Статья 63. Цифровая устойчивость

1. Государственное регулирование цифровой устойчивости осуществляется в целях обеспечения непрерывности деятельности объектов и субъектов и их восстановления после инцидентов в цифровой среде с учетом практической невозможности полной защиты от них.

2. Цифровая устойчивость достигается путем реализации субъектами правоотношений в цифровой среде следующих мер:

1) обеспечение целостности и доступности объектов правоотношений в цифровой среде, конфиденциальности обрабатываемых цифровых данных;

2) осуществление мониторинга и предупреждение инцидентов в цифровой среде и обмена данными о них;

3) управление рисками в цифровой среде на основе системы управления рисками;

4) управление ресурсами, необходимыми для обеспечения непрерывности деятельности субъектов правоотношений в цифровой среде.

3. Порядок и способы обеспечения целостности, доступности и конфиденциальности объектов критической информационной инфраструктуры, порядок мониторинга инцидентов в цифровой среде и обмена данными о них устанавливаются законодательством Кыргызской Республики в сфере обеспечения кибербезопасности.

4. Отраслевые регуляторы в пределах своих полномочий обеспечивают обмен данными об инцидентах в цифровой среде, а также другими данными, влияющими на цифровую устойчивость, между субъектами правоотношений в цифровой среде. Отраслевые регуляторы в пределах своих полномочий обобщают данные, полученные в соответствии с частью 5 настоящей статьи, и обеспечивают принятие мер по предупреждению инцидентов в цифровой среде. Участники правоотношений в цифровой среде обязаны реализовывать меры, указанные соответствующим отраслевым регулятором, в целях предупреждения инцидентов в цифровой среде и снижения их негативных последствий.

5. О каждом инциденте в цифровой среде, влияющем на цифровую устойчивость или права и законные интересы субъектов правоотношений в цифровой среде, владелец записей или поставщик цифрового сервиса обязан уведомить отраслевого регулятора не позднее чем через 72 часа после обнаружения инцидента. В случае если уведомление не было сделано в течение 72 часов, его необходимо сопроводить объяснением причин задержки.

6. Обработчик обязан уведомлять владельца записей об инцидентах в срок, установленный договором между ними или правовым актом, но не позднее чем через 48 часов после обнаружения инцидента.

7. Уведомление должно содержать:

1) описание инцидента и оценку числа пользователей, на права и законные интересы которых он влияет;

2) контактную информацию ответственного за обработку персональных данных или другого лица, уполномоченного предоставлять данные об инциденте;

3) описание последствий инцидента;

4) описание принятых мер по устранению инцидента, в том числе мер, направленных на минимизацию его возможных негативных последствий.

8. Владелец записей или поставщик цифрового сервиса обязан обновлять данные в уведомлении по мере обнаружения новых сведений об инциденте или его последствиях.