ISO 45001, 50001, 27001: 언제 쓰고, 어떤 법적 의무를 대체하지 못하는가

ISO 45001, ISO 50001, ISO 27001은 산업안전, 에너지, 정보보안이라는 서로 다른 세 분야를 다룹니다. 그런데 오해하기 쉬운 공통점이 하나 있습니다. 세 가지 모두 인증기관이 발급하고 자율적으로 도입하는 경영시스템 인증이라는 점입니다. 각 분야에는 또한 법정 의무가 따로 있으며, 해당 대상에 속한 기업에 적용됩니다. 이 의무들은 병행하여 적용되며, 기업이 ISO 인증서를 보유하는지와 무관하게 존재합니다.

요약하면, ISO 45001, 50001 또는 27001을 보유한다고 해서 해당 법정 의무가 대체되지는 않습니다. 이 글은 각 표준이 언제 유용한지, 그리고 어떤 법적 요건은 별도로 이행해야 하는지를 설명합니다.

ISO 45001: 안전 인증은 산업안전 의무를 대체하지 않는다

ISO 45001은 직업건강안전 경영시스템 표준입니다. 심사팀은 현장의 위험요인을 봅니다. 기계, 화학물질, 고소작업, 지게차를 살펴보고, 기업이 이러한 위험을 어떻게 관리하는지 확인합니다.

ISO 45001을 보유하면 고객과 공급망에서 장점이 되지만, 인증서가 다음 의무를 대신하지는 않습니다.

• 산업안전보건법(법률 제84/2015/QH13호)에 따른 산업안전보건 교육 의무;
• 엄격한 안전 요건이 적용되는 기계, 설비, 자재에 대한 기술적 안전 검사;
• 정기적인 작업환경 측정;
• 소방(PCCC): 피난 통로, 화재경보 및 소화 설비는 별도의 소방 관련 법률에 따릅니다. 공장 소방 글을 참고하십시오.

ISO 45001 심사팀은 현장 심사 중 이 기록들도 요청합니다. 따라서 기록이 없으면 인증을 받기 어렵고, 인증서를 보유한다고 해서 이 의무가 면제되는 것은 아닙니다.

ISO 45001 심사팀을 부르기 전에 기업이 해야 할 일은 다음과 같습니다.

• 구역별 위험요인 식별: 절단, 용접, 창고, 사무실;
• 위험 평가, 통제 조치, 구역별 책임자 지정;
• 사고, 사건, 아차사고를 숨기지 않고 빠짐없이 기록;
• 심사팀 도착 전에 소방, 산업안전보건 교육 기록, 개인보호구를 점검.

참고로, 산업안전보건법(법률 제84/2015/QH13호)은 현재 시행 중인 법률입니다. 정부는 최근 2026년 9월 17일자 결의 제275/NQ-CP호를 발표하고 개정 법률안을 국회에 제출했습니다. 이 법률안은 아직 국회 제출 단계이며 시행되지 않았습니다. 기업은 현행법을 계속 적용하면 되며, 법률안에 따라 조정할 필요는 없습니다.

ISO 50001: 자율 인증은 에너지 관할 기관에 대한 보고를 대체하지 않는다

ISO 50001은 에너지경영시스템(EnMS) 표준입니다. 기업은 에너지를 내부적으로 관리하기 위해 이를 추진합니다. 에너지 기준선을 정하고, 절감 목표를 세우며, 해마다 개선 사항을 추적합니다.

이와 병행하여, 에너지 절약 및 효율적 이용에 관한 법률(법률 제77/2025/QH15호로 개정, 2026년 1월 1일 시행)과 시행령 제30/2026/NĐ-CP호(시행 안내, 2026년 1월 21일 공포)는 주요 에너지 사용 시설에 별도의 의무를 부과합니다. 연간 및 5년 단위의 에너지 효율적 이용 계획을 수립하고, 정기적으로 에너지 진단을 실시하며, 국가 관할 기관에 보고해야 합니다.

흔한 실수는 주요 에너지 사용 시설인지 먼저 확인하지 않고 “ISO 50001을 받으면 에너지 문제가 해결된다”고 생각하는 것입니다. 이 경우 ISO 인증은 받았지만 국가 관할 기관에 대한 보고 의무는 여전히 이행하지 않은 상태가 될 수 있습니다.

먼저 해야 할 일은 시설이 시행령 제30/2026/NĐ-CP호에 따른 주요 에너지 사용 시설인지 확인하는 것입니다. 그 후에야 고객이나 입찰 서류를 위해 ISO 50001이 필요한지 결정할 수 있습니다. 마찬가지로, ISO 14001(환경)도 환경 허가를 대신하지 못합니다. ISO 14001, 22000, HACCP과 국가 허가의 차이 및 ISO 14001:2026: 공장이 환경 시스템을 갱신하는 방법 글을 참고하십시오.

