韩国个人信息保护委员会《个人信息保护法施行令》部分修订令案立法预告——个人信息保护与信息安全管理体系认证（ISMS-P）审查实效性强化（2026年9月16日）
简称：韩国PIPC《个人信息保护法施行令》ISMS-P审查强化修订案立法预告（2026.9.16）
法规简介
2026年9月16日，韩国个人信息保护委员会（PIPC，委员长 송경희）发布《个人信息保护法施行令》部分修订令案并启动立法预告，预告期自**2026年9月16日起至10月26日止**。修订案旨在强化信息保护与个人信息保护管理体系认证（ISMS-P）的实效性，是PIPC今年4月《信息保护及个人信息保护管理体系认证制度实效性强化方案》的具体化落地。 一、三项核心修改。①**认证审查的"现场性"强化**——修订案明确允许书面审查与现场审查并行，并在认证有效期内发生侵害事故或个人信息泄露等情形时，允许具备法定资质的技术人员（依《信息保护产业振兴法施行规则》附表1，须具备中级以上资格）携带检测工具到现场实施脆弱性检查（脆弱性诊断与模拟渗透）；取得认证后每年实施的**事后审查**同样适用书面＋现场并行与脆弱性检查。②**认证基准的差异化适用**——确立可根据申请人的个人信息处理规模、社会波及力等因素**差别化适用认证基准**的法律依据。③**制裁的合理化**——新增：负有认证义务的企业在被作出**认证取消处分时，1年内暂缓课征认证取得义务违反的过怠金**，以便其制定再发防止对策并重新取得认证；但**以虚假或不正当方法取得认证而被取消的，不适用暂缓**。 二、立法程序与意见提交渠道。PIPC将在预告期内收集利害关系人与相关部门意见，经法制处审查等程序后迅速完成修订，并计划年内同步推进相关告示（고시）的修订。意见可于10月26日前通过国民参与立法中心（opinion.lawmaking.go.kr）、电子邮件（swimswim@korea.kr）或一般邮寄（首尔特别市钟路区世宗大路209 政府首尔厅舍 自律保护政策课）提交。 三、实务意义（对中国出海韩国企业尤为关键）。①ISMS-P是韩国对达到一定规模的信息通信服务提供商的**强制认证**，本次修订把"书面为主"的合规审查推向"书面＋现场＋脆弱性诊断"的实证审查，意味着**认证不再是纸面体系文件的一次性过关**，持证人须常态化具备可承受模拟渗透的技术状态；②认证基准按处理规模与社会波及力差异化，对大型平台与跨境服务商意味着**更严的基准与更密的现场检查**；③过怠金1年暂缓属"合规激励"设计，但以虚假手段取证的除外条款保留了惩戒底线；④意见提交窗口至10月26日，在韩设有法人或通过韩国本地代理机构运营的企业，可在此期间就脆弱性检查的实施主体资质、检查范围与事后审查频次提交立场意见。
