Постановление
Президента Республики Узбекистан
О мерах по организации криптографической защиты информации в Республике Узбекистан
[Извлечение]
См. предыдущую редакцию.
В соответствии с законами Республики Узбекистан «Об информатизации» и «О государственных секретах», а также в целях упорядочения деятельности по защите информации, содержащей сведения, составляющие государственные секреты, с использованием средств криптографической защиты информации и криптографических систем:
(преамбула в редакции Указа Президента Республики Узбекистан от 11 сентября 2025 года № УП-171)
См. предыдущую редакцию.
1. Установить, что Служба государственной безопасности Республики Узбекистан является уполномоченным органом, осуществляющим единую государственную политику и обеспечивающим проведение сертификации продукции (услуг) в области криптографической защиты информации.
(пункт 1 в редакции Указа Президента Республики Узбекистан от 5 июня 2018 года № УП-5456 — Национальная база данных законодательства, 07.06.2018 г., № 06/18/5456/1316)
См. предыдущую редакцию.
2. Определить основными задачами Службы государственной безопасности в области криптографической защиты информации:
(абзац первый пункта 2 в редакции Указа Президента Республики Узбекистан от 5 июня 2018 года № УП-5456 — Национальная база данных законодательства, 07.06.2018 г., № 06/18/5456/1316)
формирование и реализацию стратегических приоритетов в области развития и использования средств и систем криптографической защиты информации в соответствии с современными требованиями и стандартами;
обеспечение стандартизации, сертификации и лицензирования, совершенствования нормативно-правовой базы в сфере криптографической защиты информации;
организацию научно-исследовательских работ и подготовки высококвалифицированных кадров в области криптографической защиты информации, разработки отечественных средств криптографической защиты информации.
3. Установить, что обязательной сертификации подлежат средства криптографической защиты информации, в том числе зарубежного производства, используемые при криптографической защите:
См. предыдущую редакцию.
информации, содержащей сведения, составляющие государственные секреты;
(абзац второй пункта 3 в редакции Указа Президента Республики Узбекистан от 11 сентября 2025 года № УП-171)
конфиденциальной информации, собственником которой являются государственные организации;
конфиденциальной информации в организациях независимо от их ведомственной принадлежности и форм собственности при поставке ими товаров и услуг для нужд государственных организаций.
4. Утвердить:
Положение о криптографической защите информации в Республике Узбекистан согласно приложению № 1;
Положение о сертификации средств криптографической защиты информации в Республике Узбекистан согласно приложению № 2.
5. Службе национальной безопасности (Р. Иноятов) совместно с Агентством «Узстандарт» (Р. Буриев) организовать разработку соответствующих стандартов, нормативных и других документов в сфере криптографической защиты информации.
6. Министерству высшего и среднего специального образования (Р. Касымов), по согласованию с СНБ, обеспечить разработку государственных образовательных стандартов в сфере криптографической защиты информации.
7. Агентству «Узстандарт» (Р. Буриев) в установленном порядке провести аккредитацию СНБ на право проведения сертификации продукции (услуг) в области криптографической защиты информации.
См. предыдущую редакцию.
8. Министерству по развитию информационных технологий и коммуникаций Республики Узбекистан при проведении экспертизы проектов по созданию информационных систем, предусматривающих использование средств криптографической защиты информации или криптосистем, обеспечивать согласование указанных проектов с СГБ.
(пункт 8 в редакции Указа Президента Республики Узбекистан от 5 июня 2018 года № УП-5456 — Национальная база данных законодательства, 07.06.2018 г., № 06/18/5456/1316)
См. предыдущую редакцию.
9. Освободить программные и технические средства, контрольно-измерительные и исследовательские комплексы, а также эксплуатационные материалы, приобретаемые в целях проведения научно-исследовательских и опытно-конструкторских работ по созданию отечественных средств криптографической защиты информации от уплаты таможенных платежей (за исключением сборов за таможенное оформление) при наличии письменного подтверждения СГБ.
(пункт 9 в редакции Указа Президента Республики Узбекистан от 5 июня 2018 года № УП-5456 — Национальная база данных законодательства, 07.06.2018 г., № 06/18/5456/1316)
10. Службе национальной безопасности (Р. Иноятов) совместно с Министерством юстиции и другими заинтересованными министерствами и ведомствами в двухмесячный срок внести в Кабинет Министров предложения об изменениях и дополнениях в действующее законодательство, вытекающие из настоящего постановления.
