Ushbu Qonunning maqsadi kiberxavfsizlik sohasidagi munosabatlarni tartibga solishdan iborat.

Kiberxavfsizlik toʻgʻrisidagi qonunchilik ushbu Qonun va boshqa qonunchilik hujjatlaridan iboratdir.

Telekommunikatsiya tarmoqlari va aloqa kanallaridagi tezkor-qidiruv tadbirlari tizimining kiberxavfsizligini taʼminlash alohida qonunchilik hujjatlarida belgilangan tartibda amalga oshiriladi.

Agar Oʻzbekiston Respublikasining xalqaro shartnomasida Oʻzbekiston Respublikasining kiberxavfsizlik toʻgʻrisidagi qonunchiligida nazarda tutilganidan boshqacha qoidalar belgilangan boʻlsa, xalqaro shartnoma qoidalari qoʻllaniladi.

Ushbu Qonunda quyidagi asosiy tushunchalar qoʻllaniladi:

axborotlashtirish obyekti — turli darajadagi va maqsaddagi axborot tizimlari, telekommunikatsiya tarmoqlari, axborotga ishlov berishning texnik vositalari, ushbu vositalar oʻrnatilgan va foydalaniladigan xonalar;

kiberjinoyatchilik — axborotni egallash, uni oʻzgartirish, yoʻq qilish yoki axborot tizimlari va resurslarini ishdan chiqarish maqsadida kibermakonda dasturiy taʼminot va texnik vositalardan foydalanilgan holda amalga oshiriladigan jinoyatlar yigʻindisi;

kibermakon — axborot texnologiyalari yordamida yaratilgan virtual muhit;

kibertahdid — kibermakonda shaxs, jamiyat va davlat manfaatlariga tahdid soluvchi shart-sharoitlar va omillar majmui;

kiberxavfsizlik — kibermakonda shaxs, jamiyat va davlat manfaatlarining tashqi va ichki tahdidlardan himoyalanganlik holati;

kiberxavfsizlik hodisasi — kibermakonda axborot tizimlarining ishlashida uzilishlarga va (yoki) ulardagi axborotning ochiqligi, yaxlitligi va undan erkin foydalanilishining buzilishiga olib kelgan hodisa;

kiberxavfsizlik obyekti — axborotning kiberhimoya qilinishini hamda milliy axborot tizimlari va resurslarining kiberxavfsizligini taʼminlashga doir faoliyatda foydalaniladigan axborot tizimlari majmui, shu jumladan muhim axborot infratuzilmasi obyektlari;

kiberxavfsizlik subyekti — milliy axborot resurslariga ega boʻlish, ulardan foydalanish va ularni tasarruf etish hamda ulardan foydalanish boʻyicha elektron axborot xizmatlari koʻrsatish, axborotni himoya qilish hamda kiberxavfsizlik bilan bogʻliq muayyan huquqlar va majburiyatlarga ega boʻlgan yuridik shaxs va (yoki) yakka tartibdagi tadbirkor, shu jumladan muhim axborot infratuzilmasi subyektlari;

kiberhimoya — kiberxavfsizlik hodisalarining oldini olishga, kiberhujumlarni aniqlashga va ulardan himoya qilishga, kiberhujumlarning oqibatlarini bartaraf etishga, telekommunikatsiya tarmoqlari, axborot tizimlari hamda resurslari faoliyatining barqarorligini va ishonchliligini tiklashga qaratilgan huquqiy, tashkiliy, moliyaviy-iqtisodiy, muhandislik-texnik chora-tadbirlar, shuningdek maʼlumotlarni kriptografik va texnik jihatdan himoya qilish chora-tadbirlari majmui;

kiberhujum — kibermakonda apparat, apparat-dasturiy va dasturiy vositalardan foydalangan holda qasddan amalga oshiriladigan, kiberxavfsizlikka tahdid soladigan harakat;

muhim axborot infratuzilmasi — muhim strategik va ijtimoiy-iqtisodiy ahamiyatga ega boʻlgan avtomatlashtirilgan boshqaruv tizimlarining, axborot tizimlari hamda tarmoqlar va texnologik jarayonlar resurslarining majmui;

muhim axborot infratuzilmasi obyektlari — davlat boshqaruvi va davlat xizmatlari koʻrsatish, mudofaa, davlat xavfsizligini, huquq-tartibotni taʼminlash, yoqilgʻi-energetika majmui (atom energetikasi), kimyo, neft-kimyo tarmoqlari, metallurgiya, suvdan foydalanish va suv taʼminoti, qishloq xoʻjaligi, sogʻliqni saqlash, uy-joy kommunal xizmatlar koʻrsatish, bank-moliya tizimi, transport, axborot-kommunikatsiya texnologiyalari, ekologiya va atrof-muhitni muhofaza qilish, strategik ahamiyatiga ega boʻlgan foydali qazilmalarni qazib olish va qayta ishlash sohasida, ishlab chiqarish sohasida, shuningdek iqtisodiyotning boshqa tarmoqlarida va ijtimoiy sohada qoʻllaniladigan axborotlashtirish tizimlari;

muhim axborot infratuzilmasi subyektlari — davlat organlari va tashkilotlari, shuningdek mulk, ijara huquqlari asosida yoki boshqa qonuniy asoslarda muhim axborot infratuzilmasi obyektlariga egalik qiluvchi yuridik shaxslar, shu jumladan muhim axborot infratuzilmasi obyektlarining ishlashini hamda hamkorligini taʼminlovchi yuridik shaxslar va (yoki) yakka tartibdagi tadbirkorlar.

Kiberxavfsizlikni taʼminlashning asosiy prinsiplari quyidagilardan iborat:

qonuniylik;

kibermakonda shaxs, jamiyat va davlat manfaatlarini himoya qilishning ustuvorligi;

kiberxavfsizlik sohasini tartibga solishga nisbatan yagona yondashuv;

kiberxavfsizlik tizimini yaratishda mahalliy ishlab chiqaruvchilar ishtirokining ustuvorligi;

Oʻzbekiston Respublikasining kiberxavfsizlikni taʼminlashda xalqaro hamkorlik uchun ochiqligi.

Kiberxavfsizlikni taʼminlashda Oʻzbekiston Respublikasi Konstitutsiyasining, ushbu Qonun va boshqa qonunchilik hujjatlarining talablariga ogʻishmay rioya etilishi hamda ular bajarilishi shart.

Qonunchilik talablarini aniq bajarishdan va ularga rioya etishdan har qanday tarzda chetga chiqish, buning sabablari qanday boʻlishidan qatʼi nazar, qonuniylikning buzilishidir va u belgilangan javobgarlikka sabab boʻladi.

Kibermakonda shaxs, jamiyat va davlat manfaatlarini tashqi va ichki tahdidlardan himoya qilish davlatning kiberxavfsizligini taʼminlashda ustuvor hisoblanadi.

Kiberxavfsizlik sohasini tartibga solishga nisbatan yagona yondashuv maʼlumotlarga ishlov berish hamda ularni himoya qilish boʻyicha dasturiy va texnik vositalarni ishlab chiqish hamda joriy etish jarayonini tashkil etish, uning monitoringini va nazoratini amalga oshirishga qaratilgan axborot tizimlarini hamda resurslarini kiberhimoya qilishning yagona davlat tizimi joriy etilgan holda taʼminlanadi.

Kiberxavfsizlikni taʼminlash ushbu sohadagi munosabatlarni huquqiy, maʼmuriy va texnik jihatdan tartibga solish tizimini shakllantirishda yagona yondashuvlar asosida amalga oshirilishi kerak.

Davlat va xoʻjalik boshqaruvi organlarining, mahalliy davlat hokimiyati organlarining kiberxavfsizligini taʼminlash uchun zarur boʻlgan tovarlarni (ishlarni, xizmatlarni) xarid qilishda Oʻzbekiston Respublikasi hududida ishlab chiqarilgan tovarlar (ishlar, xizmatlar) xorijda ishlab chiqarilgan mahsulotga nisbatan ustuvorlikka ega boʻladi.

Oʻzbekiston Respublikasi kiberxavfsizlikni taʼminlash sohasida xalqaro shartnomalar doirasida xalqaro tashkilotlar, chet davlatlar va ularning vakolatli idoralari bilan xalqaro hamkorlikni amalga oshiradi.

Kiberxavfsizlik sohasidagi yagona davlat siyosatini Oʻzbekiston Respublikasi Prezidenti belgilaydi.

Oʻzbekiston Respublikasi Davlat xavfsizlik xizmati kiberxavfsizlik sohasidagi vakolatli davlat organidir (bundan buyon matnda vakolatli davlat organi deb yuritiladi).

