За последние годы в нашей стране созданы прочные правовые основы в сфере предотвращения преступлений, совершаемых с использованием информационных технологий, обеспечения надежной защиты интересов личности, общества и государства от внешних и внутренних угроз в киберпространстве.

В связи с развитием информационно-коммуникационных технологий возникает необходимость повышения уровня мер по обеспечению информационной безопасности и кибербезопасности в деятельности кредитных организаций и небанковских кредитных организаций.

Данным Законом вносятся изменения и дополнения в законодательные акты, регулирующие деятельность Центрального банка Республики Узбекистан, отношения в сфере обеспечения информационной безопасности и кибербезопасности в деятельности банков, небанковских кредитных организаций, операторов платежных систем, электронного правительства, а также в сфере защиты информации в автоматизированной банковской системе и банковской тайны.

Настоящий Закон послужит усилению информационной безопасности и обеспечению кибербезопасности в деятельности кредитных организаций и небанковских кредитных организаций и системе электронного правительства, а также предотвращению правонарушений, совершаемых с помощью информационно-коммуникационных технологий.

Статья 1. В диспозиции части второй статьи 155¹ Кодекса Республики Узбекистан об административной ответственности, утвержденного Законом Республики Узбекистан от 22 сентября 1994 года № 2015-ХII (Ведомости Верховного Совета Республики Узбекистан, 1995 г., № 3, ст. 6; Ведомости Олий Мажлиса Республики Узбекистан, 1995 г., № 9, ст. 193, № 12, ст. 269; 1996 г., № 5-6, ст. 69, № 9, ст. 144; 1997 г., № 2, ст. 56, № 4-5, ст. 126, № 9, ст. 241; 1998 г., № 3, ст. 38, № 5-6, ст. 102, № 9, ст. 181; 1999 г., № 1, ст. 20, № 5, ст. 124, № 9, ст. 229; 2000 г., № 5-6, ст. 153, № 7-8, ст. 217; 2001 г., № 1-2, ст. 23, № 9-10, ст.ст. 165, 182; 2002 г., № 1, ст. 20, № 9, ст. 165; 2003 г., № 1, ст. 8, № 5, ст. 67, № 9-10, ст. 149; 2004 г., № 1-2, ст. 18, № 5, ст. 90, № 9, ст. 171; 2005 г., № 1, ст. 18; Ведомости палат Олий Мажлиса Республики Узбекистан, 2005 г., № 9, ст. 312, № 12, ст.ст. 413, 417, 418; 2006 г., № 6, ст. 261, № 9, ст. 498, № 10, ст. 536, № 12, ст.ст. 656, 659; 2007 г., № 4, ст.ст. 158, 159, 164, 165, № 9, ст.ст. 416, 421, № 12, ст.ст. 596, 604, 607; 2008 г., № 4, ст.ст. 181, 189, 192, № 9, ст.ст. 486, 488, № 12, ст.ст. 640, 641; 2009 г., № 1, ст. 1, № 9, ст.ст. 334, 335, 337, № 10, ст. 380, № 12, ст.ст. 462, 468, 470, 472, 474; 2010 г., № 5, ст.ст. 175, 179, № 6, ст. 231, № 9, ст.ст. 335, 339, 341, № 10, ст. 380, № 12, ст.ст. 468, 473, 474; 2011 г., № 1, ст. 1, № 4, ст.ст. 104, 105, № 9, ст.ст. 247, 252, № 12/2, ст. 365; 2012 г., № 4, ст. 108, № 9/1, ст. 242, № 12, ст. 336; 2013 г., № 4, ст. 98, № 10, ст. 263; 2014 г., № 1, ст. 2, № 5, ст. 130, № 9, ст. 244, № 12, ст.ст. 341, 343; 2015 г., № 6, ст. 228, № 8, ст.ст. 310, 312, № 12, ст. 452; 2016 г., № 1, ст. 2, № 4, ст. 125, № 9, ст. 276, № 12, ст.ст. 383, 385; 2017 г., № 4, ст. 137, № 6, ст. 300, № 9, ст. 510, № 10, ст. 605; 2018 г., № 1, ст.ст. 1, 4, 5, № 4, ст. 224, № 7, ст.ст. 430, 431, 432, № 10, ст.ст. 671, 673, 679; 2019 г., № 1, ст.ст. 1, 3, 5, № 2, ст. 47, № 3, ст.ст. 161, 165, 166, № 5, ст.ст. 259, 261, 267, 268, № 7, ст. 386, № 8, ст.ст. 469, 471, № 9, ст.ст. 591, 592, № 10, ст.ст. 674, 676, № 11, ст.ст. 787, 791, № 12, ст.ст. 880, 891; 2020 г., № 1, ст. 4, № 3, ст.ст. 203, 204, № 7, ст. 449, № 9, ст.ст. 539, 540, № 10, ст.ст. 593, 596, № 11, ст. 651, № 12, ст. 691; 2021 г., № 1, ст.ст. 5, 7, 12, 13, 14, № 2, ст. 142, № 3, ст. 217, № 4, ст.ст. 290, 293, приложение к № 4, № 8, ст.ст. 800, 802, 803, № 9, ст. 903, № 10, ст.ст. 966, 967, 968, 973, № 11, ст. 1066; 2022 г., № 1, ст.ст. 1, 2, № 2, ст.ст. 80, 81, № 3, ст.ст. 215, 216, № 4, ст. 337, № 5, ст.ст. 464, 465, 466, 467, № 8, ст. 787, № 10, ст.ст. 981, 984, № 12, ст. 1188; 2023 г., № 3, ст.ст. 184, 185, 188, 189, № 4, ст.ст. 265, 266, 268, № 5, ст.ст. 319, 320, № 7, ст.ст. 533, 534, 535, 537, 539, № 8, ст. 634, № 10, ст. 798, № 11, ст.ст. 921, 923, 924, № 12, ст. 1004; 2024 г., № 1, ст.ст. 5, 7, 8, 9, № 2, ст.ст. 102, 111, 115, 116, № 3, ст.ст. 243, 245), слова «особо важную» заменить словом «конфиденциальную».