11. Контроль за выполнением настоящего постановления возложить на Премьер-министра Республики Узбекистан Ш. Мирзияева и Секретаря Совета национальной безопасности при Президенте Республики Узбекистан М. Атаева.
Президент Республики Узбекистан И. КАРИМОВ
г. Ташкент,
3 апреля 2007 г.,
№ ПП-614
ПОЛОЖЕНИЕ
о криптографической защите информации в Республике Узбекистан
I. Общие положения
1. Настоящее Положение определяет порядок осуществления криптографической защиты информации, включая разработку, реализацию, использование, ввоз и вывоз из страны средств криптографической защиты информации, подлежащей защите в соответствии с законодательством Республики Узбекистан (далее — конфиденциальная информация) или содержащей государственные секреты.
2. Требования настоящего Положения являются обязательным при криптографической защите:
См. предыдущую редакцию.
информации, содержащей сведения, составляющие государственные секреты;
(абзац второй пункта 2 в редакции Указа Президента Республики Узбекистан от 11 сентября 2025 года № УП-171)
конфиденциальной информации, собственником которой являются государственные организации;
конфиденциальной информации в организациях независимо от их ведомственной принадлежности и форм собственности при поставке ими товаров и услуг для нужд государственных организаций.
В остальных случаях требования настоящего Положения носят рекомендательный характер.
3. В настоящем Положении используются следующие основные понятия:
криптографическая защита информации — комплекс мероприятий, направленных на обеспечение целостности, доступности и конфиденциальности информации, осуществляемых при помощи алгоритмов криптографического преобразования (криптоалгоритмов);
криптографический алгоритм (криптоалгоритм) — математический алгоритм преобразования информации (данных) с целью предотвращения возможности ее искажения и защиты от несанкционированного доступа;
средства криптографической защиты информации (СКЗИ) — аппаратные, программные или аппаратно-программные средства, осуществляющие криптографические преобразования информации для обеспечения ее безопасности, в том числе:
а) средства шифрования — аппаратные, программные и аппаратно-программные средства, реализующие криптографические алгоритмы преобразования информации и предназначенные для защиты информации от несанкционированного доступа при ее обработке, хранении и передаче по каналам связи;
б) средства имитозащиты — аппаратные, программные и аппаратно-программные средства, реализующие криптографические алгоритмы преобразования информации и предназначенные для защиты от навязывания ложной информации;
в) средства электронной цифровой подписи — совокупность технических и программных средств, обеспечивающих создание электронной цифровой подписи в электронном документе, подтверждение подлинности электронной цифровой подписи, создание открытых и закрытых ключей электронной цифровой подписи;
г) средства кодирования — средства, реализующие алгоритмы криптографического преобразования информации с выполнением части преобразования путем ручных операций;
д) средства изготовления ключевых документов и сами ключевые документы (независимо от вида носителя ключевой информации);
криптографическая система (криптосистема) — совокупность организационных, технических и программных средств, обеспечивающих криптографическое преобразование информации и (или) управление, в том числе автоматизированное, процессом изготовления и распределения криптографических ключей.
См. предыдущую редакцию.
4. Специально уполномоченным органом в области криптографической защиты информации является Служба государственной безопасности Республики Узбекистан (далее — Уполномоченный орган).
(пункт 4 в редакции Указа Президента Республики Узбекистан от 5 июня 2018 года № УП-5456 — Национальная база данных законодательства, 07.06.2018 г., № 06/18/5456/1316)
5. Криптографическая защита информации в информационно-коммуникационных системах (в системах связи, локальных и корпоративных компьютерных сетях) является составной частью работ по их созданию и эксплуатации.
См. предыдущую редакцию.
6. Деятельность, связанную с проектированием, разработкой, производством, ввозом, вывозом, реализацией, использованием и ремонтом СКЗИ и криптосистем, а также с предоставлением услуг по криптографической защите информации, могут осуществлять юридические лица Республики Узбекистан, имеющие лицензию на право осуществления отдельных видов деятельности в области криптографической защиты информации.
(пункт 6 в редакции постановления Президента Республики Узбекистан от 28 января 2025 года № ПП-30 — Национальная база данных законодательства, 29.01.2025 г., № 07/25/30/0078)
См. предыдущую редакцию.
