Приложение

(к постановлению Кабинета Министров Кыргызской Республики от 24 апреля 2026 года № 282)

ПОРЯДОК аккредитации деятельности по проведению независимого аудита кибербезопасности

Глава 1. Общие положения

1. Настоящий Порядок аккредитации деятельности по проведению независимого аудита кибербезопасности (далее - Порядок) регулирует процедуру аккредитации юридических лиц, осуществляющих деятельность по проведению независимого аудита кибербезопасности объектов критической информационной инфраструктуры и объектов информационной инфраструктуры государственных органов, органов местного самоуправления, государственных предприятий и учреждений, а также хозяйственных обществ с государственной долей участия более 50 процентов, не относящихся к объектам критической информационной инфраструктуры.

2. Аккредитация заявителя проводится уполномоченным государственным органом с целью оценки его на соответствие настоящему Порядку, требованиям, установленным законодательством Кыргызской Республики в сфере обеспечения кибербезопасности, а также национальным и международным стандартам в сфере обеспечения кибербезопасности.

3. Аккредитация юридических лиц проводится на добровольной основе.

4. Термины, используемые в настоящем Порядке:

аккредитация - процедура, посредством которой уполномоченный государственный орган официально признает компетентность юридического лица в проведении независимого аудита кибербезопасности;

заявитель - юридическое лицо, подавшее заявление на получение аккредитации;

уполномоченный государственный орган - уполномоченный государственный орган в сфере обеспечения кибербезопасности Кыргызской Республики.

Глава 2. Требования к заявителю

5. Аккредитация заявителя осуществляется при условии выполнения им следующих требований:

1) стоимость чистых активов заявителя составляет не менее чем один миллион сомов, которую он подтверждает бухгалтерской отчетностью (баланс, отчет о прибылях и убытках), справкой из банка, документами на имущество;

2) наличие выписки из единого государственного реестра юридических лиц либо электронная справка (свидетельство) о регистрации юридического лица на территории Кыргызской Республики;

3) наличие квалифицированных специалистов, осуществляющих деятельность по проведению независимого аудита кибербезопасности, имеющих квалификационные сертификаты (один из ISO/IEC27001 Lead Auditor/Implementer, CISA, CISM, CISSP, CompTIA, CEH, CRISC, COBIT, ITIL, NIST, OSCP, CySA+, GIAC, CGEIT, CHFI, ECSA, LPT и др.);

4) наличие сертифицированных программных и аппаратно-программных средств, их наименование и технические характеристики, применяемые при проведении независимого аудита кибербезопасности и теста на проникновение, а также документы, подтверждающие право собственности либо иное законное основание для их использования;

5) наличие финансового обеспечения ответственности за убытки, причиненные в ходе проведения независимого аудита кибербезопасности, в сумме не менее чем один миллион сомов, которую он подтверждает банковской гарантией, депозитом, страховым полисом, а также иными способами (движимым и недвижимым имуществом, ценными бумагами);

6) наличие опыта проведения независимого аудита кибербезопасности объектов информационной инфраструктуры;

7) обеспечение независимости от проверяемых объектов и исключающих возможности конфликта интересов при проведении аудита кибербезопасности;

8) обеспечение защиты информации, получаемой и обрабатываемой при проведении аудита кибербезопасности, от несанкционированного доступа, утраты, модификации и разглашения.

Глава 3. Документы, предоставляемые заявителем для получения свидетельства об аккредитации

6. Для получения свидетельства об аккредитации заявитель предоставляет или направляет в уполномоченный государственный орган следующие документы:

1) заявление по форме согласно приложению 2 к настоящему Порядку;

2) наличие выписки о регистрации юридического лица из Единого государственного реестра юридических лиц, филиалов (представительств) (далее - Реестр) либо электронная справка (свидетельство);

3) копии документов, подтверждающих присвоение заявителю идентификационного номера налогоплательщика и плательщика страховых взносов;

4) сведения о банковских реквизитах;

5) нотариально заверенные копии соответствующих сертификатов и документов государственного образца о высшем образовании в области кибербезопасности специалистов юридического лица;

6) нотариально заверенные копии трудовых книжек специалистов юридического лица;

7) нотариально заверенные копии документов, удостоверяющих личности специалистов;

8) нотариально заверенные копии трудовых договоров специалистов с юридическим лицом;

9) копии квалификационных сертификатов специалистов (один из ISO/IEC27001 Lead Auditor/Implementer, CISA, CISM, CISSP, CompTIA, CEH, CRISC, COBIT, ITIL, NIST, OSCP, CySA+, GIAC, CGEIT, CHFI, ECSA, LPT и др.);

10) перечень организационно-распорядительных документов, утвержденных внутренним актом юридического лица, регламентирующих:

- проведение аудита кибербезопасности (описание целей, задач, методов, периодичности и отчетности);

- методику проведения аудита кибербезопасности (на основе национальных и международных стандартов ISO/IEC, NIST, COBIT, PCI DSS, ITIL, OWASP, и т.д.);

- политику кибербезопасности;

- конфиденциальность и защиту информации, полученной в ходе аудита кибербезопасности;

- хранение и уничтожение результатов аудита кибербезопасности;

- порядок предоставления отчетности и рекомендаций по итогам аудита кибербезопасности;

- критерии допуска специалистов к аудиту кибербезопасности (требования к квалификации, стажу, конфликту интересов и т.д.);

- назначение ответственных лиц за проведение аудита кибербезопасности;

- шаблоны отчетов по результатам аудита кибербезопасности, чек-листов, опросников (по объектам информационной инфраструктуры, политике кибербезопасности, киберинцидентам и т.д.);

- внутренний контроль качества аудита кибербезопасности;

- внутреннюю проверку (вторичный контроль проведенных аудитов кибербезопасности);

- процедуру обработки жалоб или разногласий по результатам аудита кибербезопасности;

- журнал проведенных аудитов кибербезопасности;

- план подтверждения квалификации аудиторов кибербезопасности;

11) перечень сертифицированных программных и аппаратно-программных средств, применяемых при осуществлении деятельности по проведению независимого аудита кибербезопасности, а также документы, подтверждающие право собственности либо иное законное основание для их использования.

7. Документы, указанные в пункте 6 настоящего Порядка, предоставляются заявителем на государственном или официальном языках в бумажном (с описью, прошитые и пронумерованные) и электронном виде.

8. Заявление и прилагаемые к нему документы, приказы о выдаче либо об отказе в выдаче свидетельства об аккредитации, о переоформлении, приостановлении, возобновлении или прекращении действия свидетельства и другие документы подлежат хранению в уполномоченном государственном органе в порядке, предусмотренном Законом Кыргызской Республики "О Национальном архивном фонде Кыргызской Республики".