Vakolatli davlat organining kiberxavfsizlik sohasidagi vakolatlari jumlasiga quyidagilar kiradi:

kiberxavfsizlik sohasidagi normativ-huquqiy hujjatlarni va davlat dasturlarini ishlab chiqish;

kiberxavfsizlik toʻgʻrisidagi qonunchilik hujjatlarining ijro etilishi ustidan nazoratni amalga oshirish;

kiberxavfsizlik hodisalari yuzasidan tezkor-qidiruv tadbirlarini, tergovga qadar tekshiruvlarni va tergov harakatlarini amalga oshirish;

kiberxavfsizlik hodisalarining oldini olish, ularni aniqlash va bartaraf etish hamda ularga nisbatan tegishli chora-tadbirlarni, shu jumladan ularning oqibatlarini tugatish boʻyicha tashkiliy-texnik chora-tadbirlarni koʻrish;

favqulodda vaziyatlarda axborot tizimlari va resurslarini kiberhimoya qilish hamda kiberxavfsizlik sohasidagi boshqa masalalar boʻyicha chora-tadbirlarni oʻz ichiga olgan rejalarni ishlab chiqish;

kiberxavfsizlikni taʼminlashga doir ishlarni, shuningdek muhim axborot infratuzilmasi obyektlarida kiberhujumlarning oldini olishga, ularni aniqlashga va ularning oqibatlarini tugatishga doir ishlarni tashkil etish;

kiberxavfsizlik talablariga muvofiq axborot tizimlari va resurslaridagi apparat, apparat-dasturiy hamda dasturiy vositalarni sertifikatlashtirishga doir ishlarni tashkil etish;

kiberxavfsizlik sohasida tadqiqotlar oʻtkazilishini va monitoringni tashkil etish;

muhim axborot infratuzilmasi obyektlarining yagona reyestrini shakllantirish, shuningdek ushbu reyestrning yuritilishini tashkil etish va taʼminlash;

kiberxavfsizlik subyektlari tomonidan taqdim etilgan maʼlumotlar asosida obyektlarni muhim axborot infratuzilmasi obyektlarining yagona reyestriga kiritish toʻgʻrisida qaror qabul qilish;

muhim axborot infratuzilmasi obyektlarining kiberxavfsizligini taʼminlashga doir talablarni belgilash;

axborotlashtirish obyektlarini va muhim axborot infratuzilmasi obyektlarini kiberxavfsizlik talablariga muvofiq attestatsiyadan oʻtkazish tartibini belgilash;

axborotni kriptografik himoya qilish vositalarini ishlab chiqishga, ishlab chiqarishga va realizatsiya qilishga doir faoliyatni litsenziyalash;

axborot tizimlaridan hamda resurslaridan foydalanuvchilarning huquqlari va qonuniy manfaatlarini himoya qilish choralarini koʻrish;

kiberxavfsizlik subyektlarining axborot tizimlarini va resurslarini oʻrganish va tekshirishni, shuningdek muhim axborot infratuzilmasi obyektlarida oʻrganishlar va tekshirishlarni amalga oshirish;

muhim axborot infratuzilmasi obyektlariga boʻlgan kiberhujumlarga urinishlarning oldini olishga doir rejalarni ishlab chiqish va ularni bevosita amalga oshirish;

kiberxavfsizlik boʻlinmalarining, mustaqil ekspertlar xizmatlari va guruhlarining faoliyatini tartibga solish, kibertahdidlarga qarshi kurashish sohasida huquqni muhofaza qiluvchi organlar bilan hamkorlik qilish;

davlat va xoʻjalik boshqaruvi organlarini, mahalliy davlat hokimiyati organlarini axborot tizimlari hamda resurslarida aniqlangan zaifliklar, kibertahdidlar, kiberhujumlar va boshqa buzgʻunchi xatti-harakatlar toʻgʻrisida xabardor qilish;

huquqni muhofaza qiluvchi organlarni va muhim axborot infratuzilmasi subyektlarini muhim axborot infratuzilmasi obyektlarida kiberxavfsizlik hodisalarini birgalikda tekshirishga jalb etish;

kiberxavfsizlik sohasida xalqaro hamkorlikni amalga oshirish va kibertahdidlarga qarshi kurashish boʻyicha umumiy yondashuvlarni ishlab chiqish, kiberjinoyatchilik boʻyicha tergov harakatlarini olib borish hamda kiberjinoyatchilikning oldini olish borasidagi saʼy-harakatlarni birlashtirish, shuningdek Oʻzbekiston Respublikasining kibermakonidan terrorchilik, ekstremistik va boshqa qonunga xilof faoliyatda foydalanilishiga yoʻl qoʻymaslik choralarini koʻrish;

muhim axborot infratuzilmasi obyektlarida kiberhujumlarni aniqlash, ularning oldini olish va oqibatlarini bartaraf etish vositalarini joriy etishga doir ishlarni tashkil qilish, shuningdek kiberxavfsizlik hodisalariga nisbatan choralar koʻrish;

muhim axborot infratuzilmasi obyektlaridagi mavjud zaifliklar va ehtimoldagi tahdidlar toʻgʻrisidagi maʼlumotlarni aniqlashga, toʻplashga va tahlil qilishga doir ishlarni tashkil etish;

axborot tizimlari va resurslarida kiberxavfsizlikning taʼminlanganlik darajasi boʻyicha tasniflagich yaratish;

kiberxavfsizlik obyektlarini kiberxavfsizlikni taʼminlash darajasiga koʻra tasniflash;

kiberxavfsizlik sohasida kadrlar tayyorlash boʻyicha faoliyatni amalga oshirish;

kiberxavfsizlik talablariga muvofiqlik yuzasidan ekspertiza oʻtkazish mexanizmlarini belgilash;

kiberxavfsizlik va muhim axborot infratuzilmasi obyektlarining kiberxavfsizligini amalga oshirishni baholash usullarini belgilash va baholash;

muhim axborot infratuzilmasi obyektlarini toifalashtirish mezonlarini belgilash va toifalashtirish;

kiberxavfsizlik subyektlarining kiberxavfsizligini taʼminlashga jalb etilgan xodimlarni qonunchilikda belgilangan tartibda attestatsiyadan oʻtkazish.

Vakolatli davlat organining qonuniy talablarini (koʻrsatmalarini) bajarish majburiydir.

Vakolatli davlat organi kiberxavfsizlik sohasidagi vakolatlarni amalga oshirish chogʻida quyidagi huquqlarga ega:

kiberhujumlarni aniqlash, ularning oldini olish va oqibatlarini bartaraf etish, shuningdek kiberxavfsizlik hodisalariga nisbatan choralar koʻrish uchun moʻljallangan texnik, dasturiy va apparat-dasturiy vositalarni ijaraga olish;

kiberhujumlarga barham berish boʻyicha kechiktirib boʻlmaydigan choralar koʻrish uchun texnik qurilmalar va xizmatlardan tekin foydalanish;

davlat organlariga va boshqa tashkilotlarga kirish, zarur hujjatlar va materiallar bilan tanishish, shuningdek davlat organlaridan va boshqa tashkilotlardan, fuqarolardan maʼlumotlarni hamda boshqa zarur hujjatlarni va materiallarni soʻrash hamda olish, ularni identifikatsiyalashni amalga oshirish va ulardan kiberxavfsizlik hodisalari boʻyicha tergov harakatlarida foydalanish;

kiberxavfsizlikni taʼminlash boʻyicha ishchi organni tashkil etish, shuningdek oʻz vakolatlarining bir qismini unga oʻtkazish;

kiberxavfsizlik subyektlariga kiberxavfsizlikka tahdid soluvchi huquqbuzarliklar sodir etilishiga imkon bergan sabablar va shart-sharoitlarni bartaraf etish toʻgʻrisida bajarilishi majburiy boʻlgan taqdimnomalar hamda koʻrsatmalar kiritish;

kiberxavfsizlik holati taʼminlanganligi yuzasidan davlat nazorati va tekshiruvi vazifasini amalga oshirish maqsadida davlat organlari hamda tashkilotlarining, muhim axborot infratuzilmasi obyektlarining axborot tizimlariga va resurslariga belgilangan tartibda toʻsqinliksiz kirish hamda ularga ulanish, shuningdek ushbu obyektlardagi axborot tizimlarining va resurslarning kiberxavfsizligini taʼminlash vositalarining joriy etilishiga hamda ulardan foydalanilishiga doir maʼlumotlarni oʻrganish;

kiberxavfsizlikni taʼminlash boʻyicha monitoring ishlarini bajarish chogʻida tashkiliy-texnik tadbirlarni amalga oshirish uchun monitoring tizimlariga yoki muhim axborot infratuzilmasi obyektlariga kirish;

jismoniy va yuridik shaxslarning turar joylariga va boshqa obyektlariga toʻsqinliksiz kirish, zarurat boʻlganda qulflash moslamalarini va boshqa ashyolarni buzgan holda kirish, bu joylarni axborot texnologiyalari sohasida jinoyatlar sodir etganlikda gumon qilinayotgan shaxslarni taʼqib qilish chogʻida yoxud u erda jinoyat sodir etilyapti yoki sodir etilgan yoxud huquqni muhofaza qiluvchi organlardan yashiringan shaxs bor deb hisoblash uchun yetarli asoslar mavjud boʻlgan taqdirda yoxud agar kechiktirish fuqarolarning hayotini va sogʻligʻini tahdid ostida qoldiradigan boʻlsa, yigirma toʻrt soat ichida prokurorga bu haqda xabar bergan holda, shuningdek yetkazilgan zararning oʻrnini qonunchilikda belgilangan tartibda qoplagan holda koʻzdan kechirish.