7. К использованию и ремонту криптосистем и средств криптографической защиты секретной информации допускаются лица, получившие допуск на использование государственных секретов.
(пункт 7 в редакции Указа Президента Республики Узбекистан от 11 сентября 2025 года № УП-171)
Комментарий LexUzСм.: Закон Республики Узбекистан «О государственных секретах».
8. Качество криптографической защиты информации обеспечивается реализацией требований по безопасности информации, предъявляемых к СКЗИ, ключевым документам и системам, использующим СКЗИ, а также полнотой проведения сертификационных испытаний.
9. В целях криптографической защиты информации используются СКЗИ, имеющие сертификат соответствия, а также криптосистемы, пользование которыми согласовано с Уполномоченным органом.
10. Порядок сертификации, допуска к эксплуатации СКЗИ, а также контроля за соблюдением требований безопасности при использовании СКЗИ определяется соответствующими положениями.
Комментарий LexUzСм.: Закон Республики Узбекистан «Об информатизации».
11. Подготовка кадров в области криптографической защиты информации в образовательных учреждениях Республики Узбекистан осуществляется при методическом руководстве Уполномоченного органа и обязательным согласованием с ним учебных программ дисциплин по криптологии.
12. В соответствии с настоящим Положением министерства, ведомства и органы государственной власти на местах, предприятия и учреждения разрабатывают и утверждают ведомственные инструкции по криптографической защите информации.
Ведомственные инструкции по криптографической защите информации подлежат согласованию с Уполномоченным органом.
II. Порядок разработки СКЗИ
13. Разработка новых или модернизация используемых (далее — разработка) СКЗИ осуществляется в соответствии с требованиями нормативно-правовых актов и стандартов Республики Узбекистан в сфере криптографической защиты информации и настоящего Положения.
14. При разработке СКЗИ используется лицензионное программное обеспечение.
15. Задание на разработку СКЗИ составляется заказчиком по согласованию с Уполномоченным органом.
16. Разработка СКЗИ осуществляется путем проведения необходимых научно-исследовательских работ (далее — НИР) и опытно-конструкторских разработок (далее — ОКР).
17. НИР (ОКР) по созданию новых образцов СКЗИ проводится на основе технического задания (далее — ТЗ), разработанного в соответствии с действующими в Республике Узбекистан нормативными документами.
18. ТЗ на проведение НИР по разработке СКЗИ заказчик направляет на рассмотрение в Уполномоченный орган, который в течение месяца с момента получения обязан согласовать ТЗ или дать мотивированный отказ.
19. ТЗ на проведение НИР, согласованное с Уполномоченным органом, утверждается заказчиком СКЗИ.
20. Результатом НИР является проект ТЗ на проведение ОКР по разработке СКЗИ и технико-экономическое обоснование данной ОКР.
21. В ТЗ на проведение ОКР должны указываться следующие дополнительные сведения:
цель криптографической защиты информации, с описанием предполагаемой модели действий нарушителя, определяющей возможные угрозы, которым должно противостоять разрабатываемое СКЗИ;
количество ключей, одновременно используемых в СКЗИ, предполагаемый срок их действия, организация их смены, тип ключевого носителя, порядок и срок уничтожения;
вид системы изготовления ключей (встроенная в СКЗИ или внешняя), требования по безопасности информации, которые должны обеспечиваться применяемой системой изготовления (распределения) ключей;
сведения по планируемому порядку и срокам проведения работ, включая проведение экспертных криптографических, инженерно-криптографических, специальных исследований СКЗИ и работ по выявлению в технических средствах, входящих в состав СКЗИ возможностей, предназначенных для негласного получения информации, разработку технических требований на ключевые документы с указанием этапов ОКР;
сведения о системе, в составе которой планируется использование разрабатываемого СКЗИ, ее основные технические характеристики, а также вид защищаемой информации (речевая, текстовая, графическая и другая). При модернизации СКЗИ также приводится его полное наименование и индекс;
данные о предполагаемом разработчике (наименование юридического лица, его адрес, номер контактного телефона) и соразработчике (при его наличии), а также изготовителе СКЗИ или ключевых документов с указанием номеров лицензий на право осуществления отдельных видов деятельности в области криптографической защиты информации и сроков их действия;
перечень юридических лиц, с помощью которых планируется осуществлять сервисное (техническое) обслуживание разрабатываемых СКЗИ в процессе их использования, с указанием номеров лицензий на право осуществления отдельных видов деятельности в области криптографической защиты информации и сроков их действия.
