Требования к ИБ и персональным данным в Узбекистане: что учесть при разработке и закупке AppSec

В Узбекистане персональные данные регулирует закон № ЗРУ-547 от 2 июля 2019 года, а требования к информационной безопасности банков — положение Центрального банка № 19/1, действующее с 20 ноября 2025 года. С 27 марта 2026 года обязательная локализация сохранена для биометрических и генетических данных и данных пользователей телеком-операторов, а остальные данные можно обрабатывать за рубежом при соблюдении трёх условий. Для разработки это означает карту данных, on-premise контур для кода и встроенное тестирование безопасности.

Основные акты

• Закон «О персональных данных» от 2 июля 2019 года № ЗРУ-547, вступил в силу 1 октября 2019 года. Статья 27-1 регулирует особые условия обработки персональных данных граждан Узбекистана.
• Закон от 26 марта 2026 года № ЗРУ-1125 о внесении изменений в закон о персональных данных; вступил в силу 27 марта 2026 года, в день официального опубликования.
• Закон «О кибербезопасности», подписанный 15 апреля 2022 года; вступил в силу 15 июля 2022 года. Уполномоченным органом назван Служба государственной безопасности. Владельцы информационных ресурсов, подвергшихся кибератаке, обязаны сообщить об этом в уполномоченный орган. Закон относит банковскую сферу к секторам критической информационной инфраструктуры.
• Постановление Правления Центрального банка № 19/1 «Положение о минимальных требованиях к обеспечению информационной безопасности и кибербезопасности коммерческих банков», зарегистрировано Минюстом 18 августа 2025 года № 3669, вступило в силу 20 ноября 2025 года.

Локализация персональных данных после поправок 2026 года

В редакции 2021 года статья 27-1 требовала собирать, систематизировать и хранить персональные данные граждан Узбекистана на технических средствах, физически расположенных в стране и зарегистрированных в Государственном реестре баз персональных данных. После закона № ЗРУ-1125 картина изменилась (по текстам, пересказанным в Kun.uz и аналитике ITTS):

• Обязательно хранятся в Узбекистане три категории: биометрические данные, генетические данные и данные пользователей услуг телекоммуникационных операторов, работающих в стране.
• Остальные данные можно хранить и обрабатывать за рубежом, если выполнено одно из трёх условий: государство признано обеспечивающим равнозначную защиту; оператор принял типовые договорные условия или обязательные корпоративные правила, отвечающие требованиям уполномоченного органа; оператор следует международным стандартам управления и хранения персональных данных из списка, утверждённого уполномоченным органом.
• Перечень стран с равнозначной защитой определяет Кабинет министров.

Юристы указывают на открытые вопросы: прямого запрета передавать локализованные категории за границу в норме нет, он подразумевается; статья 15 о трансграничной передаче не менялась и допускает согласие как основание; подзаконные акты и списки на момент публикации обзоров только готовились. Поэтому проверяйте актуальный статус на lex.uz.

Отдельный пример отраслевой нормы: по сообщению Spot.uz, постановление ЦБ от 22 июля 2026 года (зарегистрировано в Минюсте 5 августа, действует с 6 августа) требует, чтобы небанковские кредитные организации хранили биометрические данные клиентов, используемые для идентификации и аутентификации, на территории Узбекистана.

Требования ЦБ к ИБ банков: положение № 19/1

Положение состоит из 24 глав. Из него следует выделить то, что напрямую влияет на разработку и AppSec:

• Служба информационной и кибербезопасности в банках и филиалах, внутренняя политика ИБ, система управления рисками.
• Запрет аутсорсинга управления, контроля и обеспечения бесперебойной работы ИТ-инфраструктуры и систем информационной безопасности (п. 16).
• Жизненный цикл систем (глава 21). Для собственных разработок соответствие требованиям безопасности проверяется на каждом этапе (п. 159); системы проектируются с учётом киберрисков (п. 161). Пункт 163 требует включать требования безопасности в техзадание, не использовать банковскую тайну и конфиденциальные данные при разработке и тестировании и применять платформы DevOps только внутри контура (например, GitLab) с автоматическим анализом кода (SAST/DAST), без подключения к интернету, удалённый доступ — через защищённый VPN.
• Тестирование перед запуском (п. 164): системы проверяются на уязвимости, обнаруженные уязвимости устраняются до запуска, меры защиты документируются.
• Управление уязвимостями (п. 156–157): регулярное сканирование ИТ-активов, классификация по CVE, оценка критичности по CVSS, установка исправлений, базовые конфигурации безопасности.
• SIEM, мониторинг и инциденты: внедрение SIEM или аналога и SOAR, круглосуточный мониторинг и подключение к центру мониторинга ЦБ CERT-CBU (п. 36); о нештатных событиях нужно незамедлительно уведомлять Центральный банк и уполномоченный государственный орган (п. 35).
• Пентест: явное требование найдено для центров обработки данных — анализ уязвимостей и тесты на проникновение не реже раза в год (п. 168). Общую периодичность пентестов для самих банков в тексте мы подтвердить не смогли.

