공공 클라우드 보안 인증 체계가 바뀝니다. 그것도 꽤 빠르게요.

2026년 4월, 정부는 기존 클라우드 보안인증제(CSAP) 이원 심사 체계를 국가정보원 중심의 단일 검증 체계로 전환하는 방안을 발표했습니다. 이름하여 국가망보안체계(N2SF). 내년 7월 본격 시행을 앞두고 있어, 공공시장에 진출했거나 진출을 준비하는 SaaS 기업에게는 지금이 사실상 ’골든타임’입니다.

이번 글에서는 N2SF가 무엇인지, CSAP와 어떻게 다른지, 그리고 SaaS 기업이 지금 당장 어떤 준비를 해야 하는지를 실무 관점에서 정리합니다.

CSAP에서 N2SF로, 무엇이 바뀌나요?

기존 CSAP(클라우드 보안인증제)는 과학기술정보통신부와 한국인터넷진흥원(KISA)이 심사를 담당했습니다. 공공기관이 사용하는 클라우드 서비스는 이 인증을 받아야 했고, 물리적 망분리도 의무 사항이었습니다.

변화의 핵심은 두 가지입니다.

첫째, 검증 주체가 국정원으로 통합됩니다. 기존 CSAP 이원 체계가 폐지되고, 공공 보안 요건은 국가정보원 중심의 N2SF 검증 체계로 일원화됩니다. CSAP는 민간 대상 자율 보안 인증으로 전환되어 ISMS와 연계 운영됩니다.

둘째, 망분리 의무가 사라집니다. 정부는 지난 5월 물리적 망분리 의무를 폐지했습니다. 대신 N2SF는 정보 중요도에 따라 보안 수준을 차등 적용하는 방식을 택합니다. 데이터를 기밀(C)·민감(S)·공개(O) 등급으로 분류하고, 등급에 맞는 보안 통제를 적용하는 구조입니다.

한마디로 획일적인 규제에서 리스크 기반의 유연한 체계로 바뀌는 것입니다.

왜 지금이 골든타임인가요?

내년 7월 N2SF 시행까지 남은 시간은 약 1년입니다. 짧아 보일 수 있지만, 실제 준비 기간으로 환산하면 더 촉박합니다. 인증 신청, 심사, 보완, 등재까지의 일정을 고려하면 지금 착수해야 내년 시행 전에 공공사업 참여 자격을 확보할 수 있습니다.

여기에 시장 상황도 무시할 수 없습니다. 2026년 상반기 공공 디지털서비스 계약 건수는 656건으로, 전년 동기 대비 약 2.6배 증가했습니다. 공공 SaaS 시장 자체가 빠르게 커지고 있는 만큼, 준비 시점에 따라 경쟁 격차가 몇 달이 아닌 몇 년으로 벌어질 수 있습니다.

기존 CSAP 인증 보유 기업, 어떻게 해야 하나요?

이미 CSAP 인증을 받은 기업이라면 당장 N2SF로 전환하지 않아도 됩니다. 전환 유예와 승계 절차가 마련될 예정이기 때문입니다. 다만 두 가지를 미리 확인해야 합니다.

• 현재 인증 유효 기간과 유예 조건이 맞는지
• 승계 절차에 필요한 추가 서류나 요건이 있는지

전환을 기다리는 것보다 지금 CSAP 인증을 유지·갱신하면서 N2SF 대응 역량을 쌓는 것이 유리합니다. N2SF 시행 이후 전환 유예 조건을 확보하면서, 동시에 공공사업 참여 공백도 최소화할 수 있기 때문입니다.

신규 진입 기업, 무엇부터 시작해야 하나요?

공공시장에 처음 진입하려는 SaaS 기업이라면 다음 순서로 접근하는 것이 현실적입니다.

1단계: 서비스 구조와 데이터 관리 체계 점검 공공기관이 이용하는 서비스는 ’국가 클라우드컴퓨팅 도입 가능 목록’에 등재돼야 합니다. 이를 위해 아래 요건을 먼저 확인하세요.

• 데이터 국내 저장 여부
• 국내 운영 인력 확보 여부
• AWS·Azure·Google Cloud 등 글로벌 클라우드 사용 시, 별도 국내 리전과 인증 서버·로그·백업 서버 국내 운영 여부

2단계: 생성형 AI 기능 포함 여부 확인 AI 기능을 제공하는 SaaS는 추가 보안 준비가 필요합니다. 특히 이용자 입력 데이터가 외부 AI 모델 학습에 활용되지 않도록 설정을 명확히 확인하고, 이를 문서화해야 합니다.

3단계: CSAP 인증 먼저 획득 N2SF 시행 전까지는 CSAP 인증을 먼저 받는 것이 유리합니다. N2SF 전환 유예·승계 조건 확보는 물론, N2SF 대응에 필요한 보안 역량을 미리 검증받는 효과도 있습니다.

IT 자산 관리와 N2SF 준비, 연결되는 부분이 있습니다

N2SF는 결국 데이터 분류와 접근 통제가 핵심입니다. 기밀·민감·공개 등급에 따라 어떤 시스템에서 어떤 데이터를 다루는지를 명확히 해야 하고, 이를 위해서는 조직 내 소프트웨어와 기기 자산 현황이 먼저 정리되어 있어야 합니다.

예를 들어, 어떤 구성원이 어떤 SaaS에 접근하고 있는지, 퇴사자 계정은 제때 회수되고 있는지, 인가받지 않은 소프트웨어가 설치되어 있지는 않은지가 보안 심사 과정에서 직접 체크됩니다.

심플리는 구성원별 SaaS 접근 현황, 미사용 라이선스, 섀도우 IT(비인가 소프트웨어) 감지까지 한 대시보드에서 관리할 수 있습니다. N2SF 전환을 준비하면서 내부 IT 자산 현황을 정리해야 한다면, 자산 관리 체계를 먼저 갖추는 것이 첫 번째 과제가 됩니다.

마치며: 먼저 준비한 기업이 시장을 가져갑니다

서정훈 디딤 클라우드컨설팅그룹장의 말을 빌리면, “준비 시점에 따라 공공시장 경쟁력 격차가 몇 개월이 아니라 몇 년까지 벌어질 수 있다”고 합니다.

규제 전환기는 늘 선점하는 쪽에 기회가 먼저 옵니다. N2SF 시행을 막연히 기다리기보다, 지금 할 수 있는 것부터 준비를 시작하세요.

공공 SaaS 시장 진출을 준비하면서 IT 자산 관리 체계도 함께 정비하고 싶다면, 심플리의 무료 체험을 통해 현재 우리 조직의 SaaS 및 기기 현황을 먼저 파악해보세요.

👉 심플리 무료 체험 시작하기