22. ТЗ на проведение ОКР заказчик СКЗИ направляет на рассмотрение в Уполномоченный орган, который в течение месяца с момента получения обязан согласовать ТЗ или дать мотивированный отказ.
23. ТЗ на проведение ОКР, согласованное с Уполномоченным органом, утверждается заказчиком.
24. Правила пользования к разрабатываемым СКЗИ составляются разработчиком и согласовываются с Уполномоченным органом.
25. При поведении ОКР создается конструкторская документация (далее — КД) на разрабатываемое СКЗИ.
26. В целях оценки достаточности мер противодействию возможным угрозам безопасности информации, определенным моделью действий нарушителя, изложенной в ТЗ на проведение ОКР, при разработке, производстве и эксплуатации СКЗИ проводятся криптографические, инженерно-криптографические и специальные исследования СКЗИ (далее — тематические исследования СКЗИ).
См. предыдущую редакцию.
Тематические исследования СКЗИ проводятся организациями, имеющими право на осуществление деятельности по разработке средств криптографической защиты информации.
(абзац второй пункта 26 в редакции постановления Президента Республики Узбекистан от 28 января 2025 года № ПП-30 — Национальная база данных законодательства, 29.01.2025 г., № 07/25/30/0078)
27. Экспертиза результатов тематических исследований СКЗИ осуществляется Уполномоченным органом. По результатам экспертизы определяется возможность допуска СКЗИ к эксплуатации.
28. Тематические исследования СКЗИ и экспертиза их результатов являются отдельным этапом ОКР, составляют ее неотъемлемую часть и не могут быть объединены с другими этапами выполнения ОКР.
29. КД на СКЗИ согласовывается с Уполномоченным органом и передается в производство при наличии:
положительных результатов испытаний функционирования СКЗИ в штатных режимах;
положительных результатов экспертизы тематических исследований СКЗИ;
правил пользования СКЗИ, согласованных с Уполномоченным органом.
III. Порядок производства СКЗИ
30. Принятие решения о производстве СКЗИ осуществляется после согласования КД на СКЗИ, доработки опытных образцов по результатам испытаний штатного функционирования СКЗИ и оценки их соответствия требованиям по безопасности информации.
31. Производство СКЗИ осуществляется в соответствии с техническими условиями, согласованными с Уполномоченным органом.
32. СКЗИ изготавливаются в полном соответствии с конструкцией и технологией изготовления опытных образцов СКЗИ, прошедших испытания на функционирование в штатных режимах и имеющих положительное заключение экспертизы тематических исследований СКЗИ.
33. Изменения в конструкции СКЗИ и технологии их изготовления изготовитель СКЗИ должен согласовывать с Уполномоченным органом. Согласование внесения изменений в конструкцию СКЗИ и технологию их изготовления осуществляется путем представления изготовителем СКЗИ в Уполномоченный орган обоснованного перечня предполагаемых изменений и получения соответствующих положительных заключений.
34. Производство ключевых документов с использованием внешней системы изготовления осуществляется при наличии положительного заключения Уполномоченного органа о соответствии изготавливаемых с использованием данной системы ключевых документов требованиям по безопасности информации.
35. Эксплуатационно-техническая документация к производимым СКЗИ составляются разработчиком и согласовываются с Уполномоченным органом.
36. Контроль за соблюдением требований технических условий при производстве СКЗИ осуществляется Уполномоченным органом.
IV. Порядок реализации (распространения) СКЗИ
37. СКЗИ реализуются (распространяются) вместе с правилами пользования и эксплуатационно-технической документацией к ним, согласованными с Уполномоченным органом.
38. Реализация (распространение) СКЗИ или КД к ним осуществляется юридическим лицом, имеющим лицензию на право осуществления данного вида деятельности.
39. Приобретение КД к СКЗИ (включая тиражирование программных СКЗИ) осуществляют юридические лица, являющиеся разработчиками и/или изготовителями СКЗИ.
40. Реализация (распространение) СКЗИ и/или КД к ним резидентам зарубежных стран осуществляется по согласованию с Уполномоченным органом.