Статья 2. Внести в Закон Республики Узбекистан от 21 декабря 1995 года № 154-I «О Центральном банке Республики Узбекистан» (в редакции Закона Республики Узбекистан от 11 ноября 2019 года № ЗРУ-582) (Ведомости палат Олий Мажлиса Республики Узбекистан, 2019 г., № 11, ст. 790; 2021 г., приложение к № 4, № 10, ст. 968; 2022 г., № 3, ст. 217, № 4, ст. 340; 2023 г., № 11, ст. 923) следующие дополнения и изменения:

1) часть первую статьи 11 дополнить абзацами двадцать третьим, двадцать четвертым и двадцать пятым следующего содержания:

«принимает меры по выявлению и предотвращению угроз информационной безопасности и кибербезопасности в деятельности микрофинансовых организаций, ломбардов, организаций по рефинансированию ипотеки (далее — небанковские кредитные организации), а также банков, платежных организаций, операторов платежных систем, валютных бирж и кредитных бюро;

осуществляет мониторинг за деятельностью банков и небанковских кредитных организаций (далее — кредитные организации), платежных организаций, операторов платежных систем, валютных бирж, кредитных бюро по выявлению и предотвращению угроз информационной безопасности и кибербезопасности;

определяет порядок оперативного обмена с Центральным банком информацией об инцидентах и угрозах кибербезопасности, выявленных в деятельности кредитных организаций, платежных организаций, операторов платежных систем, валютных бирж и кредитных бюро»;

2) в части первой статьи 12:

в абзаце десятом слова «микрофинансовых организаций, ломбардов, организаций по рефинансированию ипотеки (далее — небанковские кредитные организации)» заменить словами «небанковских кредитных организаций»;

в абзаце семнадцатом слова «банков и небанковских кредитных организаций (далее — кредитные организации)» заменить словами «кредитных организаций»;

дополнить абзацами восемнадцатым — двадцать вторым следующего содержания:

«по согласованию с уполномоченным государственным органом в сфере кибербезопасности выявляет объекты критической информационной инфраструктуры кредитных организаций, платежных организаций, операторов платежных систем, валютных бирж и кредитных бюро, разрабатывает требования по формированию их реестра и обеспечению кибербезопасности;

проводит в соответствии с порядком, установленным уполномоченным государственным органом в сфере кибербезопасности, экспертизу информационных систем и ресурсов, объектов критической информационной инфраструктуры кредитных организаций, платежных организаций, операторов платежных систем, валютных бирж и кредитных бюро на соответствие требованиям кибербезопасности;

проводит аудит информационной безопасности и кибербезопасности объектов информатизации кредитных организаций, платежных организаций, операторов платежных систем, валютных бирж и кредитных бюро;

ведет рейтинг по уровню обеспечения информационной безопасности и кибербезопасности в деятельности кредитных организаций, платежных организаций, операторов платежных систем, валютных бирж и кредитных бюро»;

выдает кредитным организациям, платежным организациям, операторам платежных систем, валютным биржам и кредитным бюро обязательные для исполнения предписания и принимает нормативные документы по предотвращению и (или) устранению угроз кибербезопасности (в том числе хищений, связанных с банковскими картами)»;

абзац восемнадцатый считать абзацем двадцать третьим;

3) в части второй статьи 17 текста на узбекском языке слово «махфийдир» заменить словом «конфиденциалдир»;

4) в части третьей статьи 58 текста на узбекском языке слово «махфий» заменить словом «конфиденциал»;

5) в абзаце двенадцатом части первой статьи 60 слова «информационной безопасности» заменить словами «информационной безопасности и кибербезопасности».