Vakolatli davlat organi kiberxavfsizlik sohasida zimmasiga yuklatilgan vakolatlarni amalga oshirish chogʻida:

kiberjinoyatlarning oldini olish, aniqlash va bartaraf etish boʻyicha barcha zarur choralarni koʻrishi;

kiberxavfsizlik sohasidagi davlat dasturlarini ishlab chiqish va amalga oshirishda ishtirok etishi;

kiberxavfsizlik sohasidagi muammolar yuzasidan ilmiy-tadqiqot va tashkiliy-uslubiy faoliyatni amalga oshirishi;

kiberjinoyatlar hamda kiberxavfsizlikka tahdid soluvchi huquqbuzarliklar toʻgʻrisidagi murojaatlar va maʼlumotlarni roʻyxatdan oʻtkazishi, ular yuzasidan qonunchilikda belgilangan tartibda oʻz vaqtida choralar koʻrishi;

kiberxavfsizlikka tahdid soluvchi huquqbuzarliklarning oldini olish, ularning sodir etilishiga imkon bergan sabablar va shart-sharoitlarni aniqlash hamda ularni bartaraf etish choralarini koʻrishi;

vakolatli davlat organi xodimlari jismoniy va yuridik shaxslarning turar joylariga hamda boshqa obyektlariga mulkdorlar va ular vakillarining roziligisiz yoki ushbu shaxslar yoʻqligida kirganligi toʻgʻrisidagi barcha holatlar yuzasidan prokurorni yigirma toʻrt soat ichida yozma shaklda xabardor qilishi shart.

Vakolatli davlat organining zimmasiga qonunchilikka muvofiq boshqa majburiyatlar ham yuklatilishi mumkin.

Davlat organlari va tashkilotlari quyidagi huquqlarga ega:

kiberxavfsizlikni taʼminlash maqsadida vakolatli davlat organidan kibertahdidlar, dasturiy taʼminotdagi, uskunalar va texnologiyalardagi zaifliklar toʻgʻrisidagi axborotni olish;

vakolatli davlat organidan kiberhujumlardan himoya qilish vositalari va usullari, ularni aniqlash hamda bartaraf etish yoʻllari toʻgʻrisida axborot va maslahatlar olish;

kiberxavfsizlikni taʼminlashga doir chora-tadbirlarni ishlab chiqish va amalga oshirish.

Davlat organlari va tashkilotlari:

oʻz tasarrufidagi axborot tizimlari va resurslarining kiberxavfsizligini, tarmoqlar ishining barqarorligini taʼminlashi, shuningdek kiberxavfsizlik boʻyicha oʻz majburiyatlarini bajarishi, vakolatli davlat organini kiberhujumlar toʻgʻrisida ogohlantirishi;

oʻz axborot tizimlari va resurslarida saqlanayotgan maʼlumotlarning oʻgʻirlanishi hamda qalbakilashtirilishi holatlarining oldini olish choralarini koʻrishi;

oʻz axborot tizimlari va resurslarini kiberhimoya qilish uchun sertifikatlashtirilgan apparat, apparat-dasturiy va dasturiy taʼminotdan foydalanishi;

kiberxavfsizlik sohasida ishlab chiqiladigan normativ-huquqiy hujjatlarni va texnik jihatdan tartibga solish sohasidagi normativ hujjatlarni vakolatli davlat organi bilan kelishishi shart.

Davlat organlari va tashkilotlarining, shuningdek muhim axborot infratuzilmasi obyektlarining axborot tizimlari hamda resurslari maʼlumotlarining saqlanishini taʼminlash ichki axborot xavfsizligi siyosatiga muvofiq maʼlumotlarning zaxira nusxalarini yaratish yoʻli bilan amalga oshiriladi, ularning saqlanish muddati oxirgi uch oydan kam boʻlmasligi kerak.

Kiberxavfsizlik subyektlari quyidagi huquqlarga ega:

oʻz kiberxavfsizligini taʼminlash maqsadida vakolatli davlat organidan kibertahdidlar, dasturiy taʼminotdagi, uskunalar va texnologiyalardagi zaifliklar toʻgʻrisidagi maʼlumotlarni olish;

kiberhujumlardan himoya qilish vositalari va usullari, shuningdek ularni aniqlash hamda bartaraf etish usullari toʻgʻrisida vakolatli davlat organidan maʼlumotlar va maslahatlar olish;

oʻz kiberxavfsizligini taʼminlash boʻyicha chora-tadbirlarni ishlab chiqish va amalga oshirish.

Kiberxavfsizlik subyektlari:

axborot tizimlari va resurslaridagi maʼlumotlarning qonunga xilof ravishda tarqatilishi, oʻgʻirlanishi, yoʻqolishi, yaxlitligining buzilishi, bloklanishi va qalbakilashtirilishining, shuningdek axborot tizimlari va resurslariga ruxsatsiz kirishning boshqa koʻrinishlarining oldini olishi, bunday hollar aniqlanganda oʻz vaqtida tegishli choralar koʻrishi;

axborot tizimlari va resurslariga kirish tartibi buzilganda hamda ularga ruxsatsiz kirish natijasida ushbu tizimlar hamda resurslar oʻzgartirilgan yoki yoʻq qilingan taqdirda salbiy oqibatlarni kamaytirish maqsadida ularni tezkorlik bilan tiklash choralarini koʻrishi;

sodir boʻlgan kiberxavfsizlik hodisalari va kiberjinoyatlar toʻgʻrisida vakolatli davlat organini xabardor qilishi, ushbu hodisalarni toʻliq fosh etish uchun tegishli raqamli izlarning yoʻqolishiga yoʻl qoʻymaslik choralarini koʻrishi, shuningdek kiberxavfsizlik hodisalarini tahlil qilish va kiberjinoyatlarni tekshirish uchun zarur boʻlgan maʼlumotlarning doimiy saqlanishini taʼminlashi;

kiberxavfsizlik obyektlarini muhofaza qilish va ularning xavfsiz ishlashi monitoringini oʻtkazish sohasidagi maʼlumotlarni vakolatli davlat organi bilan oʻzaro almashishni amalga oshirishi;

axborot tizimlari va resurslarining kiberhimoyasini taʼminlashda vakolatli davlat organi tomonidan belgilangan kiberxavfsizlik talablariga rioya etishi;

kiberxavfsizlik hodisalariga nisbatan choralar koʻrish mexanizmlarining ishlab turishini va kiberxavfsizlikni taʼminlash boʻlinmalarining ishlashini taʼminlashi, ular mavjud boʻlmagan taqdirda esa vakolatli davlat organining ruxsati bilan autsorsing xizmatlaridan belgilangan tartibda foydalanishi;

vakolatli davlat organiga kiberxavfsizlikni taʼminlash monitoringining tashkiliy-texnik tadbirlarini amalga oshirish uchun monitoring tizimlariga va (yoki) kiberxavfsizlik obyektlariga kirish huquqini berishi shart.

Kiberxavfsizlik obyektlarini tasniflash kiberxavfsizlik obyektlari turining tashkiliy-texnik jihatdan murakkabligi darajasini aniqlashga qaratilgan tashkiliy tadbirlar majmuidan iboratdir.

Tasniflanishi lozim boʻlgan kiberxavfsizlik obyektlarining toifalari qonunchilikka muvofiq belgilanadi.

Kiberxavfsizlik talablariga muvofiqlik yuzasidan ekspertiza majburiy tartibda yoki kiberxavfsizlik subyektlarining tashabbusiga koʻra amalga oshiriladi.

Quyidagilar kiberxavfsizlik talablariga muvofiqlik yuzasidan majburiy tartibda ekspertizadan oʻtkazilishi lozim:

davlat organlarining axborot resurslari;

davlat organlarining axborot tizimlari;

muhim axborot infratuzilmasi obyektlari toifasiga kiritilgan axborot tizimlari.

Kiberxavfsizlik talablariga muvofiqlik yuzasidan ekspertiza oʻtkazish tartibi vakolatli davlat organi tomonidan belgilanadi.

Davlat organlari va tashkilotlari axborot tizimlari hamda resurslarining, shuningdek muhim axborot infratuzilmasi obyektlarining kiberxavfsizligini taʼminlash uchun qoʻllaniladigan apparat, apparat-dasturiy va dasturiy vositalar majburiy tartibda sertifikatlashtirilishi lozim.

Axborot tizimlari va resurslarining kiberxavfsizligini taʼminlash uchun qoʻllaniladigan apparat, apparat-dasturiy hamda dasturiy vositalarni sertifikatlashtirish tartibi vakolatli davlat organi tomonidan belgilanadi.

