韩国PIPC就ISMS-P认证审查强化启动《个人信息保护法施行令》修订立法预告：书面与现场审查并行、可实施脆弱性诊断，意见征集至10月26日

2026年9月16日，韩国个人信息保护委员会（PIPC）宣布，为强化信息保护及个人信息保护管理体系认证（ISMS-P）的实效性，已拟定《个人信息保护法施行令》部分修订令案，自**9月16日起至10月26日**开展立法预告。 一、修订背景。ISMS-P认证是韩国为防止主要信息资产泄露与损害，由企业自行建立并运营的个人信息保护体系是否符合要求而实施的认证制度。本次修订是PIPC今年4月发布的《信息保护及个人信息保护管理体系认证制度实效性强化方案》的具体化。 二、三项要点。①**认证审查的现场实证强化**——明确规定书面审查与现场审查可并行实施；认证有效期内发生侵害事故或个人信息泄露时，由具备中级以上资质的技术人员（依《信息保护产业振兴法施行规则》附表1）持检测工具到现场实施脆弱性检查（脆弱性诊断及模拟渗透）；取得认证后每年实施的事后审查同样适用。②**认证基准的差异化**——可依据申请人的个人信息处理规模、社会波及力等差别化适用认证基准。③**制裁合理化**——负有认证义务者被取消认证时，**1年内暂缓课征**认证取得义务违反的过怠金，以便制定再发防止对策并重新取得认证；**以虚假或不正当方法取得认证而被取消的，不适用暂缓**。 三、后续程序与意见渠道。PIPC将在预告期内征集利害关系人与有关部门意见，经法制处审查后迅速完成修订，并计划年内推进相关告示修订。意见可于10月26日前通过国民参与立法中心（opinion.lawmaking.go.kr）、电子邮件（swimswim@korea.kr）或一般邮寄提交。 四、实务意义。ISMS-P在韩国对达到一定规模的信息通信服务提供者属**强制认证**，本次修订将合规审查由"书面为主"推向"书面＋现场＋技术诊断"的实证模式，持证人须常态化具备可承受模拟渗透的技术状态；认证基准按规模与波及力差异化，意味着大型平台与跨境服务商将面对更严基准与更密现场检查。在韩设有法人或通过本地代理机构运营的中国企业，可在10月26日前就脆弱性检查的实施主体资质、检查范围与事后审查频次提交立场意见。