В Казахстане приняли правила оценки кибербезопасности финансовых организаций

Постановлением АРРФР РК от 30 октября 2026 года утверждены Правила проведения финансовыми организациями мероприятий по оценке состояния кибербезопасности и реагирования на инциденты информационной безопасности в финансовой сфере, в том числе кибербезопасности, сообщает prosud.kz.

Финансовые организации обязаны проводить такие мероприятия не реже одного раза в календарный год.

Правилами предусмотрены три вида мероприятий:

• документальные — моделирование угроз без воздействия на критичные информационные активы, с отработкой управленческих решений и процедур реагирования;
• функциональные — с участием подразделений, задействованных в реагировании на инциденты, для проверки координации действий;
• технические имитационные — моделирование инцидентов в контролируемой среде, не используемой для текущих операций, с обеспечением непрерывности деятельности.

Кроме того, могут проводиться также внеплановые мероприятия при появлении новых угроз высокого или критического уровня, существенных изменениях в цифровой инфраструктуре, по результатам внутренней оценки рисков или по рекомендации уполномоченного органа.

Для каждого мероприятия разрабатывается план со сценарием, перечнем участников, порядком проведения и критериями оценки. План утверждает уполномоченное лицо организации по согласованию с финрегулятором.

В ходе мероприятия отрабатываются действия по выявлению, анализу, локализации и устранению моделируемого инцидента, а также проверяется взаимодействие подразделений и своевременность информирования руководства.

Все действия участников, принятые решения и выявленные недостатки обязательно документируются. Фиксируются временные показатели реагирования, включая время обнаружения инцидента и восстановления.

По итогам мероприятия организация формирует отчет с описанием сценария, результатов, выявленных недостатков, оценки рисков и корректирующих мер. Информация представляется в уполномоченный орган в течение 10 рабочих дней через автоматизированную систему уполномоченного органа.

Уполномоченный орган может участвовать в мероприятиях в качестве наблюдателя или соорганизатора, получать информацию, давать рекомендации и формировать заключение. Все полученные в ходе мероприятия данные используются для анализа уровня кибербезопасности финансового рынка и совершенствования регулирования.

Постановление вводится в действие по истечении десяти календарных дней после дня его первого официального опубликования.