Axborotlashtirish obyektlarining hamda muhim axborot infratuzilmasi obyektlarining attestatsiyasi axborotlashtirish obyektlarining haqiqiy himoyalanganlik holatining kiberxavfsizlik sohasidagi davlat standartlari va normativ-huquqiy hujjatlar talablariga muvofiqligini aniqlashga qaratilgan tashkiliy-texnik tadbirlar majmuidan iboratdir.

Attestatsiyadan oʻtkazilishi lozim boʻlgan axborotlashtirish obyektlarining va muhim axborot infratuzilmasi obyektlarining toifalari qonunchilikka muvofiq belgilanadi.

Axborotlashtirish obyektlarining va muhim axborot infratuzilmasi obyektlarining kiberxavfsizlik talablariga muvofiqligini attestatsiyadan oʻtkazish tartibi vakolatli davlat organi tomonidan belgilanadi.

Kiberxavfsizlikning taʼminlanganlik darajasini baholash axborot tizimlari va resurslarining himoyalanganlik holatini, shuningdek koʻrilayotgan tashkiliy choralarning samaradorligini aniqlashga qaratilgan tashkiliy-texnik tadbirlar majmuidan iboratdir.

Baholanishi shart boʻlgan axborotlashtirish obyektlarining va muhim axborot infratuzilmasi obyektlarining toifalari qonunchilikka muvofiq belgilanadi.

Kiberxavfsizlikning taʼminlanganlik darajasini baholash tartibi vakolatli davlat organi tomonidan belgilanadi.

Vakolatli davlat organi baholash natijasida aniqlangan kamchiliklarni bartaraf etish toʻgʻrisida bajarilishi shart boʻlgan koʻrsatmalar beradi.

Kiberxavfsizlik hodisalari vakolatli davlat organi yoki kiberxavfsizlikni taʼminlash boʻyicha ishchi organning mansabdor shaxslari tomonidan tekshiriladi.

Kiberxavfsizlik hodisasi sodir boʻlgan axborot resursining yoki axborot tizimining egasi, agar u tekshiruv oʻtkazish uchun zarur boʻlgan resurslarga va texnik imkoniyatlarga ega boʻlsa, kiberxavfsizlik hodisasining tekshiruvini oʻtkazishi mumkin. Bunda vakolatli davlat organi tekshiruv natijalari toʻgʻrisida xabardor qilinishi kerak.

Kiberxavfsizlik subyektlari tomonidan kiberxavfsizlik hodisalariga nisbatan choralar koʻrish quyidagi shakllarda amalga oshirilishi mumkin:

dasturiy taʼminotdagi va qurilmalardagi zaifliklarni hamda xatoliklarni bartaraf etish;

zararli dasturlarni yoʻq qilish, ularning tarqalishini cheklash, kiberhujumlar manbaini texnik jihatdan cheklash;

axborotlashtirish obyektlarini mavjud kibertahdidlardan ajratib qoʻyish;

huquqni muhofaza qiluvchi organlarga kiberxavfsizlik hodisalari toʻgʻrisida maʼlumotlar taqdim etish.

Axborot tizimlari va resurslarida aniqlangan zaifliklar, kibertahdidlar, kiberhujumlar hamda boshqa buzgʻunchilik harakatlari toʻgʻrisidagi, shuningdek axborotlashtirish obyektlari haqidagi axborot ularni himoya qilish boʻyicha tegishli choralar koʻrilganidan keyin kiberxavfsizlik subyektining ruxsati bilan oshkor qilinishi mumkin.

Aniqlangan kibertahdidlar va zaifliklar toʻgʻrisidagi axborotdan faqat ularni bartaraf etish hamda qonunga xilof harakatlarning oldini olish uchun foydalanilishi kerak.

Muhim axborot infratuzilmasi obyektlarining kiberxavfsizligini taʼminlashning asosiy yoʻnalishlari quyidagilardan iborat:

muhim axborot infratuzilmasi obyektlarining normativ-huquqiy, tashkiliy va texnik jihatdan himoya qilinishini tartibga solish boʻyicha yagona chora-tadbirlar majmuini yaratish;

davlat organlari va tashkilotlarining axborot tizimlarida hamda resurslarida, muhim axborot infratuzilmasi obyektlarida kiberxavfsizlikni taʼminlashga doir talablarni belgilash;

muhim axborot infratuzilmasi obyektlarining kiberxavfsizligini samarali taʼminlash uchun shart-sharoitlar yaratishga koʻmaklashish.

Muhim axborot infratuzilmasi obyektlarini toifalashtirish muhim axborot infratuzilmasi obyektlarining ushbu moddaning ikkinchi qismida nazarda tutilgan toifalarga muvofiqligini aniqlash, shuningdek toifalashtirish natijalariga doir maʼlumotlarni tekshirish maqsadida amalga oshiriladi.

Muhim axborot infratuzilmasi obyektlari quyidagi toifalarga boʻlinadi:

yuqori darajadagi muhim axborot infratuzilmasi obyektlari;

oʻrta darajadagi muhim axborot infratuzilmasi obyektlari;

past darajadagi muhim axborot infratuzilmasi obyektlari.

Muhim axborot infratuzilmasi obyektlarini toifalashtirish mezonlari vakolatli davlat organi tomonidan belgilanadi.

Vakolatli davlat organi muhim axborot infratuzilmasi obyektlarining yagona reyestrini yuritadi.

Muhim axborot infratuzilmasi obyektlarining yagona reyestriga kiritilishi shart boʻlgan kiberxavfsizlik obyektlarining toifalari qonunchilikka muvofiq belgilanadi.

Kiberxavfsizlik obyektlarini muhim axborot infratuzilmasi obyektlarining yagona reyestriga kiritish tartibi vakolatli davlat organi tomonidan belgilanadi.

Muhim axborot infratuzilmasi subyektlari:

muhim axborot infratuzilmasi obyektlarining kiberxavfsizligini taʼminlash maqsadida vakolatli davlat organidan kibertahdidlar, dasturiy taʼminotning, asbob-uskunalar va texnologiyalarning zaifliklari toʻgʻrisida maʼlumotlar olish;

kiberhujumlardan himoya qilish vositalari va usullari, shuningdek ularni aniqlash hamda ularning oldini olish usullari haqida vakolatli davlat organidan maʼlumotlar va maslahatlar olish;

muhim axborot infratuzilmasi obyektlarining kiberxavfsizligini taʼminlashga doir chora-tadbirlarni ishlab chiqish hamda amalga oshirish huquqiga ega.

Muhim axborot infratuzilmasi subyektlari:

muhim axborot infratuzilmasi obyektlari axborot tizimlarining uzluksiz ishlashini taʼminlashi;

kiberxavfsizlik hodisalari toʻgʻrisidagi axborotni vakolatli davlat organiga yetkazishi;

kiberhujumlarning oqibatlarini aniqlashda, ularning oldini olishda va ularni bartaraf etishda, kiberxavfsizlik hodisalarining kelib chiqish sabablarini hamda shart-sharoitlarini aniqlashda vakolatli davlat organining yoki kiberxavfsizlikni taʼminlash boʻyicha ishchi organning mansabdor shaxslariga koʻmaklashishi;

muhim axborot infratuzilmasi obyektlarida kiberhujumlarning oldini olish, ularning oqibatlarini bartaraf etish, shuningdek kiberxavfsizlik hodisalariga nisbatan choralar koʻrish uchun apparat, apparat-dasturiy va dasturiy vositalardan foydalanishning texnik talablariga rioya etgan holda monitoring tizimlarini oʻrnatishi hamda ulardan foydalanishi;

kiberxavfsizlik talablariga muvofiq muhim axborot infratuzilmasi obyektlarining xavfsizligini taʼminlashi;

muhim axborot infratuzilmasi obyektlarida kiberxavfsizlikni taʼminlash borasida aniqlangan huquqbuzarliklarni bartaraf etish yuzasidan vakolatli davlat organining koʻrsatmalarini bajarishi;

muhim axborot infratuzilmasi obyektlariga nisbatan kiberxavfsizlik hodisalari va kiberhujumlarning oqibatlarini bartaraf etish choralarini koʻrishi;

vakolatli davlat organiga kiberxavfsizlikni taʼminlash holati monitoringining tashkiliy-texnik tadbirlarini amalga oshirish uchun monitoring tizimlariga yoki muhim axborot infratuzilmasi obyektlariga kirish huquqini berishi;

muhim axborot infratuzilmasi obyektlarining yagona reyestriga kiritilgan obyekt toʻgʻrisidagi maʼlumotlar oʻzgarganda vakolatli davlat organini xabardor qilishi shart.

Muhim axborot infratuzilmasi subyektlari oʻziga tegishli boʻlgan muhim axborot infratuzilmasi obyektlarida kiberxavfsizlikni taʼminlash yuzasidan vakolatli davlat organi tomonidan belgilangan talablarni bajarishi shart.

