디지털배지 도입 체크리스트 | 2026년 계약 전 확인할 7가지

디지털배지 솔루션 계약 전에 확인할 항목은 2026년에 세 군데가 바뀌었습니다. ISO/IEC 27001은 2013년판을 근거로 한 인증서가 2025년 10월 31일자로 모두 실효됐고, 개정 개인정보보호법이 2026년 9월 11일 시행되며, 공공 클라우드 보안인증(CSAP)은 2027년 7월 국가정보원 단일 검증체계로 흡수될 예정입니다. 이 글은 2026년 8월 기준으로 계약 전에 확인할 7가지를 근거 조문과 공식 인증 디렉터리와 함께 정리했습니다.

체크리스트가 낡는 속도도 빨라졌습니다. 여러 도입 가이드가 지금도 인용하는 정보통신망법 제31조는 2020년 2월 4일 삭제된 조문입니다. 근거가 사라진 문항을 그대로 두면 법무 검토 단계에서 되짚어야 합니다.

2026년에 달라진 확인 항목 세 가지

2026년 체크리스트에서 갱신이 필요한 항목은 보안 인증 판번호, 개인정보보호법 개정, 공공 클라우드 인증 체계 세 가지입니다. 셋 다 2025년까지 통용되던 문항을 그대로 두면 확인해도 의미가 없거나, 계약 기간 중에 요건이 바뀌는 항목입니다. 아래 표는 각 항목이 어떻게 달라졌는지와 근거를 정리한 것입니다.

표의 보안 인증 행과 공공 조달 행은 인증서 사본을 받아야 확인이 끝나고, 개인정보 행은 계약서 문안을 봐야 확인이 끝납니다. 세 항목 모두 제안서만으로는 판별되지 않습니다.

1EdTech 인증은 버전과 역할까지 확인합니다

1EdTech Open Badges 인증은 보유 여부보다 버전과 역할의 조합을 봅니다. 2026년 8월 기준 국내 주요 플랫폼 다수가 Open Badges 3.0 인증을 갖고 있어 인증 보유 자체는 변별력이 크지 않습니다. 같은 3.0이라도 Issuer 한 역할만 받은 곳과 Issuer·Displayer·Host 세 역할을 모두 받은 곳은 외부 지갑 연동과 배지 표시 범위가 달라집니다.

세 역할이 검증하는 범위는 1EdTech 공식 인증 가이드에 정의돼 있습니다.

버전에 따라 인증 축이 갈린다는 점도 함께 봅니다. Open Badges 2.0과 3.0은 위 세 역할로 인증하지만, 2.1(Badge Connect API)은 Service Provider와 Service Consumer라는 다른 체계로 인증합니다. 기관 시스템과 배지 플랫폼을 API로 연동할 계획이라면 2.1 인증 보유 여부를 따로 확인하는 편이 정확합니다.

3.0은 2.0의 상위 버전이 아니라 데이터 모델이 다른 규격입니다. 3.0의 배지는 W3C Verifiable Credentials 데이터 모델을 따르는 자격증명으로 발급되고, 표준 문서는 2026년 6월까지도 컨텍스트 개정이 이어졌습니다. 두 규격의 차이는 오픈배지 3.0과 W3C Verifiable Credentials 비교에서 따로 정리했습니다.

공식 디렉터리에서 확인한 국내 주요 플랫폼의 인증 내역은 아래와 같습니다(2026년 8월 확인).

표에서 K-OpenBadge 행의 CASE 열만 값이 채워져 있습니다. CASE는 역량·학업 표준을 기관 간에 교환하는 규격으로, 역량체계를 외부와 주고받을 계획이 있는 기관이라면 확인 대상입니다. 인증은 갱신·만료되므로 최종 검토 단계에서는 디렉터리에서 인증일과 상태(Active / Out of Date)를 직접 확인합니다.

플랫폼별 기능과 운영 방식의 차이는 국내 디지털배지 발급 업체 비교에서 같은 축으로 정리했습니다.

ISO 27001은 판번호와 만료일을 함께 봅니다

ISO/IEC 27001 인증은 2026년 현재 판번호 확인이 필수입니다. 국제인정기구포럼(IAF)의 의무문서 IAF MD 26 Issue 2는 2013년판 기준 인증이 전환기간 종료와 함께 만료되거나 철회된다고 정하고 있고, 그 기한은 2025년 10월 31일이었습니다. 따라서 2026년 8월 현재 “ISO 27001 인증 보유”라는 표기만으로는 유효성을 판단할 수 없습니다.

