ISMS 예비인증 업체 늘어나는데…신규 VASP 탄생은 5달째 무소식

정보보호관리체계(ISMS) 예비인증 제도 도입 이후 가상자산사업자(VASP) 신고 수리 완료를 받은 업체가 처음으로 나온 지 5개월이 지났다. ISMS 예비인증을 받는 업체는 계속해서 늘어나고 있지만 VASP 지위를 획득하는 받는 곳은 나오지 않고 있다.

24일 한국인터넷진흥원(KISA)에 따르면 ISMS 예비인증을 획득한 업체는 25곳이다. 이중 최종적으로 ISMS 본인증을 획득하고 VASP로 신고 수리 받은 곳은 커스터디 업체인 인피닛블록이 유일하다. ISMS 예비인증 제도가 도입된 2022년 7월 이후 약 1년 만이다.

금융위원회 산하 금융정보분석원(FIU)로부터 가상자산사업자 신고 수리를 받기 위해서는 ISMS 인증이 필요하다. ISMS는 KISA가 인증한다. 예비인증 제도 도입 이전 ISMS 인증을 위해 사업자는 최소 2개월의 서비스 운영 실적이 필요했다. 즉, ISMS 인증을 받는 데 필요한 2개월의 서비스 기간은 사실상 불법 운영이 될 수밖에 없다. 해당 기간은 FIU로부터 신고를 받지 않은 상태에서 운영해야 하기 때문이다.

이에 규제 당국은 기존 ISMS 인증 요건 사각지대 해소를 위해 2022년 7월 ISMS 예비인증을 도입했다. 신규 가상자산사업자는 ISMS 예비인증 취득 후 FIU 신고를 받고 난 뒤 2개월 간의 서비스 운영을 할 수 있게 됐다. 해당 운영 실적을 토대로 ISMS 본인증을 받고 최종 VASP 신고 수리까지 합법적으로 받을 수 있게 됐다. 다만, 현재 실제로 시범 서비스 운영을 하는 곳은 없는 것으로 확인됐다.

새로운 VASP 탄생에 속도가 붙지 않는 이유는 예비인증 제도 도입 후 업체들이 한꺼번에 몰린 탓과 기존 가상자산 업계에 있던 서비스가 아닌 새로운 성격의 업체들이 등장했기 때문이다.

FIU 관계자는 “FIU가 지금 신고 심사 중인 업체들이 많은데 ISMS 인증받은 업체들이 병목현상처럼 일시적으로 몰려서 수리받기까지 계속 서류 보완하고 절차들이 진행된다”며 “수리 단계에 있는 업체도 있지만, 심사 중인 업체, 신청을 안 한 업체도 있을 것”이라고 말했다.

ISMS 예비인증을 받은 업체 중 한 곳은 “기존 시장에 없던 서비스를 운영하려다 보니까 시행착오가 있어 테스트 중”이라며 “FIU 신고 수리를 받기 위해 준비 중”이라고 설명했다. 기존 시장에는 대부분 사업자가 가상자산 거래소 혹은 커스터디 업체로 양분돼 있다.

FIU에 따르면 가상자산사업자 신고 수리 범위는 △가상자산을 매도·매수 △가상자산을 다른 가상자산과 교환 △가상자산을 이전 △가상자산을 보관·관리 △가상자산의 매도·매수 및 다른 가상자산과 교환하는 행위의 중개·알선·대행하는 행위 등이다. 사실상 가상자산 거래소와 보관ㆍ관리업자로 사업자 유형이 갈리는 셈이다.

다만, 현재 ISMS 예비인증을 획득한 곳 중 일부는 특급법상 신고 범위에 포함된다고 보기에 모호한 상황이다. 6월에 ISMS 예비인증을 받은 해피블록은 법인과 기관 투자자에게 '커스터디 기반 재무관리 플랫폼'을 제공한다. 또 다른 업체인 체인파트너스는 가상자산 환전 서비스로 예비인증을 획득했다. 이외에 웨이브릿지, 하이블럭스 등이 거래소와 보관ㆍ관리업자 외의 범위로 예비인증을 취득했다.