정보통신서비스 매출액의 기준과 보안관계성 문의드려요

똑같이 서비스를 하는 업체인데 왜 사용자수가 일정기준을 넘으면 보안 의무가 갑자기 강화되는 구조인지 궁금해서요 기술보다 리스크 관리의 기준인가요?