Статья 3. Внести в Закон Республики Узбекистан от 25 апреля 1996 года № 216-I «О банках и банковской деятельности» (в редакции Закона Республики Узбекистан от 5 ноября 2019 года № ЗРУ-580) (Ведомости палат Олий Мажлиса Республики Узбекистан, 2019 г., № 11, ст. 788; 2020 г., № 1, ст. 1; 2021 г., приложение к № 4, № 10, ст. 968; 2023 г., № 4, ст. 267, № 11, ст. 923; 2024 г., № 2, ст.ст. 105, 111) следующие изменения и дополнение:

1) в абзаце втором части второй статьи 42 слова «информационной безопасности» заменить словами «информационной безопасности и кибербезопасности»;

2) в части третьей статьи 48 текста на узбекском языке слово «махфий» заменить словом «конфиденциал»;

3) в статье 51:

в абзаце четвертом части первой слова «информационную безопасность» заменить словами «информационную безопасность и кибербезопасность»;

в части второй:

дополнить абзацем четырнадцатым следующего содержания:

«исполнения направленных предписаний по устранению выявленных недостатков в обеспечении информационной безопасности и кибербезопасности»;

абзацы четырнадцатый — девятнадцатый считать соответственно абзацами пятнадцатым — двадцатым;

4) абзац двадцать третий части первой статьи 54 изложить в следующей редакции:

«нарушение требований законодательства о банковской тайне, законодательства о противодействии легализации доходов, полученных от преступной деятельности, финансированию терроризма и финансированию распространения оружия массового уничтожения, а также нарушение требований законодательства, повлекшее возникновение киберугрозы или инцидента кибербезопасности в банковских информационных системах».

Статья 4. В части четвертой статьи 7 Закона Республики Узбекистан от 30 августа 2003 года № 530-II «О банковской тайне» (Ведомости Олий Мажлиса Республики Узбекистан, 2003 г., № 9‒10, ст. 144; Ведомости палат Олий Мажлиса Республики Узбекистан, 2005 г., № 9, ст. 312; 2009 г., № 9, ст. 337; 2012 г., № 4, ст. 105; 2016 г., № 4, ст. 125; 2017 г., № 9, ст. 510; 2019 г., № 1, ст. 5; 2021 г., приложение к № 4, № 6, ст. 524; 2022 г., № 4, ст. 337) слова «организационные и технические меры» заменить словами «организационные и технические меры, в том числе по обеспечению информационной безопасности и кибербезопасности».

Статья 5. Внести в Закон Республики Узбекистан от 4 августа 2006 года № ЗРУ-30 «О защите информации в автоматизированной банковской системе» (Ведомости палат Олий Мажлиса Республики Узбекистан, 2006 г., № 4, ст. 156; 2021 г., приложение к № 4) следующие изменения и дополнение:

1) в абзаце втором статьи 4 слова «информационной безопасности» заменить словами «информационной безопасности и кибербезопасности информационных систем и ресурсов»;

2) абзац второй статьи 5 после слов «защите информации» дополнить словами «обеспечению информационной безопасности и кибербезопасности информационных систем и ресурсов»;

3) в части пятой статьи 7 текста на узбекском языке слово «махфий» заменить словом «конфиденциал»;

4) в статье 8 текста на узбекском языке слово «махфий» заменить словом «конфиденциал».

Статья 6. Внести в Закон Республики Узбекистан от 9 декабря 2015 года № ЗРУ-395 «Об электронном правительстве» (Ведомости палат Олий Мажлиса Республики Узбекистан, 2015 г., № 12, ст. 451; 2021 г., приложение к № 4) следующие изменения:

1) абзац восьмой статьи 5 изложить в следующей редакции:

«обеспечение информационной безопасности и кибербезопасности информационных систем и информационных ресурсов электронного правительства»;

2) в статье 12:

наименование изложить в следующей редакции:

«Статья 12. Принцип обеспечения информационной безопасности и кибербезопасности информационных систем и информационных ресурсов электронного правительства»;

в части первой слова «информационную безопасность» заменить словами «информационную безопасность и кибербезопасность»;

3) в абзаце тринадцатом части второй статьи 15 слова «информационной безопасности» заменить словами «информационной безопасности и кибербезопасности»;

4) в абзаце десятом части первой статьи 16 слова «информационной безопасности» заменить словами «информационной безопасности и кибербезопасности».

