ПОРЯДОК аккредитации деятельности по проведению независимого аудита кибербезопасности (приложение к постановлению Кабинета Министров КР)

Приложение

(к постановлению Кабинета Министров Кыргызской Республики от 24 апреля 2026 года № 282)

ПОРЯДОК аккредитации деятельности по проведению независимого аудита кибербезопасности

1. Настоящий Порядок аккредитации деятельности по проведению независимого аудита кибербезопасности (далее - Порядок) регулирует процедуру аккредитации юридических лиц, осуществляющих деятельность по проведению независимого аудита кибербезопасности объектов критической информационной инфраструктуры и объектов информационной инфраструктуры государственных органов, органов местного самоуправления, государственных предприятий и учреждений, а также хозяйственных обществ с государственной долей участия более 50 процентов, не относящихся к объектам критической информационной инфраструктуры.

2. Аккредитация заявителя проводится уполномоченным государственным органом с целью оценки его на соответствие настоящему Порядку, требованиям, установленным законодательством Кыргызской Республики в сфере обеспечения кибербезопасности, а также национальным и международным стандартам в сфере обеспечения кибербезопасности.

3. Аккредитация юридических лиц проводится на добровольной основе.

4. Термины, используемые в настоящем Порядке:

аккредитация - процедура, посредством которой уполномоченный государственный орган официально признает компетентность юридического лица в проведении независимого аудита кибербезопасности; заявитель - юридическое лицо, подавшее заявление на получение аккредитации; уполномоченный государственный орган - уполномоченный государственный орган в сфере обеспечения кибербезопасности Кыргызской Республики.

5. Аккредитация заявителя осуществляется при условии выполнения им следующих требований:

1) стоимость чистых активов заявителя составляет не менее чем один миллион сомов, которую он подтверждает бухгалтерской отчетностью (баланс, отчет о прибылях и убытках), справкой из банка, документами на имущество;

2) наличие выписки из единого государственного реестра юридических лиц либо электронная справка (свидетельство) о регистрации юридического лица на территории Кыргызской Республики;

3) наличие квалифицированных специалистов, осуществляющих деятельность по проведению независимого аудита кибербезопасности, имеющих квалификационные сертификаты (один из ISO/IEC27001 Lead Auditor/Implementer, CISA, CISM, CISSP, CompTIA, CEH, CRISC, COBIT, ITIL, NIST, OSCP, CySA+, GIAC, CGEIT, CHFI, ECSA, LPT и др.);

4) наличие сертифицированных программных и аппаратно-программных средств, их наименование и технические характеристики, применяемые при проведении независимого аудита кибербезопасности и теста на проникновение, а также документы, подтверждающие право собственности либо иное законное основание для их использования;

5) наличие финансового обеспечения ответственности за убытки, причиненные в ходе проведения независимого аудита кибербезопасности, в сумме не менее чем один миллион сомов, которую он подтверждает банковской гарантией, депозитом, страховым полисом, а также иными способами (движимым и недвижимым имуществом, ценными бумагами);

6) наличие опыта проведения независимого аудита кибербезопасности объектов информационной инфраструктуры;

7) обеспечение независимости от проверяемых объектов и исключающих возможности конфликта интересов при проведении аудита кибербезопасности;

8) обеспечение защиты информации, получаемой и обрабатываемой при проведении аудита кибербезопасности, от несанкционированного доступа, утраты, модификации и разглашения.

6. Для получения свидетельства об аккредитации заявитель предоставляет или направляет в уполномоченный государственный орган следующие документы:

1) заявление по форме согласно приложению 2 к настоящему Порядку;

2) наличие выписки о регистрации юридического лица из Единого государственного реестра юридических лиц, филиалов (представительств) (далее - Реестр) либо электронная справка (свидетельство);

3) копии документов, подтверждающих присвоение заявителю идентификационного номера налогоплательщика и плательщика страховых взносов;

4) сведения о банковских реквизитах;

5) нотариально заверенные копии соответствующих сертификатов и документов государственного образца о высшем образовании в области кибербезопасности специалистов юридического лица;

6) нотариально заверенные копии трудовых книжек специалистов юридического лица;

7) нотариально заверенные копии документов, удостоверяющих личности специалистов;

8) нотариально заверенные копии трудовых договоров специалистов с юридическим лицом;

9) копии квалификационных сертификатов специалистов (один из ISO/IEC27001 Lead Auditor/Implementer, CISA, CISM, CISSP, CompTIA, CEH, CRISC, COBIT, ITIL, NIST, OSCP, CySA+, GIAC, CGEIT, CHFI, ECSA, LPT и др.);

10) перечень организационно-распорядительных документов, утвержденных внутренним актом юридического лица, регламентирующих:

- проведение аудита кибербезопасности (описание целей, задач, методов, периодичности и отчетности);

