Закон «О кибербезопасности»: кого он касается на самом деле

Что произошло с законом

Закон Республики Казахстан от 24 ноября 2015 года № 418-V раньше назывался «Об информатизации». Заголовок изменён Законом от 9 января 2026 года № 256-VIII, изменение введено в действие через шесть месяцев после официального опубликования, то есть с 12 июля 2026 года.

Практический смысл для вас простой: документы и статьи, где встречается «Закон об информатизации», написаны до июля 2026 года. Если консультант ссылается на него в старом названии, стоит уточнить, насколько свежие у него сведения.

Сфера действия: все, а не только государство

То есть закон адресован не только государственным органам. Физические и юридические лица прямо названы, и специальных изъятий для малого бизнеса в этой статье нет.

Обязанность собственника и владельца

Статья 16 обязывает собственника цифровых объектов обеспечить их кибербезопасность. Статья 17 возлагает такую же обязанность на владельца и добавляет соблюдение прав собственника и третьих лиц.

Разница между собственником и владельцем на практике встречается часто: сайт принадлежит компании, а размещён у хостера; учётная система куплена, а обслуживает её подрядчик. Обязанность при этом остаётся на обеих сторонах, поэтому её распределение стоит прописать в договоре.

• у вас есть сайт — вы отвечаете за его защищённость, а не только хостинг;
• база клиентов в облачном сервисе — обязанность не исчезает от того, что сервер чужой;
• подрядчик обслуживает вашу систему — зафиксируйте в договоре, кто что делает при инциденте.

Что закон НЕ требует от обычного бизнеса

Здесь важно быть точным, потому что на этой теме много продают.

Конкретные технические меры детально предписаны не всем. Единые требования в сферах цифровизации и обеспечения кибербезопасности распространяются на государственные органы, квазигосударственный сектор, владельцев критически важных объектов и организации, интегрирующиеся с государственными системами. Обычная частная компания под них не подпадает, если не интегрируется с государственными системами.

Обязанности нанимать лицензированного специалиста, покупать сертифицированные средства защиты или подключаться к оперативному центру кибербезопасности для обычного малого бизнеса закон не устанавливает. Если это предлагают как «требование закона», попросите назвать статью.

Критически важные цифровые объекты

Отдельный режим действует для критически важных объектов: перечень и критерии отнесения утверждает уполномоченный орган в сфере кибербезопасности, а их собственники и владельцы обязаны соблюдать повышенные требования и проводить аудит кибербезопасности в предусмотренных законом случаях.

Для подавляющего большинства компаний малого и среднего бизнеса это не про них. Но если вы работаете в энергетике, транспорте, связи, здравоохранении или финансах, вопрос стоит уточнить отдельно.

Что из этого делать практически

1. 1Признать, что обязанность естьОна общая и сформулирована широко: обеспечить кибербезопасность своих цифровых объектов.
2. 2Закрыть базовый уровеньРезервные копии, разграничение доступа, обновления, двухфакторная защита там, где деньги и данные.
3. 3Оформить документыАкт работодателя по кибербезопасности с ознакомлением работников — это отдельная обязанность из Трудового кодекса, и именно её проверяют первой.
4. 4Разобраться с персональными даннымиТам, в отличие от этого закона, есть конкретные требования и реальные штрафы по статье 79 КоАП.
5. 5Проверить договоры с подрядчикамиКто отвечает за защиту, кто сообщает об инциденте и в какой срок.

Частые вопросы