가상자산업 진출 돕는 ISMS 예비인증?…"오히려 걸림돌" 지적 나와

과학기술정보통신부(이하 과기부)가 지난 7월 21일 신규 가상자산사업자 시장 진입을 위해 ISMS 예비인증을 시행한 가운데 일부 가상자산사업자에게는 해당 인증이 오히려 사업 진출의 '걸림돌'이 되고 있다는 지적이 제기됐다.

2일 업계에 따르면 가상자산 사업에 진출하려는 일부 사업자들이 최근 신청한 'ISMS 예비인증' 예비점검에서 반려당하고 있다. 해당 예비점검은 가상자산사업자가 ISMS 예비인증 심사 대상에 해당하는지 확인받는 중간 과정으로, 지난달 23일 마감됐다. 사업자는 이 예비점검을 통과해야만 ISMS 예비인증 심사를 받을 수 있다. ISMS 예비인증은 현재 가상자산사업자(VASP) 신고 수리를 받으려는 모든 사업자가 갖춰야 할 필수 요건이다. 최종 본인증은 ISMS 예비인증을 취득한 후에 받을 수 있다.

가상자산 업계 관계자 A씨는 "지난달 23일까지 신청하는 예비점검에서 잘리고 있는 가상자산사업자들이 늘고 있다"며 "신규 가상자산사업자에 대한 정의를 두고 한국인터넷진흥원(KISA)과 금융정보분석원(FIU)의 해석이 명확하지 않아 다들 신청에서부터 막힌 상황"이라고 전했다.

◇신규 가상자산사업자 진출 돕는 'ISMS 예비인증'

"신규 가상자산사업자의 시장진입을 가로막았던 제도적 공백을 해소하고자, 정보보호 관리체계(이하 ISMS) 예비인증을 도입한다"

과학기술정보통신부(이하 과기부)가 ISMS 예비인증 제도를 시행하며 밝힌 내용이다. 특정 금융거래정보의 보고 및 이용 등에 관한 법률(이하 특금법)에 따르면 가상자산사업자는 금융정보분석원(FIU)에 신고 수리를 하기 전 ISMS 인증을 취득해야 한다. 하지만 ISMS 인증 취득을 위해서는 최소 2개월 이상 서비스 운영 실적이 필요해 사실상 신규 가상자산사업자는 신고가 불가한 법적 사각지대에 놓여 있었다. 신고 미수리 상태로 서비스를 운영할 경우 미등록 영업 업체로 간주돼 처벌받을 수 있기 때문이다.

과기부는 이같은 제도적 공백을 해결하고자 지난해 말부터 국무조정실, FIU 등 관계부처와 실무협의를 거쳐 지난 2월 ISMS 예비인증 제도를 도입했다. 이에 신규 가상자산사업자가 ISMS 예비인증 세부 점검항목 심사 통과 시, 예비인증 취득이 가능하여 특금법상 VASP 신고요건을 갖추게 된다.

다시 말해 현재 가상자산 사업을 희망하는 사업자가 VASP 신고 수리를 받으려면 ISMS 예비인증을 우선 취득해야 한다. 예비인증 취득 후 3개월 이내 FIU에 특금법상 VASP 신고를 완료해야 하며, 신고 수리 완료 후 2개월 이상 운영한 데이터를 바탕으로 6개월 이내에 ISMS 본인증을 획득해야 모든 VASP 신고 절차가 끝난다.

◇모호한 '신규' 가상자산사업자 정의…업계는 혼란

하지만 '신규' 가상자산사업자에 대한 명확한 정의가 부재해 업계가 혼란을 겪고 있다. 스스로 '신규' 가상자산사업자라고 간주한 기업들이 ISMS 예비인증을 신청했다가 전부 반려당했기 때문이다. VASP 신고 수리 '등용문'으로 여기는 ISMS 예비인증에서부터 길이 막혀 사업 확대가 막막해졌다는 우려도 쏟아지고 있다.

특히 특금법 이후 ISMS 취득 절차가 모두 멈춘 상태에서 특금법에 속하지 않은 가상자산사업을 운영한 기업은 '신규' 가상자산사업자에 속할 것이란 업계의 해석이 있었기 때문에 파장이 커졌다. 어느 범위까지 '신규' 가상자산사업자로 볼 것인지에 대해 관계 부처끼리 합의가 안 된 점도 혼란을 더욱 가중시킨 것으로 보인다.