- методику проведения аудита кибербезопасности (на основе национальных и международных стандартов ISO/IEC, NIST, COBIT, PCI DSS, ITIL, OWASP, и т.д.);

- политику кибербезопасности;

- конфиденциальность и защиту информации, полученной в ходе аудита кибербезопасности;

- хранение и уничтожение результатов аудита кибербезопасности;

- порядок предоставления отчетности и рекомендаций по итогам аудита кибербезопасности;

- критерии допуска специалистов к аудиту кибербезопасности (требования к квалификации, стажу, конфликту интересов и т.д.);

- назначение ответственных лиц за проведение аудита кибербезопасности;

- шаблоны отчетов по результатам аудита кибербезопасности, чек-листов, опросников (по объектам информационной инфраструктуры, политике кибербезопасности, киберинцидентам и т.д.);

- внутренний контроль качества аудита кибербезопасности;

- внутреннюю проверку (вторичный контроль проведенных аудитов кибербезопасности);

- процедуру обработки жалоб или разногласий по результатам аудита кибербезопасности;

- журнал проведенных аудитов кибербезопасности;

- план подтверждения квалификации аудиторов кибербезопасности;

11) перечень сертифицированных программных и аппаратно-программных средств, применяемых при осуществлении деятельности по проведению независимого аудита кибербезопасности, а также документы, подтверждающие право собственности либо иное законное основание для их использования.

7. Документы, указанные в пункте 6 настоящего Порядка, предоставляются заявителем на государственном или официальном языках в бумажном (с описью, прошитые и пронумерованные) и электронном виде.

8. Заявление и прилагаемые к нему документы, приказы о выдаче либо об отказе в выдаче свидетельства об аккредитации, о переоформлении, приостановлении, возобновлении или прекращении действия свидетельства и другие документы подлежат хранению в уполномоченном государственном органе в порядке, предусмотренном Законом Кыргызской Республики "О Национальном архивном фонде Кыргызской Республики".

9. Уполномоченный государственный орган осуществляет рассмотрение заявления, полноты, целостности и содержания документов, представленных заявителем, в течение 30 рабочих дней со дня регистрации заявления.

10. Уполномоченный государственный орган проверяет сведения, содержащиеся в представленных заявителем документах, в том числе путем направления запросов в соответствующие государственные органы и организации, а также в Национальный банк Кыргызской Республики и уполномоченный государственный орган в области цифровизации.

11. По итогам рассмотрения заявления и прилагаемых к нему документов, в том числе документов, полученных от государственных органов и организаций (при наличии), уполномоченным государственным органом в срок, не превышающий 5 рабочих дней с момента окончания рассмотрения заявления, осуществляется оформление заключения об одобрении или отказе в выдаче заявителю свидетельства об аккредитации.

12. В течение 7 рабочих дней с даты оформления заключения об одобрении выдачи свидетельства об аккредитации уполномоченный государственный орган утверждает соответствующий приказ об аккредитации юридического лица.

13. Уполномоченный государственный орган в срок, не превышающий 10 рабочих дней со дня утверждения приказа, направляет заявителю свидетельство об аккредитации по форме согласно приложению 1 к настоящему Порядку.

14. Срок действия свидетельства об аккредитации составляет 3 года, если в заявлении не был указан более короткий срок.

15. В течение 3 рабочих дней со дня подписания приказа об аккредитации юридического лица уполномоченный государственный орган размещает на своем официальном сайте в информационно-телекоммуникационной сети Интернет следующую информацию:

- наименование аккредитованного юридического лица;

- юридический адрес аккредитованного юридического лица;

- срок действия свидетельства об аккредитации.

16. В течение 3 рабочих дней со дня вступления в силу приказа об аккредитации юридического лица уполномоченный государственный орган вносит соответствующую информацию в Реестр.

17. В случае изменения наименования, местонахождения, состава руководителей, внесении изменений в учредительные документы аккредитованного юридического лица либо утраты свидетельства об аккредитации, аккредитованное юридическое лицо обязано уведомить об этом уполномоченный государственный орган и подать заявление о переоформлении свидетельства об аккредитации в течение 20 календарных дней.

18. Выдача нового свидетельства об аккредитации и актуализация в Реестре информации осуществляется в течение 5 рабочих дней с даты предоставления в уполномоченный государственный орган заявления о переоформлении свидетельства об аккредитации с приложением документов, подтверждающих сведения об изменениях, указанных в пункте 6 настоящего Порядка.

19. Основанием для отказа в предоставлении аккредитации является наличие в представленных заявителем документах недостоверной информации, а также несоответствие заявителя требованиям пунктов 5, 6 настоящего Порядка.

20. Если к заявлению не приложены требуемые пунктом 6 настоящего Порядка документы, то уполномоченный государственный орган предлагает заявителю представить такие документы в течение 10 рабочих дней.