인증서 사본에서 확인할 것은 세 가지입니다.

1. 규격 표기 - ISO/IEC 27001:2022인지, 2013년판 표기가 남아 있지 않은지
2. 인증 범위 - 배지 발급·보관 서비스가 인증 범위에 포함되는지, 본사 사무 영역만 인증받은 것은 아닌지
3. 유효기간 - 만료일이 계약 기간을 덮는지, 갱신 심사 일정이 계약 중간에 걸리지 않는지

국내 기관이라면 ISMS-P 인증도 함께 봅니다. ISO 27001이 국제 민간 표준인 것과 달리 ISMS-P는 정보통신망법 제47조와 개인정보보호법 제32조의2를 근거로 하는 법정 인증이고, 일정 요건을 넘는 사업자는 의무 대상입니다. 대학 중에서도 재학생 규모와 매출이 기준을 넘으면 의무 대상에 들어가므로, 솔루션 공급사뿐 아니라 도입 기관 자신이 의무 대상인지 먼저 확인하는 편이 순서에 맞습니다. ISO 27001과 디지털배지 보안의 관계는 별도 글에서 더 자세히 다뤘습니다.

개인정보는 위탁 계약, 개정법, 보관 위치로 나눠 봅니다

디지털배지 SaaS는 기관이 보유한 수료자 개인정보를 외부에 맡기는 구조입니다. 그래서 확인의 출발점은 서비스 기능이 아니라 개인정보보호법 제26조(업무위탁에 따른 개인정보의 처리 제한)입니다. 여기에 2026년 9월 시행되는 개정 요건과 데이터 보관 위치를 더하면 개인정보 항목의 검토가 마무리됩니다.

처리위탁 계약이 실제 근거 조문입니다

개인정보보호법 제26조는 위탁 시 처리 목적과 범위, 재위탁 제한, 안전조치, 수탁자에 대한 관리·감독 사항을 문서로 정하도록 하고, 위탁 사실을 개인정보 처리방침에 공개하도록 하고 있습니다. 계약 검토에서는 위탁 문서에 처리 항목과 보유 기간이 특정돼 있는지, 하위 처리자를 두는 경우 사전 동의 조항이 있는지, 수탁자 교육·점검 기록을 받아볼 수 있는지를 확인합니다.

과거 도입 가이드에서 자주 인용되던 정보통신망법 제31조는 근거로 쓰지 않습니다. 데이터 3법 개정으로 정보통신망법의 개인정보 관련 조항이 개인정보보호법으로 이관되면서 2020년 2월 4일 삭제된 조문입니다. 다만 마케팅 목적의 광고성 정보 전송을 다루는 정보통신망법 제50조는 그대로 유효하므로, 배지 발급 알림과 마케팅 발송을 같은 채널로 처리하는 경우에는 동의 구분이 필요합니다.

2026년 9월 11일 시행 개정안을 계약서가 반영하는지 봅니다

개정 개인정보보호법은 2026년 3월 10일 공포돼 같은 해 9월 11일 시행됩니다. 유출 통지 의무가 유출을 확인한 시점에서 유출 가능성이 있는 시점으로 앞당겨지고, 통지 내용에 배상 방법과 분쟁해결 절차가 들어가야 합니다. 과징금 상한은 매출액의 3%에서 10%로 오르며, 3년 내 반복 위반이나 시정명령 불이행 등이 적용 요건입니다. 대규모 개인정보처리자의 ISMS-P 인증 의무화는 2027년 7월 1일부터입니다.

기관 입장에서 실무적으로 달라지는 것은 계약서의 사고 통지 조항입니다. 공급사가 침해 사고를 인지한 뒤 몇 시간 안에 기관에 알리도록 정해 두지 않으면, 기관이 개정법상 통지 시한을 지키기 어려워집니다. 통지 시한, 협조 의무, 책임 범위 세 가지를 계약서에서 확인합니다.