V. Порядок использования СКЗИ
41. В целях криптографической защиты информации используются СКЗИ, имеющие сертификат соответствия, выданный органом сертификации СКЗИ.
42. СКЗИ эксплуатируются в соответствии с правилами пользования, предписаниями и рекомендациями Уполномоченного органа. Все изменения условий использования СКЗИ, указанных в правилах пользования ими, должны согласовываться с Уполномоченным органом.
43. СКЗИ, находящиеся в эксплуатации, должны подвергаться контрольным тематическим исследованиям, конкретные сроки проведения которых определяются заказчиком по согласованию с разработчиком и Уполномоченным органом.
См. предыдущую редакцию.
44. СКЗИ, их опытные образцы и отдельные шифрующие элементы, а также блоки, не укомплектованные в составе СКЗИ, подлежат поэкземплярному учету с использованием индексов или условных наименований и регистрационных номеров, за исключением программных СКЗИ. Перечень индексов (условных наименований) и регистрационных номеров поэкземплярного учета СКЗИ, их опытных образцов и отдельных шифрующих элементов, а также блоков, не укомплектованных в составе СКЗИ, определяет Уполномоченный орган.
(абзац первый пункта 44 в редакции постановления Президента Республики Узбекистан от 28 января 2025 года № ПП-30 — Национальная база данных законодательства, 29.01.2025 г., № 07/25/30/0078)
См. предыдущую редакцию.
Использование программных СКЗИ для защиты государственных секретов допускается в рамках требований актов законодательства и национальных стандартов, а также ведомственных документов Уполномоченного органа. При этом об использовании программных СКЗИ для защиты государственных секретов в обязательном порядке письменно информируется Уполномоченный орган с указанием цели использования и количества их копий.
(пункт 44 дополнен абзацем вторым постановлением Президента Республики Узбекистан от 28 января 2025 года № ПП-30 — Национальная база данных законодательства, 29.01.2025 г., № 07/25/30/0078)
Организация поэкземплярного учета опытных образцов СКЗИ возлагается на разработчика СКЗИ.
Организация поэкземплярного учета изготовленных СКЗИ возлагается на изготовителя СКЗИ.
Организация поэкземплярного учета используемых СКЗИ возлагается на заказчика и конечного пользователя СКЗИ.
См. предыдущую редакцию.
45. Определение порядка и организация централизованного (количественного) поэкземплярного учета опытных образцов СКЗИ, а также изготовленных и используемых СКЗИ осуществляется Уполномоченным органом.
(пункт 45 в редакции постановления Президента Республики Узбекистан от 28 января 2025 года № ПП-30 — Национальная база данных законодательства, 29.01.2025 г., № 07/25/30/0078)
См. предыдущую редакцию.
46. Гриф секретности СКЗИ, ключевых документов к нему, а также наивысший гриф секретности информации, обрабатываемой на СКЗИ, определяется разработчиком СКЗИ по результатам тематических исследований и согласуется с Уполномоченным органом.
(пункт 46 в редакции постановления Президента Республики Узбекистан от 28 января 2025 года № ПП-30 — Национальная база данных законодательства, 29.01.2025 г., № 07/25/30/0078)
47. Применение СКЗИ во время международного обмена информацией осуществляется в соответствии с законодательством и международными договорами.
48. Контроль за соблюдением правил пользования СКЗИ, а также условий производства ключевых документов к внешней системе изготовления ключей осуществляется Уполномоченным органом.
49. Отчетные сведения по разрабатываемым опытным образцам, изготовленным и используемым СКЗИ представляются в Уполномоченный орган соответственно разработчиком, производителем и пользователем один раз в год.
VI. Порядок ввоза в Узбекистан и вывоза из республики СКЗИ
50. Перечень разрешенных к ввозу в Узбекистан и вывозу из республики СКЗИ и криптосистем определяется Уполномоченным органом.
51. Государственные органы и предприятия, хозяйственные объединения приобретают, ввозят в Республику Узбекистан, вывозят из Республики Узбекистан криптосистемы и средства криптографической защиты информации (далее — СКЗИ), предназначенные для защиты государственных секретов, по согласованию с Уполномоченным органом.
См. предыдущую редакцию.
52. Ввоз и вывоз СКЗИ и криптосистем иностранными представительствами, аккредитованными в республике, производится в установленном порядке по разрешению Уполномоченного органа через Бюро по обслуживанию дипломатического копуса Министерства иностранных дел.