ISO 27001: 정보보안 인증은 개인정보 보호법 서류를 대체하지 않는다

ISO/IEC 27001은 정보보안 경영시스템(ISMS) 표준입니다. 인증은 조직이 명확한 ISMS 범위, 위험 평가, 그에 상응하는 통제 수단을 갖추고 있으며 매년 사후 심사를 받는다는 것을 확인합니다.

개인정보 보호법 제91/2025/QH15호(2025년 6월 26일 의결, 2026년 1월 1일 시행)와 시행령 제356/2025/NĐ-CP호(세부 시행 규정, 같은 날 시행)는 개인정보에 관한 별도의 의무를 정합니다.

• 개인정보 처리의 법적 근거 확보(예: 정보주체의 동의; 침묵은 동의로 보지 않음);
• 필요한 경우 개인정보 처리 영향평가 실시;
• 개인정보를 국외로 이전할 때의 구체적 규정 준수;
• 개인정보 처리자와 위탁 처리자의 책임 명확화.

ISO 27001을 “개인정보 문제의 완벽한 해결책”으로 여기면 이 별도의 법적 요건을 놓치게 됩니다. 인증서는 고객이나 입찰 서류에서 정보보안 체계의 증거를 요구할 때 유용합니다. 그러나 기업이 작성해야 하는 경우 영향평가나 국외 이전 기록을 대신하지는 못합니다.

흔한 함정은 개인정보 처리의 법적 근거를 확인하지 않았거나, 영향평가가 필요한데 실시하지 않은 상태에서 웹사이트에 ISO 27001 로고를 게시하는 것입니다. 고객이 자신의 데이터가 어떤 법적 근거로 처리되는지 물을 때, 인증 로고는 그 법적 질문에 답하지 못합니다.

세 표준, 세 가지 다른 법적 틀: 요약표

자주 하는 실수와 대응 방향

• ISO 인증서가 전문 법률상의 의무를 면제한다고 생각하는 경우. 대응 방향: 처음부터 두 개의 별도 경로를 확인하고, 하나의 패키지로 묶어 한 번에 비용을 치르는 방식을 피합니다.
• 주요 에너지 사용 시설인지 확인하지 않고 ISO 50001을 추진하는 경우. 대응 방향: 먼저 시행령 제30/2026/NĐ-CP호에 따른 적용 범위를 확인한 뒤 ISO 50001 추가 여부를 결정합니다.
• 개인정보 처리의 법적 근거를 정하기 전에 ISO 27001 인증을 광고하는 경우. 대응 방향: 고객이 물어볼 때까지 기다리지 말고, 개인정보 보호법 제91/2025/QH15호에 따른 서류를 병행하여 점검합니다.
• 공장의 피난 통로가 막혀 있거나 소방 문제가 해결되지 않은 상태에서 ISO 45001을 추진하는 경우. 대응 방향: 심사팀을 부르기 전에 소방과 기본적인 산업안전 의무를 먼저 해결합니다.

Thái Tín이 지원하는 것

Thái Tín은 기업의 업종, 규모, 고객이나 입찰의 요구 사항에 관한 정보를 받습니다. 이를 통해 기업이 산업안전, 주요 에너지 사용 시설, 개인정보 처리 중 어떤 법정 의무의 적용 대상인지, 그리고 ISO 45001, 50001 또는 27001 인증을 추가로 받을지를 미리 판단하도록 돕습니다. 각 분야에 맞는 컨설팅 파트너 및 인증기관과도 연결해 드립니다. 전문 법률에 따른 점검, 감독, 행정 처분은 국가 기관이 수행하며, 평가와 인증서 발급은 인증기관이 결정합니다. 저희는 합의된 범위 내에서 진행 상황을 관리합니다.

비용은 컨설팅 비용(의뢰하는 경우)과 인증기관의 심사 비용(ISO 인증을 추진하는 경우)으로 구성됩니다. 업종, 규모, 구체적인 적용 범위가 명확해진 후 견적을 드립니다. 아울러 ISO 14001, 22000, HACCP과 국가 허가의 차이, ISO 9001 인증 안내, ISO·표준·인증 서비스도 참고하십시오.

기업이 산업안전, 에너지 또는 개인정보 분야의 법정 의무 대상인지 확실하지 않다면, 업종, 규모, 현재 상황을 보내 주십시오. ISO 45001, 50001 또는 27001을 추가로 도입할지 결정하기 전에 먼저 점검해 드리겠습니다.

질문과 답변

관련 글

ISO ISO 9001 인증: 기업이 준비해야 할 사항 ISO ISO 14001:2026: 공장의 환경경영시스템 갱신 방법 소방 공장 소방(PCCC): 설계 심사, 준공검사, 관리 서류