Muhim axborot infratuzilmasi subyektlari vakolatli davlat organi bilan kelishgan holda, muhim axborot infratuzilmasi obyektlari ishining oʻziga xos jihatlaridan kelib chiqib, kiberxavfsizlikni taʼminlash uchun qoʻshimcha talablarni belgilashi mumkin.

Muhim axborot infratuzilmasi obyektlarining kiberxavfsizligi taʼminlanishi uchun masʼul boʻlgan xodimlar qonunchilikda belgilangan tartibda vakolatli davlat organi tomonidan oʻtkaziladigan attestatsiyadan oʻtadi.

Muhim axborot infratuzilmasi subyekti tomonidan yaratilgan muhim axborot infratuzilmasi obyektlarining kiberxavfsizligini taʼminlash tizimi vakolatli davlat organining muhim axborot infratuzilmasi obyektlaridagi monitoring va kiberxavfsizlik hodisalarini boshqarish tizimiga vakolatli davlat organining qaroriga asosan ulanadi.

Muhim axborot infratuzilmasi obyektlarining kiberxavfsizligini taʼminlash tizimi quyidagilardan iborat:

vakolatli davlat organining muhim axborot infratuzilmasi obyektlarining kiberxavfsizlik hodisalarini monitoring qilish va boshqarish tizimi;

muhim axborot infratuzilmasi obyektlarining kiberxavfsizligini taʼminlash tizimlari.

Kiberxavfsizlikni taʼminlash tizimidagi kiberxavfsizlik hodisalari toʻgʻrisidagi axborotning tarqatilishi cheklangan boʻladi. Mazkur axborot hodisalar toʻliq bartaraf etilganidan keyin oshkor etilishi mumkin.

Muhim axborot infratuzilmasi obyektlarining kiberxavfsizligini baholash kiberxavfsizlik sohasidagi davlat nazorati doirasida ushbu obyektlarning turli xil kibertahdidlardan himoyalanganlik holatini (darajasini) aniqlash maqsadida amalga oshiriladi.

Muhim axborot infratuzilmasi obyektlarining kiberxavfsizligini baholash ixtisoslashtirilgan tashkilotlar jalb etilgan holda, vakolatli davlat organining ruxsati bilan amalga oshiriladi.

Kiberxavfsizlik subyektlarini davlat tomonidan qoʻllab-quvvatlash quyidagilardan iborat:

kiberxavfsizlik sohasidagi normativ-huquqiy bazani takomillashtirish;

kiberxavfsizlik subyektlariga soliq, bojxona imtiyozlari va preferensiyalar berish;

xoʻjalik yurituvchi subyektlarning mablagʻlarini kiberxavfsizlik sohasini moliyalashtirish uchun jalb etishga shart-sharoitlar yaratish;

kiberxavfsizlik sohasida ilmiy-texnika yutuqlariga asoslangan mahsulotlarning va ilgʻor texnologiyalarning kafolatlangan tarzda joriy etilishini taʼminlash maqsadiga qaratilgan davlat xaridlarini tashkil etish;

kiberxavfsizlik sohasida kadrlarni tayyorlashga, qayta tayyorlashga, shuningdek ularning malakasini oshirishga koʻmaklashish.

Davlat boshqaruvi organlari, mahalliy davlat hokimiyati organlari va xoʻjalik yurituvchi subyektlar tomonidan kiberxavfsizlik sohasidagi ilmiy-texnik va innovatsion faoliyatni qoʻllab-quvvatlash quyidagilar vositasida amalga oshiriladi:

ilmiy-tadqiqot, tajriba-konstruktorlik va texnologik ishlarni davlat buyurtmasi doirasida bajarish uchun buyurtmalarni joylashtirish;

investitsiya loyihalarini amalga oshirish jarayonida amalga oshiriladigan ilmiy-tadqiqot, konstruktorlik va texnologik ishlarni moliyalashtirish uchun kiberxavfsizlik subyektlariga subsidiyalar ajratish;

innovatsion mahsulotlarga boʻlgan talabni, shu jumladan davlat ehtiyojlari uchun sotib olinadigan tovarlarning (ishlarning, xizmatlarning) maqbullashtirilishini ragʻbatlantirish;

kiberxavfsizlik darajasini yaxshilash boʻyicha loyihalarni amalga oshiradigan, shu jumladan mavjud ilgʻor texnologiyalardan foydalangan holda xizmatlar koʻrsatish borasidagi innovatsion faoliyat bilan shugʻullanadigan tashkilotlarga moliyaviy yordam koʻrsatish;

kiberxavfsizlik sohasida ilmiy, ilmiy-texnik va innovatsion faoliyatni amalga oshirish hamda muhim axborot infratuzilmasi obyektlarining kiberxavfsizligini taʼminlash uchun shart-sharoitlar yaratish;

kiberxavfsizlikni taʼminlash bilan bogʻliq davlat xaridlarini amalga oshirishda mamlakatimizda ishlab chiqarilgan mahsulotga ustuvorlik berish.

Davlat boshqaruvi organlarining, mahalliy davlat hokimiyati organlarning va xoʻjalik yurituvchi subyektlarning kiberxavfsizlikni taʼminlash sohasidagi kadrlari salohiyatini rivojlantirish va qoʻllab-quvvatlash quyidagilar vositasida amalga oshirilishi mumkin:

kiberxavfsizlikni taʼminlash sohasidagi kadrlarni qayta tayyorlash va ularning malakasini oshirish boʻyicha faoliyatni amalga oshiruvchi tashkilotlarga moliyaviy, axborot-maslahat yordami koʻrsatish;

kiberxavfsizlikni taʼminlash sohasida oʻquv-uslubiy va ilmiy-pedagogik yordam koʻrsatish.

Muhim axborot infratuzilmasi subyektlarining kiberxavfsizlikni taʼminlash uchun masʼul boʻlgan xodimlari xalqaro standartlarga hamda davlat standartlariga va talablariga muvofiq oʻz malakasini doimiy asosda oshirib borishi kerak.

Muhim axborot infratuzilmasi obyektlarining kiberxavfsizlikni taʼminlash uchun masʼul boʻlgan xodimlarini ragʻbatlantirish qonunchilikda belgilangan tartibda amalga oshiriladi.

Vakolatli davlat organi kiberxavfsizlik sohasidagi xalqaro hamkorlikni oʻz vakolatlari doirasida amalga oshiradi.

Vakolatli davlat organi Oʻzbekiston Respublikasining qonunchiligiga va xalqaro shartnomalariga muvofiq xalqaro kiberjinoyatchilikka qarshi kurashish masalalariga doir axborotni chet davlatlarga va xalqaro tashkilotlarga soʻrov boʻyicha taqdim etadi.

Xalqaro kiberjinoyatlarga qarshi kurashish masalalariga doir axborot, agar bunday maʼlumotlar dastlabki tergov harakatlariga yoki sud jarayonlariga toʻsqinlik qilmasa hamda kiberhujumlarni toʻxtatishga, kibermakondan foydalanilgan holda sodir etiladigan jinoiy xatti-harakatlarni oʻz vaqtida aniqlashga va ularga barham berishga xizmat qilsa, chet davlatlarga va xalqaro tashkilotlarga oldindan soʻrovsiz berilishi mumkin.

Kiberxavfsizlik toʻgʻrisidagi qonunchilikni buzganlikda aybdor boʻlgan shaxslar belgilangan tartibda javobgarlikka tortiladi.

Oʻzbekiston Respublikasi Davlat xavfsizlik xizmati va boshqa manfaatdor tashkilotlar ushbu Qonunning ijrosini, ijrochilarga yetkazilishini hamda mohiyati va ahamiyati aholi oʻrtasida tushuntirilishini taʼminlasin.

Oʻzbekiston Respublikasi Vazirlar Mahkamasi:

hukumat qarorlarini ushbu Qonunga muvofiqlashtirsin;

davlat boshqaruvi organlari ushbu Qonunga zid boʻlgan oʻz normativ-huquqiy hujjatlarini qayta koʻrib chiqishlari va bekor qilishlarini taʼminlasin.

Ushbu Qonun rasmiy eʼlon qilingan kundan eʼtiboran uch oy oʻtgach kuchga kiradi.

Целью настоящего Закона является регулирование отношений в сфере кибербезопасности.

Законодательство о кибербезопасности состоит из настоящего Закона и иных актов законодательства.

Обеспечение кибербезопасности системы оперативно-розыскных мероприятий на сетях телекоммуникации и каналах связи осуществляется в порядке, установленном отдельными актами законодательства.

Если международным договором Республики Узбекистан установлены иные правила, чем те, которые предусмотрены законодательством Республики Узбекистан о кибербезопасности, то применяются правила международного договора.