21. В случае принятия решения об отказе в выдаче свидетельства об аккредитации заявителя уполномоченный государственный орган в срок, не превышающий 10 рабочих дней со дня принятия такого решения, направляет заявителю письменное (электронное) уведомление о принятом решении с указанием причин отказа.

22. Заявитель может подать новое заявление на получение аккредитации после устранения причин, послуживших основанием для отказа в аккредитации.

23. В случае обнаружения несоблюдения аккредитованным юридическим лицом требований пунктов 5, 6 настоящего Порядка уполномоченный государственный орган в установленный срок выдает ему предписание об устранении нарушений с указанием срока и приостанавливает действие аккредитации на данный срок.

Действие аккредитации юридического лица может быть приостановлено на срок не более 45 дней.

24. В случае приостановления действия аккредитации юридического лица не позднее 5 рабочих дней уполномоченный государственный орган осуществляет соответствующую пометку в Реестре.

25. При устранении нарушений, послуживших основанием для приостановления действия аккредитации, юридическое лицо обязано уведомить в письменной форме уполномоченный государственный орган об устранении выявленных нарушений, после чего уполномоченный государственный орган принимает решение о возобновлении аккредитации и обновляет соответствующую информацию в Реестре не позднее 5 рабочих дней.

26. В случае если нарушения аккредитованного юридического лица не устранены в установленный в предписании срок, уполномоченный государственный орган аннулирует его аккредитацию и направляет ему уведомление об аннулировании аккредитации с указанием причин.

27. При аннулировании аккредитации юридического лица не позднее 5 рабочих дней уполномоченный государственный орган вносит запись в Реестр.

28. Аккредитованное юридическое лицо, в случае прекращения своей деятельности, должно сообщить об этом в уполномоченный государственный орган не позднее чем за месяц до даты прекращения своей деятельности.

29. В случае получения заявления о прекращении деятельности, оформленного в надлежащем порядке, уполномоченный государственный орган в течение 5 календарных дней с даты получения сведений о прекращении деятельности аккредитованного юридического лица вносит соответствующую запись в Реестр.

30. Заявитель имеет право обжаловать решение уполномоченного государственного органа об отказе, приостановлении, прекращении или аннулировании аккредитации юридического лица.

31. Жалоба может быть подана в течение 30 рабочих дней:

- со дня направления уведомления или предписания уполномоченного государственного органа;

- со дня совершения действия уполномоченным государственным органом;

- на бездействие уполномоченного государственного органа - по истечении сроков, предусмотренных настоящим Порядком.

32. В случае пропуска по уважительным причинам срока, указанного в пункте 31 настоящего Порядка, срок обжалования может быть восстановлен уполномоченным государственным органом.

Одновременно с подачей заявления о восстановлении срока подается жалоба. Заявление о восстановлении пропущенного срока на обжалование может быть подано в течение 30 рабочих дней со дня, когда отпали основания уважительной причины. При удовлетворении заявления о восстановлении срока на обжалование жалоба считается принятой.

33. Жалоба должна содержать:

- наименование уполномоченного государственного органа;

- фамилию, имя, отчество лица, подающего жалобу от имени юридического лица, его должность и местонахождение юридического лица;

- предмет жалобы;

- требование лица, подающего жалобу;

- перечень прилагаемых к жалобе документов;

- число, месяц и год подачи жалобы;

- подпись лица, подающего жалобу;

- подпись лица, подающего жалобу от имени юридического лица, и печать юридического лица.

34. Рассмотрение жалобы осуществляется в течение 30 рабочих дней со дня день ее регистрации в уполномоченном государственном органе.

35. Уполномоченный государственный орган обязан при получении жалобы проверить соответствие жалобы требованиям главы 7 настоящего Порядка.

36. Жалоба оставляется без движения уполномоченным государственным органом, если она была подана в нарушение требований главы 7 настоящего Порядка. В этом случае уполномоченный государственный орган незамедлительно указывает на недостатки и предоставляет лицу, подавшему жалобу, возможность для их устранения в пределах общего срока на обжалование.

37. В случае неустранения указанных уполномоченным государственным органом недостатков жалоба признается недопустимой и остается без удовлетворения.

38. Подача жалобы приостанавливает исполнение обжалуемого акта до вступления в силу решения уполномоченного государственного органа по административной жалобе, за исключением:

1) предусмотренных иными законами случаев немедленного исполнения решения уполномоченного государственного органа;

2) случаев, когда немедленное исполнение необходимо, исходя из общественных или национальных интересов.

39. Рассмотрение жалобы прекращается, если:

1) заявитель письменно отказывается от своей жалобы;

2) имеется вступивший в законную силу административный или судебный акт, принятый по отношению к тому же лицу, к тому же предмету и по тому же основанию;

3) изменился статус заявителя, который в силу закона исключает принятие административного акта, требуемого заявлением;

4) истек срок устранения обстоятельств, послуживших основанием для приостановления ее рассмотрения.