(пункт 52 в редакции Указа Президента Республики Узбекистан от 19 ноября 2018 года № УП-5578 — Национальная база данных законодательства, 19.11.2018 г., № 06/20/5578/0984)
53. Ввоз на территорию Республики Узбекистан СКЗИ и криптосистем, временно вывезенных за границу юридическими лицами республики, производится на основании обязательств об обратном ввозе этих средств, оформленных таможенным органом при их вывозе.
54. СКЗИ и криптосистемы, не входящие в перечень разрешенных к ввозу и вывозу подлежат изъятию таможенными органами при пересечении таможенной границы Республики Узбекистан с последующим информированием Уполномоченного органа.
55. Порядок изъятия, хранения и утилизации изъятых СКЗИ определяется действующим законодательством Республики Узбекистан.
VII. Заключительные положения
56. Министерства и ведомства, предприятия и организации несут ответственность за выполнение требований настоящего Положения подведомственными им предприятиями, учреждениями в соответствии с действующим законодательством.
57. В случае нарушения требований относительно порядка осуществления криптографической защиты информации виновные в этом лица несут ответственность, согласно законодательству Республики Узбекистан.
Комментарий LexUzСм.: статью 155 Кодекса об административной ответственности, главу XX1 Уголовного кодекса Республики Узбекистан.
ПОЛОЖЕНИЕ
о сертификации средств криптографической защиты информации в Республике Узбекистан
I. Общие положения
1. Настоящее Положение разработано в соответствии с требованиями безопасности информации и устанавливает порядок организации работ по сертификации, а также государственного контроля за сертификацией в Республике Узбекистан средств криптографической защиты информации (далее — СКЗИ).
2. Сертификация в Республике Узбекистан СКЗИ осуществляется в соответствии с законами Республики Узбекистан «О стандартизации» и «О сертификации продукции и услуг».
3. Под сертификацией СКЗИ понимается деятельность по подтверждению соответствия СКЗИ требованиям нормативно-правовых актов и государственных стандартов в установленном порядке.
4. Обязательной сертификации подлежат СКЗИ, в том числе зарубежного производства, используемые при криптографической защите:
См. предыдущую редакцию.
информации, содержащей сведения, содержащие государственные секреты;
(абзац второй пункта 4 в редакции Указа Президента Республики Узбекистан от 11 сентября 2025 года № УП-171)
конфиденциальной информации, собственником которой являются государственные организации;
конфиденциальной информации в организациях независимо от их ведомственной принадлежности и форм собственности при поставке ими товаров и услуг для нужд государственных организаций.
В остальных случаях сертификация СКЗИ носит рекомендательный характер.
5. Сертификация осуществляется в соответствии с правилами Национальной системы сертификации в рамках Системы сертификации СКЗИ в соответствии с действующими критериями (требованиям) нормативных документов в установленном порядке.
II. Система сертификации СКЗИ
6. Система сертификации СКЗИ создается Уполномоченным органом в области криптографической защиты информации и представляет собой совокупность участников сертификации, осуществляющих еe по установленным правилам.
См. предыдущую редакцию.
7. Уполномоченным органом в области криптографической защиты информации является Служба государственной безопасности Республики Узбекистан.
(пункт 7 в редакции Указа Президента Республики Узбекистан от 5 июня 2018 года № УП-5456 — Национальная база данных законодательства, 07.06.2018 г., № 06/18/5456/1316)
См. предыдущую редакцию.
8. Организация и проведение работ по сертификации, а также оформление сертификата соответствия осуществляются соответствующим подразделением СГБ — Органом по сертификации СКЗИ (далее — Орган по сертификации), аккредитованным в установленном законодательством порядке.
(пункт 8 в редакции Указа Президента Республики Узбекистан от 5 июня 2018 года № УП-5456 — Национальная база данных законодательства, 07.06.2018 г., № 06/18/5456/1316)
9. Государственный реестр сертифицированных СКЗИ ведется Органом по сертификации на основании выданных сертификатов соответствия.
10. Участниками сертификации СКЗИ являются:
— Орган по сертификации;
— аккредитованные испытательные центры (лаборатории), проводящие сертификационные испытания (или отдельные виды испытаний) СКЗИ;
— заявители — разработчики, изготовители, поставщики и пользователи СКЗИ.