В настоящем Законе применяются следующие основные понятия:

объект информатизации — информационные системы различного уровня и назначения, сети телекоммуникаций, технические средства обработки информации, помещения, где установлены и эксплуатируются эти средства;

киберпреступность — совокупность преступлений, осуществляемых в киберпространстве с использованием программного обеспечения и технических средств, с целью завладения информацией, ее изменения, уничтожения или взлома информационных систем и ресурсов;

киберпространство — виртуальная среда, созданная с помощью информационных технологий;

киберугроза — комплекс условий и факторов в киберпространстве, представляющих угрозу интересам личности, общества и государства;

кибербезопасность — состояние защищенности интересов личности, общества и государства от внешних и внутренних угроз в киберпространстве;

инцидент кибербезопасности — событие в киберпространстве, приведшее к сбоям в работе информационных систем и (или) нарушениям доступности информации в них, целостности и ее свободного использования;

объект кибербезопасности — комплекс информационных систем, используемых в деятельности по обеспечению киберзащиты информации и кибербезопасности национальных информационных систем и ресурсов, в том числе объекты критической информационной инфраструктуры;

субъект кибербезопасности — юридическое лицо или индивидуальный предприниматель, имеющий определенные права и обязанности, связанные с владением, пользованием и распоряжением национальными информационными ресурсами и оказанием информационных электронных услуг по их использованию, защитой информации и кибербезопасностью, в том числе субъекты критической информационной инфраструктуры;

киберзащита — комплекс правовых, организационных, финансово-экономических, инженерно-технических мер, а также мер криптографической и технической защиты данных, направленных на предотвращение инцидентов кибербезопасности, выявление кибератак и защиту от них, устранение последствий кибератак, восстановление стабильности и надежности деятельности телекоммуникационных сетей, информационных систем и ресурсов;

кибератака — действие, представляющее угрозу кибербезопасности, умышленно осуществляемое в киберпространстве с использованием аппаратных, аппаратно-программных и программных средств;

критическая информационная инфраструктура — комплекс автоматизированных систем управления, информационных систем и ресурсов сетей и технологических процессов, имеющих важное стратегическое и социально-экономическое значение;

объекты критической информационной инфраструктуры — системы информатизации, применяемые в сфере государственного управления и оказания государственных услуг, обороны, обеспечения государственной безопасности, правопорядка, топливно-энергетического комплекса (атомной энергетики), химической, нефтехимической отраслях, металлургии, водопользования и водоснабжения, сельского хозяйства, здравоохранения, жилищно-коммунального обслуживания, банковско-финансовой системы, транспорта, информационно-коммуникационных технологий, экологии и охраны окружающей среды, добычи и переработки полезных ископаемых стратегического значения, производственной сфере, а также в других отраслях экономики и социальной сфере;

субъекты критической информационной инфраструктуры — государственные органы и организации, а также юридические лица, владеющие объектами критической информационной инфраструктуры на правах собственности, аренды или на других законных основаниях, в том числе юридические лица и (или) индивидуальные предприниматели, обеспечивающие эксплуатацию и взаимодействие объектов критической информационной инфраструктуры.

Основные принципы обеспечения кибербезопасности:

законность;

приоритет защиты интересов личности, общества и государства в киберпространстве;

единый подход к регулированию сферы кибербезопасности;

приоритет участия отечественных производителей в создании системы кибербезопасности;

открытость Республики Узбекистан к международному сотрудничеству в обеспечении кибербезопасности.

В обеспечении кибербезопасности обязательно неукоснительное соблюдение и выполнение требований Конституции Республики Узбекистан, настоящего Закона и других актов законодательства.

Всякое отступление от точного исполнения и соблюдения требований законодательства, какими бы мотивами оно ни было вызвано, является нарушением законности и влечет за собой установленную ответственность.

Защита интересов личности, общества и государства от внешних и внутренних угроз в киберпространстве является приоритетом в обеспечении кибербезопасности государства.

Единый подход к регулированию сферы кибербезопасности обеспечивается внедрением единой государственной системы киберзащиты информационных систем и ресурсов, направленной на организацию, осуществление мониторинга и контроля за процессом разработки и внедрения программных и технических средств по обработке и защите данных.

Обеспечение кибербезопасности должно осуществляться на основе единых подходов в формировании системы правового, административного и технического регулирования отношений в этой сфере.

При покупке товаров (работ, услуг), необходимых для обеспечения кибербезопасности органов государственного и хозяйственного управления, органов государственной власти на местах, товары (работы, услуги), произведенные на территории Республики Узбекистан, пользуются приоритетом по отношению к продукции, произведенной за рубежом.

Республика Узбекистан осуществляет международное сотрудничество в области обеспечения кибербезопасности в рамках международных договоров с международными организациями, иностранными государствами и их компетентными ведомствами.

Единую государственную политику в сфере кибербезопасности определяет Президент Республики Узбекистан.

Служба государственной безопасности Республики Узбекистан является уполномоченным государственным органом в сфере кибербезопасности (далее — уполномоченный государственный орган).

К полномочиям уполномоченного государственного органа в сфере кибербезопасности относятся:

разработка нормативно-правовых актов и государственных программ в сфере кибербезопасности;

осуществление контроля за исполнением актов законодательства о кибербезопасности;

проведение оперативно-розыскных мероприятий, доследственных проверок и следственных действий по инцидентам кибербезопасности;

предупреждение, выявление и предотвращение инцидентов кибербезопасности и принятие по ним соответствующих мер, в том числе организационно-технических мер по устранению их последствий;

киберзащита информационных систем и ресурсов при чрезвычайных ситуациях и разработка планов, содержащих меры по другим вопросам в сфере кибербезопасности;

организация работ по обеспечению кибербезопасности, а также работ по предупреждению, выявлению и устранению последствий кибератак на объектах критической информационной инфраструктуры;

организация работ по сертификации аппаратных, аппаратно-программных и программных средств в информационных системах и ресурсах в соответствии с требованиями кибербезопасности;

организация проведения исследований и мониторинга в сфере кибербезопасности;

формирование единого реестра объектов критической информационной инфраструктуры, а также организация и обеспечение его ведения;

принятие решения о включении объектов в единый реестр объектов критической информационной инфраструктуры на основе сведений, представленных субъектами кибербезопасности;

определение требований по обеспечению кибербезопасности объектов критической информационной инфраструктуры;

определение порядка проведения аттестации объектов информатизации и объектов критической информационной инфраструктуры в соответствии с требованиями кибербезопасности;

лицензирование деятельности по разработке, производству и реализации средств криптографической защиты информации;

принятие мер по защите прав и законных интересов пользователей информационных систем и ресурсов;

проведение изучений и проверок информационных систем и ресурсов субъектов кибербезопасности, а также на объектах критической информационной инфраструктуры;

разработка планов по предотвращению попыток кибератак на объекты критической информационной инфраструктуры и их непосредственная реализация;

регулирование деятельности подразделений кибербезопасности, служб и групп независимых экспертов, взаимодействие с правоохранительными органами в сфере противодействия киберугрозам;

информирование органов государственного и хозяйственного управления, органов государственной власти на местах о выявленных в информационных системах и ресурсах уязвимостях, киберугрозах, кибератаках и других подрывных действиях;

привлечение правоохранительных органов и субъектов критической информационной инфраструктуры к совместному расследованию инцидентов кибербезопасности на объектах критической информационной инфраструктуры;

осуществление международного сотрудничества в сфере кибербезопасности и разработка общих подходов по противодействию киберугрозам, объединение усилий в проведении следственных действий и предотвращении киберпреступности, а также принятие мер по недопущению использования киберпространства Республики Узбекистан в террористической, экстремистской и иной незаконной деятельности;

организация работ по внедрению средств выявления, предотвращения и устранения последствий кибератак, а также принятие мер относительно инцидентов кибербезопасности на объектах критической информационной инфраструктуры;

организация работ по выявлению, сбору и анализу данных об имеющихся уязвимостях и возможных угрозах на объектах критической информационной инфраструктуры;

создание классификатора по уровню обеспеченности кибербезопасности в информационных системах и ресурсах;

классификация объектов кибербезопасности по уровню обеспеченности кибербезопасности;

осуществление деятельности по подготовке кадров в сфере кибербезопасности;

определение механизмов проведения экспертизы на соответствие требованиям кибербезопасности;

определение методов оценки и оценка осуществления кибербезопасности объектов кибербезопасности и критической информационной инфраструктуры;

определение критериев категорирования и категорирование объектов критической информационной инфраструктуры;

проведение аттестации сотрудников, задействованных в обеспечении кибербезопасности субъектов кибербезопасности, в порядке, установленном законодательством.

Выполнение законных требований (указаний) уполномоченного государственного органа является обязательным.