Статья 7. Внести в Закон Республики Узбекистан от 1 ноября 2019 года № ЗРУ-578 «О платежах и платежных системах» (Ведомости палат Олий Мажлиса Республики Узбекистан, 2019 г., № 11, ст. 786; 2021 г., приложение к № 4, № 10, ст. 968; 2022 г., № 4, ст. 340; 2024 г., № 2, ст. 105) следующие изменения и дополнения:

1) в абзаце шестом части третьей статьи 7 слова «требований информационной безопасности и» заменить словами «требований информационной безопасности и кибербезопасности, а также»;

2) в абзаце восьмом части первой статьи 8 слова «информационной безопасности» заменить словами «информационной безопасности и кибербезопасности»;

3) в части второй статьи 15 слова «информационной безопасности и» заменить словами «информационной безопасности и кибербезопасности и»;

4) часть шестую статьи 17 дополнить абзацами шестым и седьмым следующего содержания:

«устранение нарушений, влияющих на бесперебойное функционирование платежной системы, в течение трех месяцев со дня направления первого предписания Центрального банка;

устранение нарушений, влияющих на обеспечение информационной безопасности и кибербезопасности, в течение трех месяцев со дня направления первого предписания Центрального банка»;

5) в абзаце шестнадцатом части второй статьи 21 слова «информационной безопасности» заменить словами «информационной безопасности и кибербезопасности»;

6) абзац одиннадцатый части третьей статьи 22 изложить в следующей редакции:

«документ о политике безопасности, включая подробную оценку рисков, а также описание мер, обеспечивающих информационную безопасность и кибербезопасность и минимизацию рисков для обеспечения защиты пользователя платежной услуги, включая риски мошенничества и незаконного использования конфиденциальных и персональных данных»;

7) абзац седьмой части первой статьи 23 после слов «бесперебойность функционирования платежной системы» дополнить словами «а также обеспечение информационной безопасности и кибербезопасности»;

8) абзац девятый части второй статьи 24 изложить в следующей редакции:

«документ о политике безопасности, включая подробную оценку рисков, а также описание мер, обеспечивающих информационную безопасность и кибербезопасность и минимизацию рисков для обеспечения защиты пользователя платежной услуги, включая риски мошенничества и незаконного использования конфиденциальных и персональных данных»;

9) в статье 57:

в наименовании слова «информационной безопасности» заменить словами «информационной безопасности и кибербезопасности»;

в части первой слова «информационной безопасности» заменить словами «информационной безопасности и кибербезопасности»;

часть вторую изложить в следующей редакции:

«В случае нарушения режима информационной безопасности и кибербезопасности операторы платежных систем и поставщики платежных услуг обязаны оперативно после обнаружения нарушения сообщить об этом и принимаемых мерах для минимизации его последствий в Центральный банк. Центральный банк осуществляет формирование и ведение базы данных о нарушениях режима информационной безопасности и кибербезопасности платежных систем».

Статья 8. Внести в Закон Республики Узбекистан от 20 апреля 2022 года № ЗРУ-765 «О небанковских кредитных организациях и микрофинансовой деятельности» (Ведомости палат Олий Мажлиса Республики Узбекистан, 2019 г., № 4, ст. 340; 2024 г., № 2, ст. 114) следующие дополнение и изменения:

1) в части первой статьи 28:

дополнить абзацем четвертым следующего содержания:

«несоблюдение требований по обеспечению информационной безопасности и кибербезопасности»;

абзац четвертый считать абзацем пятым;

2) в статье 37:

в части первой текста на узбекском языке слово «махфийлигини» заменить словом «конфиденциаллигини»;

в части второй текста на узбекском языке слово «Махфий» заменить словом «Конфиденциал».

Статья 9. Службе государственной безопасности Республики Узбекистан и другим заинтересованным организациям обеспечить исполнение, доведение до исполнителей и разъяснение среди населения сути и значения настоящего Закона.

Статья 10. Кабинету Министров Республики Узбекистан:

привести решения правительства в соответствие с настоящим Законом;

обеспечить пересмотр и отмену республиканскими органами исполнительной власти их нормативно-правовых актов, противоречащих настоящему Закону.

Статья 11. Настоящий Закон вступает в силу по истечении трех месяцев со дня его официального опубликования.