Отметим, что положение не заменяет закон: в 2024 году Сенат одобрил закон, расширивший полномочия ЦБ по выявлению и предотвращению угроз ИБ со стороны кредитных организаций, платёжных организаций и других участников рынка, и отнёсший нарушение требований ИБ в банковских системах к грубым нарушениям.

Что это значит для разработки и закупки AppSec

1. On-premise как требование, а не предпочтение. Пункт 163 для банков предполагает DevOps-платформу в закрытом контуре. Облачный SaaS-сканер, которому нужен исходный код через интернет, в такую схему не вписывается. Подробнее — в статье об on-premise и облаке для AppSec.
2. SAST и DAST в конвейере. Автоматический анализ кода и динамическое тестирование должны быть частью CI/CD, а не ручной проверкой перед релизом — см. с чего начать DevSecOps.
3. Данные в разработке. Запрет использовать конфиденциальные данные при разработке и тестировании означает маскирование и синтетические наборы.
4. Классификация данных. Определите, какие из ваших данных биометрические, генетические или относятся к пользователям телеком-услуг: для них действует обязательная локализация независимо от облачной стратегии.
5. Закупка. В техзадании на AppSec-инструмент фиксируйте: возможность установки в закрытом контуре, работу без обязательного выхода в интернет, хранение результатов у вас, поддержку лицензирования для местной компании. Лицензирование и документы по Узбекистану уточняйте у поставщика.
6. Оценка защищённости. Независимый анализ критичных систем помогает подготовить доказательства для проверок ЦБ — об услуге на странице анализа защищённости.

Закон о кибербезопасности и критическая инфраструктура

Закон «О кибербезопасности» (подписан 15 апреля 2022 года) относит к критической информационной инфраструктуре системы в сфере государственного управления, обороны, правопорядка, энергетики, банковской сферы, транспорта, здравоохранения, связи и водоснабжения. По описанию издания Anhor.uz, такие системы проходят обязательную экспертизу кибербезопасности, средства защиты информации для госорганов подлежат сертификации, а данные резервируются и хранятся не менее трёх месяцев. Если вы разрабатываете ПО для объектов критической инфраструктуры, запросите у заказчика категорию объекта и перечень применимых требований заранее.

В 2024 году, как сообщил Центральный банк, Сенат одобрил поправки, расширившие полномочия ЦБ по обеспечению кибербезопасности: он может выявлять и предотвращать угрозы ИБ со стороны кредитных организаций, платёжных организаций, операторов платёжных систем, обменных пунктов и кредитных бюро. Для поставщиков это означает: проверки банков будут охватывать и те системы, которые разрабатывают подрядчики.

Чек-лист для закупки AppSec-решения

• Развёртывание: поддержка установки в закрытом контуре без обязательного выхода в интернет.
• Данные: где хранятся код, результаты и отчёты; можно ли разделить среды разработки и тестирования.
• Интеграции: GitLab и другие DevOps-платформы, работающие внутри контура.
• Отчётность: выгрузка результатов тестирования для службы ИБ, привязка к CVE и CVSS в соответствии с положением ЦБ.
• Поддержка: локальная поддержка и лицензирование для организации в Узбекистане — уточняйте условия у поставщика.
• Пилот: проведите проверку на вашем коде; порядок описан в материале как провести пилот SAST и SCA за 30 дней.

Частые вопросы

Статья носит информационный характер и не является юридической консультацией. Нормативная база Узбекистана обновляется часто — проверяйте редакции на lex.uz и cbu.uz.

Источники

• Положение о минимальных требованиях к ИБ и кибербезопасности коммерческих банков, постановление ЦБ № 19/1 (lex.uz)
• Закон «О персональных данных» № ЗРУ-547 (lex.uz)
• Kun.uz: хранение некоторых персональных данных за пределами Узбекистана разрешено
• IT-TEAM SERVICE: обзор поправок 2026 года в закон о персональных данных
• Spot.uz: ЦБ обязал небанковские кредитные организации хранить биометрические данные в Узбекистане
• Anhor.uz: президент подписал закон о кибербезопасности
• ЦБ Узбекистана: дополнительные полномочия по обеспечению кибербезопасности