현재 특금법에서는 △가상자산의 매도·매수 △다른 가상자산과의 교환 △가상자산의 이전 △가상자산의 보관‧관리 △가상자산의 매도·매수·교환 행위의 중개·알선 등을 가상자산사업의 범위로 규정했다. 이에 가상자산사업자는 △가상자산 거래업자 △가상자산 보관관리업자 △가상자산 지갑서비스업자 등으로 한정되며, 대표적으로 가상자산 거래소가 있다. 단순히 P2P 거래플랫폼이나 지갑서비스 플랫폼만 제공하거나 하드웨어지갑을 제공할 경우에는 사업자에 해당하지 않는다.

최근 ISMS 예비인증을 신청했다가 반려당했다는 기업의 관계자는 "현재 특금법에서 규정하지 않은 가상자산사업을 서비스로 운영 중이면 '신규' 가상자산사업자에 속하는 줄 알았다"며 "우리처럼 기존에 운영 중인 가상자산 서비스가 특금법 범위에 속하지 않아 스스로 '신규' 사업자로 생각하는 곳들이 많다"고 말했다.

이어 "제도의 사각지대에 놓여 ISMS 예비인증 신청 조차 못 하고 있는 상태"라며 "KISA에서는 '신규' 가상자산사업자라는 유권해석을 FIU로부터 받아오라고 하지만, FIU에서는 그런 해석을 내줄 수 없다는 입장이라 이도 저도 못 하고 있다"고 호소했다.

KISA 관계자는 이에 대해 "현재 운영 중인 가상자산 서비스가 특금법에 속한 가상자산사업이 아니라 해도 신고 수리 이후에 맞다고 판단되면 법 위반이 되기 때문에 신중하게 봐야 한다"고 설명했다.

그러면서 "ISMS 예비인증 제도의 기본 원칙대로 서비스 운영 이력이 아예 없는 가상자산사업자만을 신규로 보고 신청받는 게 맞다"며 "기업 스스로 신규인지 해석하기 어려우면 FIU에 문의하면 되지만, FIU가 세부적으로 판단할 여력은 안될 것"이라고 덧붙였다.

◇KISA "관련 사업자는 '사업 중단' 혹은 '신규 법인' 설립해야"

KISA 측은 특금법에 포함되지 않은 가상자산사업이라도 현재 운영 중인 사업자라면 기존 사업을 중단하거나 신규 법인을 설립해야 ISMS 예비인증을 취득할 수 있을 거라고 조언했다. 즉 VASP 신고 수리를 위해 당장 사업 중단까지 각오해야 한다는 설명이다.

이를 두고 업계에서는 가상자산사업자의 상황을 전혀 고려하지 않은 지침이라고 비판했다. 블록체인 기술사 관계자는 "현실적으로 ISMS 예비인증을 받으려는 곳은 신규 사업자보다 지난해 특금법 시행 이후부터 준비했던 사업자들이 많다"며 "아예 서비스 운영 이력이 전무한 곳들에만 예비인증을 내준다는 KISA의 답변은 업계를 전혀 고려하지 않은 결정"이라고 지적했다.

이어 "AML과 KYC 구축만으로도 몇 억씩 드는 상황에서 서비스까지 중단해 매출이 안 나오면 더 난감한 곳들이 많을 것이다. 신규 법인을 만들어서 이관하는 것 또한 부담되는 비용"이라며 "KISA가 업계 목소리를 듣고 상황을 좀 더 고려했으면 이런 결정은 안 나왔을 거란 아쉬움이 든다"고 덧붙였다.

한편 이런 상황에 맞춰 아예 신규 법인을 차린다는 가상자산사업자들도 늘고 있다. 가상자산 업계 관계자 B씨는 "KISA의 완고한 입장 탓에 아예 신규 법인을 만드는 사업자들도 생기고 있다"며 "신규 법인을 세우는 게 도움이 될지는 의문이지만, 이도저도 못 하는 상황에서 이렇게까지 할 수밖에 없는 것 같다"고 말했다.

이지영 블루밍비트 기자 jeeyoung@bloomingbit.io