Уполномоченный государственный орган при осуществлении полномочий в сфере кибербезопасности имеет право:

получать в аренду технические, программные и аппаратно-программные средства, предназначенные для выявления кибератак, предотвращения и устранения их последствий, а также принятия мер относительно инцидентов кибербезопасности;

безвозмездно пользоваться техническими установками и услугами для принятия безотлагательных мер по устранению кибератак;

посещать государственные органы и иные организации, знакомиться с необходимыми документами и материалами, а также запрашивать и получать от государственных органов и иных организаций, граждан сведения и другие необходимые документы и материалы, проводить их идентификацию и использовать в следственных действиях по инцидентам кибербезопасности;

создавать рабочий орган по обеспечению кибербезопасности, а также передавать ему часть своих полномочий;

вносить субъектам кибербезопасности обязательные для исполнения предписания и указания об устранении причин и условий, способствовавших совершению правонарушений, представляющих угрозу кибербезопасности;

в целях осуществления функции государственного контроля и проверки обеспечения состояния кибербезопасности на беспрепятственный доступ и подключение в установленном порядке к информационным системам и ресурсам государственных органов и организаций, объектов критической информационной инфраструктуры, а также изучение данных в части внедрения и эксплуатации средств обеспечения кибербезопасности информационных систем и ресурсов этих объектов;

на доступ к системам мониторинга или объектам критической информационной инфраструктуры для осуществления организационно-технических мероприятий при проведении мониторинговых работ по обеспечению кибербезопасности;

входить беспрепятственно, при необходимости с повреждением запирающих устройств и других предметов, в жилые помещения и иные объекты физических и юридических лиц, осматривать их при преследовании лиц, подозреваемых в совершении преступлений в сфере информационных технологий, либо при наличии достаточных оснований полагать, что там совершается или совершено такое преступление, или находится лицо, скрывшееся от правоохранительных органов, либо если промедление может поставить под угрозу жизнь и здоровье граждан, с последующим сообщением об этом прокурору в течение двадцати четырех часов, а также с возмещением причиненного вреда в порядке, установленном законодательством.

Уполномоченный государственный орган при осуществлении возложенных полномочий в сфере кибербезопасности обязан:

принимать все необходимые меры по предупреждению, выявлению и предотвращению киберпреступлений;

участвовать в подготовке и реализации государственных программ в сфере кибербезопасности;

осуществлять научно-исследовательскую и организационно-методическую деятельность по проблемам в сфере кибербезопасности;

регистрировать обращения и сведения о киберпреступлениях и правонарушениях, представляющих угрозу кибербезопасности, своевременно принимать по ним меры в порядке, установленном законодательством;

принимать меры по предупреждению правонарушений, представляющих угрозу кибербезопасности, выявлению и устранению причин и условий, способствовавших их совершению;

уведомлять в письменной форме прокурора в течение двадцати четырех часов обо всех случаях проникновения сотрудниками уполномоченного государственного органа в жилые помещения и иные объекты физических и юридических лиц вопреки воле собственников и их представителей или в их отсутствие.

На уполномоченный государственный орган могут быть возложены и другие обязанности в соответствии с законодательством.

Государственные органы и организации имеют право:

получать от уполномоченного государственного органа в целях обеспечения кибербезопасности информацию о киберугрозах, уязвимостях программного обеспечения, оборудования и технологий;

получать от уполномоченного государственного органа информацию и консультации о средствах и методах защиты от кибератак, способах их выявления и предотвращения;

разрабатывать и реализовывать меры по обеспечению кибербезопасности.

Государственные органы и организации обязаны:

обеспечивать кибербезопасность в находящихся в их ведении информационных системах и ресурсах, стабильность работы сетей, а также выполнять свои обязательства по кибербезопасности, предупреждать уполномоченный государственный орган о кибератаках;

принимать меры по предотвращению случаев хищения и фальсификации данных, хранящихся в их информационных системах и ресурсах;

использовать сертифицированные аппаратные, аппаратно-программные и программные средства для киберзащиты своих информационных систем и ресурсов;

согласовывать с уполномоченным государственным органом разрабатываемые нормативно-правовые акты в сфере кибербезопасности и нормативные документы в области технического регулирования.

Обеспечение хранения данных информационных систем и ресурсов государственных органов и организаций, а также объектов критической информационной инфраструктуры осуществляется в соответствии с внутренней политикой информационной безопасности путем создания резервной копии данных, срок хранения которой не должен быть менее трех последних месяцев.

Субъекты кибербезопасности имеют право:

получать от уполномоченного государственного органа сведения о киберугрозах, уязвимостях программного обеспечения, оборудовании и технологиях в целях обеспечения своей кибербезопасности;

получать сведения и консультации уполномоченного государственного органа о средствах и методах защиты от кибератак, а также методах их выявления и предотвращения;

разрабатывать и реализовывать меры по обеспечению своей кибербезопасности.

Субъекты кибербезопасности обязаны:

предотвращать незаконное распространение, хищение, утерю, нарушение целостности, блокировку и фальсификацию данных в информационных системах и ресурсах, а также иные виды несанкционированного доступа (входа) к информационным системам и ресурсам, принимать своевременные соответствующие меры при выявлении таких случаев;

в целях минимизации негативных последствий при нарушении порядка доступа в информационные системы и ресурсы и в случае их изменения или удаления в результате несанкционированного доступа к ним принимать меры по их оперативному восстановлению;

уведомлять уполномоченный государственный орган о произошедших инцидентах кибербезопасности и киберпреступлениях, принимать меры по недопущению утери соответствующих цифровых следов для полного раскрытия данных инцидентов, а также обеспечивать постоянное хранение сведений, необходимых для анализа инцидентов кибербезопасности и расследования киберпреступлений;

осуществлять взаимный обмен с уполномоченным государственным органом данными в сфере охраны и проведения мониторинга безопасной работы объектов кибербезопасности;

соблюдать требования кибербезопасности, определенные уполномоченным государственным органом, в обеспечении киберзащиты информационных систем и ресурсов;

обеспечивать функционирование механизмов принятия мер в отношении инцидентов кибербезопасности и работу подразделений по обеспечению кибербезопасности, а в случае их отсутствия — пользоваться услугами аутсорсинга с разрешения уполномоченного государственного органа в установленном порядке;

предоставлять уполномоченному государственному органу право доступа в мониторинговые системы и (или) объекты кибербезопасности для осуществления организационно-технических мероприятий мониторинга обеспечения кибербезопасности.

Классификация объектов кибербезопасности состоит из комплекса организационных мероприятий, направленных на определение уровня организационно-технической сложности типа объектов кибербезопасности.

Категории объектов кибербезопасности, подлежащие классификации, определяются в соответствии с законодательством.

Экспертиза на соответствие требованиям кибербезопасности осуществляется в обязательном порядке или по инициативе субъектов кибербезопасности.

Экспертизе на соответствие требованиям кибербезопасности в обязательном порядке подлежат:

информационные ресурсы государственных органов;

информационные системы государственных органов;

информационные системы, включенные в категорию объектов критической информационной инфраструктуры.

Порядок проведения экспертизы на соответствие требованиям кибербезопасности определяется уполномоченным государственным органом.

Аппаратные, аппаратно-программные и программные средства, применяемые для обеспечения кибербезопасности информационных систем и ресурсов государственных органов и организаций, а также объектов критической информационной инфраструктуры, подлежат сертификации в обязательном порядке.

Порядок сертификации аппаратных, аппаратно-программных и программных средств, применяемых для обеспечения кибербезопасности информационных систем и ресурсов, устанавливается уполномоченным государственным органом.

Аттестацией объектов информатизации и объектов критической информационной инфраструктуры является комплекс организационно-технических мероприятий, направленных на определение соответствия фактического состояния защищенности объектов информатизации требованиям государственных стандартов и нормативно-правовых актов в сфере кибербезопасности.

Категории объектов информатизации и объектов критической информационной инфраструктуры, подлежащих аттестации, определяются в соответствии с законодательством.

Порядок проведения аттестации объектов информатизации и объектов критической информационной инфраструктуры на соответствие требованиям кибербезопасности определяется уполномоченным государственным органом.

Оценкой уровня обеспечения кибербезопасности является комплекс организационно-технических мероприятий, направленных на определение состояния защищенности информационных систем и ресурсов, а также эффективности принимаемых организационных мер.

Категории объектов информатизации и объектов критической информационной инфраструктуры, подлежащих обязательной оценке, определяются в соответствии с законодательством.

Порядок оценки уровня обеспечения кибербезопасности определяется уполномоченным государственным органом.

Уполномоченный государственный орган дает обязательные к исполнению предписания об устранении недостатков, выявленных в результате оценки.

Инциденты кибербезопасности расследуются уполномоченным государственным органом или должностными лицами рабочего органа по обеспечению кибербезопасности.

Владелец информационного ресурса или информационной системы, в которой произошел инцидент кибербезопасности, может провести расследование инцидента кибербезопасности, если он обладает необходимыми ресурсами и техническими возможностями для проведения расследования. При этом уполномоченный государственный орган должен быть уведомлен о результатах расследования.

Принятие мер субъектами кибербезопасности в отношении инцидентов кибербезопасности может осуществляться в следующих формах:

предотвращение уязвимостей и ошибок в программном обеспечении и устройствах;

уничтожение вредоносных программ, ограничение их распространения, техническое ограничение источника кибератак;

изоляция объектов информатизации от реальных киберугроз;

предоставление правоохранительным органам сведений об инцидентах кибербезопасности.

Информация о выявленных в информационных системах и ресурсах уязвимостях, киберугрозах, кибератаках и других подрывных действиях, а также об объектах информатизации может быть раскрыта с разрешения субъекта кибербезопасности после принятия соответствующих мер по их защите.