40. Действие предписания уполномоченного государственного органа может быть прекращено, если:

1) лицо, которому адресуется административный акт, устранило нарушение требований закона или другого нормативного правового акта или предприняло надлежащие меры к устранению нарушений и в подобных случаях не требуется принятие административного акта об этих нарушениях;

2) принятие административного акта по вопросам нарушения требований закона или других нормативных правовых актов или по другим вопросам, не связанным с их предотвращением, перестало быть необходимым в связи с изменением ситуации или по другому основанию, предусмотренному законом.

41. Уполномоченный государственный орган отказывает в удовлетворении заявления в случае его необоснованности.

42. Уполномоченный государственный орган принимает решение о прекращении рассмотрения или об отказе в удовлетворении жалобы не позднее 3 рабочих дней в случаях, предусмотренных настоящим Порядком, и направляет ответ в письменном или электронном виде заявителю.

43. В решении по жалобе должны быть указаны:

1) наименование органа (фамилия, имя, отчество должностного лица, принявшего решение; регистрационной номер жалобы и дата принятия решения; дата принятия акта по данной жалобе и наименование уполномоченного государственного органа (фамилия, имя, отчество должностного лица), принявшего административный акт;

2) наименование и/или фамилия, имя, отчество заинтересованного лица, включая лицо, подавшее жалобу;

3) краткое изложение сущности обжалуемого акта уполномоченного государственного органа и его регистрационный номер;

4) основания, по которым поставлен вопрос о проверке законности и обоснованности акта уполномоченного государственного органа;

5) при необходимости уточнения по отдельным доводам, указанным в жалобе, дополняются объяснением заинтересованного лица;

6) установленные обстоятельства дела и доказательства, на которых основаны выводы рассмотревшего жалобу уполномоченного государственного органа (должностного лица);

7) доводы, по которым были отклонены те или иные доказательства и не применены законы и иные нормативные правовые акты, на которые ссылались заинтересованные лица;

8) законы и иные нормативные правовые акты, а также стандарты, которыми руководствовался уполномоченный государственный орган при принятии решения по жалобе;

9) выводы по результатам рассмотрения жалобы.

44. Решение по жалобе вступает в силу со дня его вручения, оглашения или его направления заявителю, но не позднее 3 рабочих дней со дня принятия решения.

45. Обжалование решений уполномоченного государственного органа осуществляется в судебном порядке в соответствии с законодательством Кыргызской Республики.

Приложение 1

к Порядку аккредитации деятельности по проведению независимого аудита кибербезопасности

Форма

_________________________________________________________ (наименование уполномоченного государственного органа в сфере обеспечения кибербезопасности) СВИДЕТЕЛЬСТВО об аккредитации юридического лица по проведению независимого аудита кибербезопасности от ____ _______________ 20___ года № _____

Приказом

_________________________________________________________________ (наименование уполномоченного государственного органа в сфере обеспечения кибербезопасности) от ____ _____________ 20___ года № ____ _________________________________________________________________

(полное и (в случае, если имеется) сокращенное наименование, в том числе фирменное наименование, организационно-правовая форма юридического лица), серия свидетельства о государственной регистрации (перерегистрации) юридического лица, филиала (представительства) ______________________________________________________________________________________, признан(а) аккредитованным(ой) по проведению независимого аудита кибербезопасности.

Срок действия свидетельства: ________________________________________ Дата выдачи: "____" _______________ 20___года Регистрационный номер свидетельства: _______________________________ Идентификационный номер налогоплательщика: ________________________

____________________________ ________________ ________________ (наименование должности) (подпись) (инициалы, фамилия)

М.П.

Действительно по __________________________________ Серия бланка __________________ № _________________

Приложение 2

к Порядку аккредитации деятельности по проведению независимого аудита кибербезопасности

Форма

_________________________________________________________________ (наименование уполномоченного государственного органа в сфере обеспечения кибербезопасности)

ЗАЯВЛЕНИЕ

Прошу рассмотреть и выдать свидетельство на осуществление деятельности по проведению независимого аудита кибербезопасности. Полное и (в случае, если имеется) сокращенное наименование, в том числе фирменное наименование, и организационно-правовая форма юридического лица:

_________________________________________________________________ Серия свидетельства о государственной регистрации №: _________________________________________________________________ Выдано: __________________________________________________________

(кем, когда)

Местонахождение: ______________________________________________ Идентификационный номер налогоплательщика: _____________________ К заявлению прилагаются документы, необходимые для получения свидетельства: перечень и количество листов. Контактные данные (номер телефона, e-mail, факс): _________________________________________________________________ _________________________________________________________________ _________________________________________________________________

____________________________ _____________ (подпись) (дата)

М.П.