 의견제출 검토 등 처분 절차를 진행하고 있다.

2024년 의무대상 기업의 인증 의무 이행기한은 지난해 8월 말까지였다. 인증기한이 지난 지 1년 이상 지났지만 과태료 처분 대상 기업 수와 부과액조차 확정하지 못한 것이다.

정보보호 관리체계(ISMS)는 기업·기관이 정보자산을 보호하기 위한 체계를 갖추고 있는지 심사하는 인증으로 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제47조에 따라 주요정보통신서비스 제공자와 전년도 매출액이 1,500억원 이상인 상급종합병원 등은 ISMS 인증을 의무적으로 취득해야 한다.

과기정통부는 과태료 처분에 사전통지와 의견접수, 의견 검토, 고지서 발부, 이의제기 등의 절차가 있어 약 4개월 이상의 기간이 소요된다고 설명했다.

그러나 2024년 의무대상의 인증기한이 지난해 8월 종료된 점을 고려하면 통상적인 과태료 처리기간을 훨씬 넘긴 셈이다. 2025년 미인증 기업에 대한 처분 절차는 2024년분 처분 이후에야 진행할 예정이다.

과기정통부는 “연이어 발생한 침해사고 대응으로 인증 의무 이행 여부 확인이 다소 지연됐다”고 밝혔다.

이에 이훈기 의원은 “과태료를 부과받은 기업의 절반 이상이 인증을 취득하지 않았다는 것은 의무가 유명무실화됐다는 것”라며 “정보보호의 의무를 저버린 기업은 어디인지, 왜 의무를 지키지 않는 것인지 점검해야 한다”고 지적했다.

이어 이 의원은 “인증기한이 지난 지 1년이 넘도록 처분 대상조차 확정하지 못했다면 단순한 행정 지연을 넘어 관리·감독 부실”이라고 강조했다.