Информация о выявленных киберугрозах и уязвимостях должна быть использована исключительно для их устранения и предотвращения незаконных действий.

Основными направлениями обеспечения кибербезопасности объектов критической информационной инфраструктуры являются:

создание единого комплекса мер по регулированию нормативно-правовой, организационной и технической защиты объектов критической информационной инфраструктуры;

установление требований по обеспечению кибербезопасности в информационных системах и ресурсах государственных органов и организаций, на объектах критической информационной инфраструктуры;

содействие созданию условий для эффективного обеспечения кибербезопасности объектов критической информационной инфраструктуры.

Категорирование объектов критической информационной инфраструктуры осуществляется в целях определения соответствия объектов критической информационной инфраструктуры категориям, предусмотренным частью второй настоящей статьи, а также проверки сведений по результатам категорирования.

Объекты критической информационной инфраструктуры подразделяются на следующие категории:

объекты критической информационной инфраструктуры высокого уровня;

объекты критической информационной инфраструктуры среднего уровня;

объекты критической информационной инфраструктуры низкого уровня.

Критерии категорирования объектов критической информационной инфраструктуры определяются уполномоченным государственным органом.

Уполномоченный государственный орган ведет единый реестр объектов критической информационной инфраструктуры.

Категории объектов кибербезопасности, подлежащих обязательному внесению в единый реестр объектов критической информационной инфраструктуры, определяются в соответствии с законодательством.

Порядок внесения объектов кибербезопасности в единый реестр объектов критической информационной инфраструктуры определяется уполномоченным государственным органом.

Субъекты критической информационной инфраструктуры имеют право:

получать от уполномоченного государственного органа сведения о киберугрозах, уязвимостях программного обеспечения, оборудования и технологий в целях обеспечения кибербезопасности объектов критической информационной инфраструктуры;

получать сведения и консультации от уполномоченного государственного органа о средствах и методах защиты от кибератак, а также методах их выявления и предотвращения;

разрабатывать и реализовывать меры по обеспечению кибербезопасности объектов критической информационной инфраструктуры.

Субъекты критической информационной инфраструктуры обязаны:

обеспечивать непрерывное функционирование информационных систем объектов критической информационной инфраструктуры;

доводить до сведения уполномоченного государственного органа информацию об инцидентах кибербезопасности;

оказывать содействие должностным лицам уполномоченного государственного органа или рабочего органа по обеспечению кибербезопасности в выявлении, предотвращении и устранении последствий кибератак, определении причин и условий происхождения инцидентов кибербезопасности;

устанавливать и эксплуатировать мониторинговые системы с соблюдением технических требований эксплуатации аппаратных, программных и аппаратно-программных средств для предотвращения кибератак, устранения их последствий, а также принятия мер в отношении инцидентов кибербезопасности на объектах критической информационной инфраструктуры;

обеспечивать безопасность объектов критической информационной инфраструктуры в соответствии с требованиями кибербезопасности;

выполнять указания уполномоченного государственного органа по устранению выявленных правонарушений в части обеспечения кибербезопасности на объектах критической информационной инфраструктуры;

принимать меры по устранению последствий инцидентов кибербезопасности и кибератак на объекты критической информационной инфраструктуры;

предоставлять уполномоченному государственному органу права доступа в мониторинговые системы или на объекты критической информационной инфраструктуры для осуществления организационно-технических мероприятий мониторинга состояния обеспечения кибербезопасности;

уведомлять уполномоченный государственный орган при изменении сведений об объекте, включенном в единый реестр объектов критической информационной инфраструктуры.

Субъекты критической информационной инфраструктуры обязаны выполнять установленные уполномоченным государственным органом требования по обеспечению кибербезопасности на принадлежащих им объектах критической информационной инфраструктуры.

Субъекты критической информационной инфраструктуры по согласованию с уполномоченным государственным органом, исходя из специфики работы объектов критической информационной инфраструктуры, могут устанавливать дополнительные требования для обеспечения кибербезопасности.

Сотрудники, ответственные за обеспечение кибербезопасности объектов критической информационной инфраструктуры, проходят аттестацию, проводимую уполномоченным государственным органом, в порядке, установленном законодательством.

Система обеспечения кибербезопасности объектов критической информационной инфраструктуры, созданная субъектом критической информационной инфраструктуры, на основании решения уполномоченного государственного органа подключается к системе мониторинга и управления инцидентами кибербезопасности объектов критической информационной инфраструктуры уполномоченного государственного органа.

Система обеспечения кибербезопасности объектов критической информационной инфраструктуры состоит из:

системы мониторинга и управления инцидентами кибербезопасности объектов критической информационной инфраструктуры уполномоченного государственного органа;

систем обеспечения кибербезопасности объектов критической информационной инфраструктуры.

Информация об инцидентах кибербезопасности в системе обеспечения кибербезопасности является ограниченной к распространению. Данная информация может быть раскрыта после полного устранения инцидентов.

Оценка кибербезопасности объектов критической информационной инфраструктуры осуществляется в целях определения состояния (уровня) защищенности данных объектов от различных киберугроз в рамках государственного контроля в сфере кибербезопасности.

Оценка кибербезопасности объектов критической информационной инфраструктуры осуществляется с разрешения уполномоченного государственного органа с привлечением специализированных организаций.

Государственной поддержкой субъектов кибербезопасности являются:

совершенствование нормативно-правовой базы в сфере кибербезопасности;

предоставление субъектам кибербезопасности налоговых, таможенных льгот и преференций;

создание условий для привлечения средств хозяйствующих субъектов для финансирования сферы кибербезопасности;

организация государственных закупок в сфере кибербезопасности, нацеленных на обеспечение гарантированного внедрения продуктов и передовых технологий, основанных на научно-технических достижениях;

оказание содействия в подготовке и переподготовке кадров в сфере кибербезопасности, а также повышении их квалификации.

Поддержка научно-технической и инновационной деятельности в сфере кибербезопасности осуществляется органами государственного управления, органами государственной власти на местах и хозяйствующими субъектами посредством:

размещения заказа для выполнения научно-исследовательских, опытно-конструкторских и технологических работ в рамках государственного заказа;

выделения субсидий субъектам кибербезопасности для финансирования научно-исследовательских, конструкторских и технологических работ, проводимых в процессе реализации инвестиционных проектов;

стимулирования спроса на инновационную продукцию, в том числе оптимизации закупаемых для государственных нужд товаров (работ, услуг);

оказания финансовой помощи организациям, реализующим проекты по улучшению уровня кибербезопасности, в том числе занимающимся инновационной деятельностью в оказании услуг с использованием имеющихся передовых технологий;

создания условий для осуществления научной, научно-технической и инновационной деятельности в сфере кибербезопасности и обеспечения кибербезопасности объектов критической информационной инфраструктуры;

предоставления приоритета продукции отечественного производства при проведении государственных закупок, связанных с обеспечением кибербезопасности.

Поддержка развития кадрового потенциала органов государственного управления, органов государственной власти на местах и хозяйствующих субъектов в сфере обеспечения кибербезопасности может осуществляться посредством:

предоставления финансовой, информационно-консультационной помощи организациям, осуществляющим деятельность по переподготовке и повышению квалификации кадров в сфере обеспечения кибербезопасности;

оказания учебно-методической и научно-педагогической помощи в сфере обеспечения кибербезопасности.

Работники, ответственные за обеспечение кибербезопасности субъектов критической информационной инфраструктуры, на постоянной основе должны повышать свою квалификацию в соответствии с международными и государственными стандартами и требованиями.

Стимулирование работников, ответственных за обеспечение кибербезопасности объектов критической информационной инфраструктуры, осуществляется в установленном законодательством порядке.

Уполномоченный государственный орган в пределах своих полномочий осуществляет международное сотрудничество в сфере кибербезопасности.

Уполномоченный государственный орган в соответствии с законодательством и международными договорами Республики Узбекистан по запросу предоставляет иностранным государствам и международным организациям информацию по вопросам борьбы с международной киберпреступностью.

Информация по вопросам борьбы с международной киберпреступностью может быть представлена иностранным государствам и международным организациям предварительно без запроса, если такие сведения не препятствуют следственным действиям или судебному процессу и служат приостановлению кибератак, своевременному выявлению и устранению преступных действий, совершаемых с использованием киберпространства.

Лица, виновные в нарушении законодательства о кибербезопасности, несут ответственность в установленном порядке.

Службе государственной безопасности Республики Узбекистан и другим заинтересованным организациям обеспечить исполнение, доведение до исполнителей и разъяснение среди населения сути и значения настоящего Закона.

Кабинету Министров Республики Узбекистан:

привести решения правительства в соответствие с настоящим Законом;

обеспечить пересмотр и отмену органами государственного управления их нормативно-правовых актов, противоречащих настоящему Закону.

Настоящий Закон вступает в силу по истечении трех месяцев со дня его официального опубликования.