Загрузка документа…
Порядок проведения аудита кибербезопасности
Глава 1. Общие положения
1. Порядок проведения аудита кибербезопасности (далее – Порядок) устанавливает порядок проведения внутреннего, государственного и независимого аудитов кибербезопасности объектов критической информационной инфраструктуры (далее – КИИ) и объектов информационной инфраструктуры государственных органов, органов местного самоуправления, государственных предприятий и учреждений, а также хозяйственных обществ с государственной долей участия более 50 процентов, не относящихся к объектам критической информационной инфраструктуры, то есть объектов государственной информационной инфраструктуры (далее – ГИИ) Кыргызской Республики.
Направление документов, предусмотренных настоящим Порядком, осуществляется в электронном виде посредством системы электронного документооборота (а в случае ее отсутствия осуществляется в бумажном виде с приложением электронного варианта документов), за исключением отчетов о результатах проведения внутреннего и независимого аудитов кибербезопасности, актов о результатах государственного аудита кибербезопасности и иных документов ограниченного доступа, которые направляются исключительно в бумажном виде с приложением электронного варианта документов при необходимости.
2. Внутренний аудит кибербезопасности в обязательном порядке осуществляется на объектах КИИ и ГИИ не реже одного раза в год субъектами КИИ и ГИИ самостоятельно согласно их организационно-распорядительным документам на соответствие законодательству и стандартам в сфере обеспечения кибербезопасности.
Экземпляр отчета о результатах проведения внутреннего аудита кибербезопасности направляется субъектами КИИ в уполномоченный государственный орган в сфере обеспечения кибербезопасности, а субъектами ГИИ в уполномоченный государственный орган в области цифровизации.
3. Государственные органы, уполномоченные на проведение государственного аудита кибербезопасности (далее – уполномоченные государственные органы):
- уполномоченный государственный орган в сфере обеспечения кибербезопасности, осуществляющий государственный аудит кибербезопасности объектов КИИ;
- уполномоченный государственный орган в области цифровизации, осуществляющий государственный аудит кибербезопасности объектов ГИИ.
4. Независимый аудит кибербезопасности объектов КИИ и ГИИ осуществляется на соответствие требованиям законодательства и стандартам в сфере обеспечения кибербезопасности.
Решение о проведении независимого аудита кибербезопасности объектов КИИ и ГИИ принимается субъектами КИИ и ГИИ самостоятельно.
Независимый аудит кибербезопасности на объектах КИИ и ГИИ проводится аккредитованными юридическими лицами, осуществляющими деятельность по проведению независимого аудита кибербезопасности согласно методике проведения аудита кибербезопасности, утвержденной внутренним актом юридического лица.
В случае принятия решения субъектами КИИ или ГИИ о проведении независимого аудита кибербезопасности ими направляется уведомление в адрес соответствующего уполномоченного государственного органа с указанием наименования привлекаемого аккредитованного юридического лица, осуществляющего деятельность по проведению независимого аудита кибербезопасности.
Экземпляр отчета о результатах проведения независимого аудита кибербезопасности объектов КИИ и ГИИ направляется субъектами КИИ и ГИИ в соответствующие уполномоченные государственные органы.
5. Государственный аудит подразделяется на плановый государственный аудит кибербезопасности (далее – плановый аудит) и внеплановый государственный аудит кибербезопасности (далее – внеплановый аудит), сроки проведения которых составляют не более тридцати рабочих дней с даты фактического начала проведения аудита, фиксируемого в акте планового и внепланового аудитов.
В случае проведения государственного аудита в отношении нескольких объектов КИИ, принадлежащих одному субъекту КИИ, которые расположены в разных административно-территориальных единицах, срок проведения устанавливается отдельно по каждому объекту КИИ.
Отчеты о результатах проведения внутреннего и независимого аудитов кибербезопасности, а также акты о результатах государственного аудита кибербезопасности являются документами ограниченного доступа и не подлежат публичному распространению.
6. Целью планового аудита является оценка соответствия субъектов КИИ и ГИИ требованиям по обеспечению кибербезопасности.
Плановый аудит объектов КИИ осуществляется с учетом их категории значимости, присваиваемой в порядке установленном постановлением Кабинета Министров Кыргызской Республики