Требования к ИБ финансового сектора Кыргызстана: что учесть в AppSec

Требования к информационной безопасности коммерческих банков Кыргызстана задаёт Положение Нацбанка КР, утверждённое постановлением Правления от 22 декабря 2021 года № 2021-П-20/72-8-(НПА). Персональные данные с 6 февраля 2026 года регулирует Цифровой кодекс КР вместо прежнего закона № 58, а общую рамку даёт закон «О кибербезопасности» от 17 июля 2024 года № 121. Для AppSec главное: безопасность на всём жизненном цикле ПО, управление уязвимостями и аккуратная работа с трансграничной передачей данных.

Основные акты

• Постановление Правления Нацбанка КР от 22 декабря 2021 года № 2021-П-20/72-8-(НПА) — Положение «О требованиях по обеспечению информационной безопасности в коммерческих банках Кыргызской Республики». Вступает в силу через 15 дней после официального опубликования; отменяет постановление от 14 сентября 2011 года № 52/12.
• Закон КР от 17 июля 2024 года № 121 «О кибербезопасности» — принят Жогорку Кенешем 12 июня 2024 года, вступил в силу через 15 дней после публикации. Определяет правовые основы единой системы кибербезопасности, критическую информационную инфраструктуру, аудит кибербезопасности.
• Цифровой кодекс КР от 31 июля 2025 года № 178 — объединил прежнее регулирование. Закон «Об информации персонального характера» от 14 апреля 2008 года № 58 утратил силу 6 февраля 2026 года в связи с Законом от 31 июля 2025 года № 179.
• Постановление Кабинета министров об едином перечне требований кибербезопасности для объектов критически важной информационной инфраструктуры — по сообщению 24.kg от 21 апреля 2026 года; номер постановления в публикации не указан.

Что требует Положение НБКР для банков

Положение выстроено на международных стандартах и практиках (проект ссылался на ISO/IEC 27001 и 27005). Из его содержания, которое мы подтвердили по тексту на сайте НБКР, для разработки и AppSec важны следующие нормы.

• Жизненный цикл систем. Безопасность учитывается на всех стадиях; внедрение и изменения документируются и одобряются руководством банка. Тестирование проводится в среде, идентичной промышленной.
• Программное обеспечение. Банк может использовать лицензионное ПО, а также open-source или собственные разработки при наличии полной утверждённой документации (спецификации, программы и результаты испытаний, акты ввода в эксплуатацию).
• Уязвимости. Банк должен выявлять, оценивать и устранять уязвимости; уроки анализа инцидентов учитываются при оценке рисков. Для карточных систем запрещены заводские настройки и пароли производителей.
• Журналирование и аудит. Журналы просматриваются ежедневно, изменение настроек безопасности фиксируется, внутренний аудит охватывает ИТ и ИБ; Нацбанк вправе проверять соблюдение требований.
• Аутсорсинг и облака. До передачи функций на аутсорсинг, включая центры обработки данных и облачные сервисы, банк оценивает риски и по запросу предоставляет оценку Нацбанку; договор должен затрагивать безопасность, конфиденциальность, непрерывность и взаимодействие с регулятором.

Чего в тексте мы не нашли: явного требования пентеста (упомянуто регулярное тестирование систем безопасности для карточных систем), конкретных сроков уведомления Нацбанка об инцидентах и требования обязательного статического анализа кода. Это не означает, что их не будет в практике надзора, — но формально опираться на них как на норму нельзя.

Персональные данные по Цифровому кодексу

Вопросы обработки, хранения, передачи и защиты персональных данных вошли в главу 11 Цифрового кодекса. Уполномоченный орган — Государственное агентство по защите персональных данных. По данным 24.kg, для трансграничной передачи готовится порядок оценки адекватности защиты в иностранных государствах: данные можно будет свободно передавать в страны из списка, а в остальные — только с согласия субъекта. В мае 2026 года парламент в первом чтении одобрил законопроект об изменениях в Кодекс о правонарушениях, связанный с защитой персональных данных.

О локализации оговоримся прямо: в доступных нам источниках прежний закон № 58 не содержал общего требования хранить данные в стране, а для Цифрового кодекса мы такого требования не подтвердили. Консалтинговые обзоры до 2026 года описывают реестр держателей персональных данных и риски штрафов, но они написаны о прежнем законе, поэтому опирайтесь на текст Кодекса и разъяснения агентства. Юристы рекомендуют пересмотреть порядок хранения и передачи данных в связи с переходом на Кодекс.

