Финорганизации будут оценивать состояние своей кибербезопасности

АРРФР РК постановлением от 30 октября 2026 года утвердило Правила проведения финансовыми организациями мероприятий по оценке состояния кибербезопасности и реагирования на инциденты информационной безопасности в финансовой сфере, в том числе кибербезопасности, сообщает Zakon.kz.

Финансовые организации проводят следующие мероприятия по оценке:

• документальные мероприятия по оценке;
• функциональные мероприятия по оценке;
• технические имитационные мероприятия по оценке.

Документальные мероприятия по оценке проводятся в форме моделирования угроз кибербезопасности без воздействия на критичные информационные активы.

В ходе документальных мероприятий по оценке отрабатываются управленческие решения, процедуры реагирования и взаимодействие подразделений финансовой организации.

Функциональные мероприятия по оценке проводятся с участием структурных подразделений финансовой организации, задействованных в реагировании на инциденты информационной безопасности в финансовой сфере, в том числе кибербезопасности.

В ходе функциональных мероприятий по оценке проверяется координация действий структурных подразделений финансовой организации и выполнение требований внутренних документов, регламентирующих порядок реагирования на инциденты информационной безопасности.

Технические имитационные мероприятия по оценке предусматривают моделирование инцидентов информационной безопасности с использованием технических средств в контролируемой среде, не используемой для выполнения текущих операций финансовой организации.

Внеплановые мероприятия по оценке проводятся финансовой организацией при возникновении новых угроз кибербезопасности, отнесенных к высокому или критическому уровню риска, при существенных изменениях в цифровой инфраструктуре финорганизации, способных повлиять на функционирование критичных информационных активов, непрерывность деятельности финансовой организации, либо по результатам внутренней оценки рисков.

Помимо этого, внеплановые мероприятия по оценке проводятся по рекомендации уполномоченного органа в случаях выявления повышенных рисков или существенных недостатков в системе управления информационной безопасности.

По каждому мероприятию разрабатывается план, включающий:

• вид мероприятия по оценке;
• описание сценария;
• перечень задействованных структурных подразделений финансовых организаций;
• порядок проведения мероприятия по оценке;
• критерии оценки результатов проведения мероприятия по оценке.

План утверждается уполномоченным должностным лицом финансовой организации по согласованию с уполномоченным органом.

В ходе проведения мероприятия по оценке обеспечивается обязательное документирование действий участников, принятых решений и выявленных недостатков.

Уполномоченный орган может участвоватьв мероприятиях в качестве:

• наблюдателя – без вмешательства в ход мероприятия по оценке;
• соорганизатора – при совместной подготовке и проведении мероприятия по оценке.

По результатам проведенных мероприятий финансовая организация формирует и утверждает документ, включающий следующие сведения:

• описание вида мероприятия по оценке и его сценария;
• перечень задействованных структурных подразделений;
• основные этапы проведения;
• достигнутые результаты, выявленные недостатки и оценку влияния выявленных недостатков на уровень рисков информационной безопасности финансовой организации;
• оценку показателей реагирования;
• корректирующие мероприятия и сроки их реализации, сведения об их исполнении, а в случае неисполнения в установленный срок – причины неисполнения, принятые меры и срок исполнения.

Постановление вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования.