Постановление Кабинета Министров Кыргызской Республики № 384 от 02.06.2026

4. При обработке персональных данных устанавливаются следующие уровни защищенности в цифровых технологических системах:

1) отраслевой регулятор в сфере персональных данных разрабатывает и утверждает Типовой перечень угроз безопасности персональных данных при обработке персональных данных в цифровых технологических системах (далее – Типовой перечень), содержащий все виды и типы предполагаемых угроз, а также Методику определения угроз безопасности в цифровых технологических системах персональных данных (далее – Методика определения угроз) и форму перечня видов угроз;

2) государственные органы и органы местного самоуправления на основании Типового перечня, Методики определения угроз разрабатывают и утверждают обязательные для исполнения подведомственными организациями ведомственные акты об определении перечня угроз безопасности персональных данных при обработке персональных данных в цифровых технологических системах, эксплуатируемых при осуществлении соответствующих видов деятельности, с учетом содержания персональных данных, характера и способов их обработки;

3) владелец персональных записей, исходя из конкретных условий работы с персональными данными, ценности защищаемой информации и стоимости мер по ее защите, а также с учетом уровня технического развития, утверждает собственный перечень угроз безопасности персональных данных (далее – перечень угроз) по форме, утвержденной отраслевым регулятором в сфере персональных данных.
В перечень угроз владельцем персональных записей в обязательном порядке включаются угрозы, определенные в актах, указанных в подпунктах 1 и 2 настоящего пункта, а также по решению владельца персональных записей и иные угрозы. Перечень угроз подлежит пересмотру владельцем персональных записей по мере изменения состава обрабатываемых персональных данных, условий и видов их обработки;

4) ассоциации, союзы и иные объединения владельцев персональных записей своими решениями вправе определить дополнительные угрозы безопасности персональных данных при обработке персональных данных в цифровых технологических системах, эксплуатируемых при осуществлении определенных видов деятельности членами таких ассоциаций, союзов и иных объединений, с учетом содержания персональных данных, характера и способов их обработки, наряду с угрозами безопасности персональных данных, определенными в ведомственных актах, указанных в подпункте 2 настоящего пункта.

6. Каждому виду угроз безопасности персональных данных, вошедших в перечень угроз, разработанный владельцем персональных записей, присваивается рейтинг в зависимости от следующих критериев в соответствии с Методикой определения угроз:

7. Рейтинг угрозы безопасности персональных данных определяется как произведение баллов по каждому из критериев.

9. Уровни защищенности персональных данных в зависимости от угроз безопасности этих данных определяются для каждой цифровой технологической системы или цифровых экосистем следующим образом:

1) «синий» – наличие угроз с рейтингом не более 1 балла;

2) «зеленый» – наличие угроз с рейтингом 2 балла (но не более);

3) «желтый» – наличие угроз с рейтингом от 3 до 6 баллов включительно (но не более);

4) «красный» – наличие угроз с рейтингом более 6 баллов.