Узбекистан принял свой первый Закон «O кибербезопасности» (от 15.04.2022 г. № ЗРУ-764), который вступает силу с 17 июля 2022 года. Мы ранее писали, что проект закона рассматривался в Парламенте Узбекистана (Олий Мажлис).

Текст закона доступен по следующей ссылке. 

Релевантны ли эти изменения для моего бизнеса?

Новые требования могут затронут Ваш бизнес, если Вы владеете (на правах собственности, аренды или на других законных основаниях), в том числе обеспечиваете эксплуатацию и взаимодействие систем информатизации, применяемых в следующих сферах (далее - «объекты критической информационной инфраструктуры»):

• государственное управление и оказание государственных услуг;
• оборона;
• обеспечение государственной безопасности;
• правопорядок;
• топливно-энергетический комплекс (атомной энергетики);
• химическая нефтехимическая отрасли;
• металлургия;
• водопользование и водоснабжение;
• сельское хозяйство;
• здравоохранение;
• жилищно-коммунальное обслуживание;
• банковско-финансовая система;
• транспорт;
• информационно-коммуникационные технологии;
• экология и охрана окружающей среды;
• добыча и переработка полезных ископаемых стратегического значения;
• производственная сфера;

a также в других отраслях экономики и социальной сфере.

Кто является регулятором в сфере кибербезопасности?

Служба государственной безопасности Республики Узбекистан является регулятором в сфере кибербезопасности. Единую государственную политику в сфере кибербезопасности определяет Президент Республики Узбекистан.

Каким образом эти изменения могут повлиять на Ваш бизнес?

Субъекты критической информационной инфраструктуры будут обязаны: 

• соблюдать требования кибербезопасности, определенные регулятором;
• устанавливать дополнительные требования для обеспечения кибербезопасности после согласования c регулятором;
• обеспечивать непрерывное функционирование информационных систем объектов критической информационной инфраструктуры;
• обеспечивать хранение, путем создания резервной копии, данных объектов критической информационной инфраструктуры не менее трех последних месяцев;
• предоставлять регулятору права доступа для мониторинга состояния обеспечения кибербезопасности и подключить собственную систему обеспечения кибербезопасности, к системе мониторинга и управления инцидентами кибербезопасности регулятора;
• сертифицировать аппаратные, аппаратно-программные и программные средства;
• устанавливать и эксплуатировать мониторинговые системы для предотвращения кибератак, устранения их последствий, a также принятия мер в отношении инцидентов кибербезопасности;
• выполнять указания регулятора по устранению выявленных правонарушений;
• предотвращать незаконное распространение, хищение, утерю, нарушение целостности, блокировку и фальсификацию данных, a также иные виды несанкционированного доступа (входа), принимать своевременные соответствующие меры при выявлении таких случаев;
• если применимо, проходить аттестацию, экспертизу на соответствие требованиям кибербезопасности и оценку уровня обеспечения кибербезопасности;
• в отношении инцидента кибербезопасности:
  • обеспечивать функционирование механизмов принятия мер в отношении инцидентов кибербезопасности и работу подразделений по обеспечению кибербезопасности, a в случае их отсутствия – пользоваться услугами аутсорсинга c разрешения регулятора;
  • уведомлять регулятора o произошедших инцидентах и киберпреступлениях;
  • принимать меры по недопущению утери соответствующих цифровых следов для полного раскрытия данных инцидентов;
  • обеспечивать постоянное хранение сведений, необходимых для анализа инцидентов кибербезопасности и расследования киберпреступлений;
  • принять меры по минимизации негативных последствий при нарушении порядка доступа и принимать меры по оперативному восстановлению доступа.

Какие действия нужно предпринять?

Если ваш бизнес может быть квалифицирован как объект критической информационной инфраструктуры, то вам следует подготовить план действий в случае включения регулятором Вашего бизнеса в единый реестр объектов критической информационной инфраструктуры. Такая квалификация может потребовать определенные финансовые затраты (например, закуп согласованного с регулятором технических средств и программного обеспечения) и организационные изменения (например, создание специальной команды по кибербезопасности из числа специалистов, прошедших определённую регулятором аттестацию, взаимодействие с регулятором).

При необходимости мы будем рады обсудить с Вами детали новых изменений.