Вопросы и ответы.
Справочник для владельцев критически важных цифровых объектов: как понять, что объект относится к КВЦО, как проходит проверка, какие документы готовить и какая ответственность за бездействие.
Ответы подготовлены на основе действующих требований и Цифрового кодекса РК. Точные сроки и формы документов устанавливает уполномоченный орган — при расхождении руководствуйтесь первоисточником.
Что такое КВЦО и как понять, что мой объект к ним относится
КВЦО — критически важные цифровые объекты. Это цифровые системы и объекты цифровой инфраструктуры, нарушение работы которых угрожает национальной безопасности. Ранее использовался термин КВОИКИ — критически важные объекты информационно-коммуникационной инфраструктуры.
Перечень определяется уполномоченным органом. Если организация обеспечивает жизненно важные услуги — энергетика, транспорт, связь, финансы, здравоохранение, государственные сервисы — вероятность отнесения высокая.
Как проходит аттестация
Последовательность этапов: подача заявки → предварительное обследование → анализ документации → инструментальная проверка защищённости → оформление акта и заключения → устранение замечаний → повторная проверка, если она требуется.
Какие документы готовить
Политика кибербезопасности организации · перечень цифровых систем и обрабатываемых данных · модель угроз и нарушителя · регламент реагирования на инциденты и утечки персональных данных · схема цифровой инфраструктуры · перечень средств защиты · документы о назначении ответственных лиц · журналы аудита доступа.
Проверить готовность заранее можно по чек-листам самопроверки.
В какие сроки нужно уложиться
Конкретные сроки устанавливаются подзаконными актами и зависят от категории объекта.
Отдельно обратите внимание: сроки уведомления об утечке персональных данных по Цифровому кодексу измеряются часами, а не днями. Регламент реагирования нужно подготовить заранее — писать его в момент инцидента поздно.
Какая ответственность за непрохождение
Действующая норма — статья 79 КоАП: до 2000 МРП за нарушения в сфере персональных данных.
Кратное повышение штрафов и уголовная ответственность за массовые утечки на сегодня являются обсуждаемыми поправками, а не действующими нормами.
Для финансового рынка постановлением правления АРРФР № 81 от 20 апреля 2026 года введена персональная ответственность первого руководителя за информационную безопасность — норма действует с 12 июля 2026 года.
Кто может провести аудит
Институт оказывает услуги экспертизы и аудита соответствия, включая проверку защиты персональных данных. Заявку можно направить через форму обращения или изучить условия в разделе «Экспертиза и консалтинг».
Что делать в первые 15 минут после обнаружения несанкционированного доступа
Зафиксировать точное время обнаружения. Изолировать сегмент сети, не выключая систему — выключение уничтожает содержимое оперативной памяти вместе со следами. Сохранить журналы и образы памяти. Уведомить ответственное лицо и ГТС. Не предпринимать действий, уничтожающих следы: не переустанавливать, не чистить логи, не «лечить» антивирусом до снятия образов.
Развёрнутый алгоритм — в базе знаний.