데이터 보관 위치와 국외 이전을 확인합니다

서버 소재지와 국외 이전 여부는 계약 전에 문서로 받아 둡니다. 개인정보를 국외로 이전하는 경우 개인정보보호법 제28조의8에 따른 요건을 갖춰야 하고, 개인정보보호위원회는 2026년 업무계획에서 표준계약조항과 구속력 있는 기업규칙 도입 등 국외이전 관리 강화를 예고했습니다. 해외 플랫폼을 검토 중이라면 이 항목이 국내 업체 검토보다 먼저 확인해야 할 조건이 됩니다.

공공기관이라면 조달 경로와 인증 전환 계획을 봅니다

공공기관은 기능 검토와 별개로 계약 경로를 먼저 정합니다. 2020년 10월 시행된 디지털서비스 전문계약제도를 이용하면 클라우드 서비스를 수의계약 또는 카탈로그계약으로 체결할 수 있습니다. 과학기술정보통신부 심사위원회가 선정한 서비스를 조달청 디지털서비스몰에서 계약하는 구조라, 해당 목록에 올라 있는 서비스인지가 첫 확인 항목입니다.

클라우드 보안인증은 과도기에 들어갔습니다. 과학기술정보통신부와 국가정보원은 2026년 4월 20일 CSAP와 국가정보원 검증으로 이원화돼 있던 구조를 국가정보원 단일 검증체계로 일원화한다고 발표했습니다. 관리적·물리적·기술적 보호조치 항목은 ISMS로 통합되고, 공공 특화 요건은 신설되는 국가정보원 클라우드 보안 검증으로 넘어갑니다. 시행은 2027년 7월이고, 그 이전에 취득한 기존 CSAP 인증은 유효기간 동안 인정됩니다.

이 때문에 공공기관 체크리스트의 인증 문항은 세 갈래로 나눠 묻는 편이 정확합니다. 현재 CSAP 인증 보유 여부와 등급, 인증서 만료일, 그리고 2027년 7월 이후 전환 대응 계획입니다.

계약서에 없지만 운영 공수를 결정하는 항목

표준과 보안 문항을 통과한 뒤에 남는 차이는 발급 이후 운영에서 갈립니다. 배지를 만드는 기능은 대부분의 플랫폼이 제공하지만, 한 기수에 수백 명을 발급하고 오류 건을 재발급하고 검증 페이지 조회를 성과 보고로 옮기는 과정은 제품마다 구조가 다릅니다. 이 부분이 담당자 업무 시간을 실제로 결정합니다.

검토 단계에서 다음 네 가지를 시연으로 확인하면 도입 후 공수를 가늠할 수 있습니다.

1. 대량 발급 - 명단 업로드부터 발송까지 몇 단계인지, 오류 건이 어떻게 표시되는지
2. 재발급·회수 - 이름 오기나 과정 변경 시 재발급 절차와 기존 배지 처리 방식
3. 검증 페이지 - 수령자와 제3자가 보는 화면이 각각 어떻게 나오는지, 공동 발급기관이 표시되는지
4. 집계 - 발급·조회·공유 데이터가 보고서 형태로 나오는지, 내보내기가 되는지

칼리지스는 이 가운데 발급 이후 활용과 집계를 운영 축으로 두고 있습니다. 다만 기관마다 우선순위가 달라, 대량 발급 자동화가 급한 기관과 성과 보고가 급한 기관은 같은 제품을 써도 평가가 갈립니다. 시연 요청 시 기관의 실제 명단 규모와 과정 수를 알려 주고 그 조건에서 시연을 받는 편이 판단에 도움이 됩니다.

계약 전 확인 항목 7가지 요약

아래 7개 항목은 모두 제안서가 아니라 문서나 화면으로 확인되는 것들입니다. 검토 회의 전에 공급사에 자료를 요청해 두면 회의에서 판단까지 끝낼 수 있습니다.

일곱 항목 중 1번부터 5번까지는 어느 기관이든 동일하게 적용되고, 6번은 공공기관에만 해당하며, 7번은 기관의 발급 규모에 따라 비중이 달라집니다. 연간 발급이 수십 건 수준이면 7번의 무게가 크지 않지만, 여러 부서가 수백 건씩 발급하는 구조라면 1번부터 6번을 통과한 뒤 7번에서 최종 판단이 갈리는 경우가 많습니다.

인증과 법령 요건은 계속 바뀝니다. 이 글의 내용은 2026년 8월 기준이고, 계약 시점에는 1EdTech 디렉터리와 인증서 원본, 시행 중인 법령 조문을 다시 확인하는 것이 정확합니다.