Что это значит для практики AppSec

1. Документируйте жизненный цикл. Положение требует утверждённой документации и испытаний. Результаты SAST, SCA и динамического тестирования — естественные артефакты этих стадий; об инструментах — в статье SAST, DAST, SCA и MAST.
2. Open-source допускается только с документацией. Открытые компоненты должны быть описаны и протестированы. Реестр компонентов (SBOM) решает эту задачу — что такое SBOM.
3. Тест-среда без боевых данных. Идентичная производственной среда нужна, но данные в ней должны быть маскированы или синтетическими.
4. Оценка риска поставщиков. Если сканер, репозиторий или CI размещены у стороннего провайдера, это аутсорсинг с оценкой рисков и положениями договора о безопасности. On-premise упрощает этот шаг.
5. Готовность к киберинцидентам. Закон о кибербезопасности вводит аудит кибербезопасности и единую базу угроз; подготовьте процесс реагирования, о котором будет не стыдно отчитаться.
6. Независимая проверка. Анализ защищённости критичных систем — практичный способ получить доказательства для внутреннего аудита и проверок; подробнее об анализе защищённости.

Системно собрать эти практики в процесс разработки помогает внедрение DevSecOps; базовый маршрут описан в материале «DevSecOps: с чего начать».

Закон «О кибербезопасности» и критическая инфраструктура

Закон № 121 от 17 июля 2024 года вводит понятия субъектов и принципов обеспечения кибербезопасности, критической информационной инфраструктуры, единой базы киберугроз, государственно-частного взаимодействия и аудита кибербезопасности. Постановлением Правительства от 21 мая 2020 года № 266 уполномоченным органом в сфере кибербезопасности назначен Государственный комитет национальной безопасности (Координационный центр по кибербезопасности); как это отражено в законе 2024 года, проверьте по его тексту. В апреле 2026 года, по сообщению 24.kg, Кабинет министров утвердил единый перечень требований кибербезопасности для объектов критически важной информационной инфраструктуры; он касается как государственных, так и коммерческих и некоммерческих организаций, чья деятельность связана с важными информационными системами. Выясните у своей службы ИБ, не относятся ли ваши системы к такой инфраструктуре.

Что было в проекте Положения НБКР

В материалах к проекту (2021 года) Нацбанк описывал структуру требований шире, чем это кажется по названию. В проекте фигурировали трёхуровневая документация (общие политики, частные политики и процедуры), ответственный за политику ИБ, проверка принимаемых сотрудников, принцип минимальных привилегий, двойной контроль платёжных операций, многофакторная аутентификация удалённого доступа, хранение журналов событий не менее двух лет, требования PCI DSS к картам и хранение платёжных данных в Кыргызстане. Это проект, а не утверждённая норма: сверьте с принятым текстом, какие положения вошли в итоговый документ. Но как ориентир для зрелого процесса ИБ он полезен: на него разумно равняться при построении собственных политик.

С чего начать банку или финтеху

1. Получить актуальный текст Положения на nbkr.kg и составить перечень применимых пунктов.
2. Выяснить, относятся ли ваши системы к критической информационной инфраструктуре.
3. Пересмотреть хранение и передачу персональных данных с учётом Цифрового кодекса и позиции Государственного агентства по защите персональных данных.
4. Закрыть «белые пятна» в процессе разработки: анализ кода, контроль зависимостей, тест-среда без боевых данных.
5. Подготовить оценку рисков по внешним сервисам: хостингу, облачным CI/CD и SaaS-сканерам.

Частые вопросы

Статья носит информационный характер и не является юридической консультацией. Нормативные акты Кыргызстана часто обновляются — проверяйте актуальные редакции.

Источники

• Нацбанк КР: постановление № 2021-П-20/72-8-(НПА) и Положение об ИБ в коммерческих банках
• Нацбанк КР: проект Положения об ИБ в коммерческих банках (обоснование)
• CERT КР: законодательство, Закон «О кибербезопасности» № 121
• Закон КР № 58 «Об информации персонального характера» (утратил силу 06.02.2026)
• 24.kg: парламент одобрил законопроект о защите персональных данных
• 24.kg: требования к защите критических систем