11. Сертификация проводится по схемам, приведенным в приложении № 1 к настоящему Положению.
Основными схемами сертификации являются:
— для единичных образцов СКЗИ — проведение испытаний данного образца на соответствие требованиям безопасности информации;
— для ввозимых или выпускаемых партиями СКЗИ — проведение испытаний на отобранных в соответствии с нормативной документацией образцах на соответствие требованиям безопасности информации;
— для серийного производства СКЗИ — проведение типовых испытаний образцов продукции на соответствие требованиям безопасности информации с обследованием (специальной проверкой) производства по утвержденной программе, с последующим периодическим инспекционным контролем за стабильностью характеристик сертифицированной продукции, обеспечивающих (определяющих) выполнение этих требований.
Схемы сертификации в каждом конкретном случае выбирает Орган по сертификации с учетом предложений заявителя, объема продукции, методов испытаний и особенностей производства.
По решению Органа по сертификации могут быть использованы и другие схемы сертификации, применяемые в международной практике в рамках международных систем или соглашений.
12. Оплата работ по сертификации производится на договорной основе в установленном законодательством порядке.
Орган по сертификации должен обеспечивать хранение и конфиденциальность всех материалов по результатам выполнения процедур сертификации в течение не менее чем двух лет после окончания срока действия сертификата соответствия.
13. Орган по сертификации в пределах своей компетенции осуществляет следующие функции:
— организует сертификацию;
— устанавливает правила проведения сертификации конкретных видов СКЗИ;
— определяет схему проведения сертификации с учетом предложений заявителя;
— утверждает программы и методики проведения сертификационных испытаний;
— осуществляет отбор образцов СКЗИ для проведения сертификационных испытаний;
— подготавливает предложения к перечню СКЗИ, подлежащих обязательной сертификации и представляет их через Уполномоченный орган по согласованию с агентством «Узстандарт» на утверждение в Кабинет Министров Республики Узбекистан;
— разрабатывает и утверждает нормативные документы по безопасности информации, на соответствие которым проводится сертификация, методические и распорядительные документы по проведению процедур сертификации;
— осуществляет государственный надзор за соблюдением правил сертификации, устанавливает порядок инспекционного контроля за сертифицированными СКЗИ;
— организует в установленном порядке проверку производства сертифицируемых СКЗИ;
— проводит инспекционный контроль за сертифицированными СКЗИ;
— представляет заявителю необходимую информацию по сертификации;
— формирует и актуализирует фонд нормативных и методических документов, необходимых для сертификации, участвуют в их разработке;
— проводит экспертизу технической, эксплуатационной документации на СКЗИ и материалов сертификационных испытаний СКЗИ;
— оформляет сертификаты на применение знака соответствия и ведет их учет;
— хранит документацию, подтверждающую сертификацию;
— рассматривает апелляции по вопросам сертификации;
— проводит экспертизу технической, эксплуатационной документации на СКЗИ;
— оформляет экспертное заключение по сертификации и обеспечивает выдачу сертификатов и договоров на применение знака соответствия СКЗИ, а также отмену (приостановление) действия сертификатов данной системы сертификации;
— направляет, в установленном порядке, в Национальный орган по сертификации сведения о сертифицированных и зарегистрированных СКЗИ.
14. Аккредитованные испытательные центры (лаборатории) в пределах установленной области аккредитации:
— осуществляют сертификационные испытания конкретных типов СКЗИ, оформляют заключения и протоколы сертификационных испытаний с последующим их направлением в Орган по сертификации;
— участвуют, по приглашению Органа по сертификации, в проверке производства, сертифицируемых СКЗИ;
— участвуют в отборе образцов СКЗИ для проведения сертификационных испытаний.
Аккредитованные испытательные центры (лаборатории) несут ответственность за полноту испытаний СКЗИ и достоверность их результатов.
15. Заявители (разработчики, изготовители, поставщики и пользователи СКЗИ):
— обеспечивают стабильность характеристик СКЗИ, определяющих безопасность информации;
— извещают Орган по сертификации обо всех изменениях в технологии, конструкции (составе) сертифицированных СКЗИ для принятия решения о повторной сертификации;
— применяют сертификат и маркируют сертифицированные СКЗИ знаком соответствия в порядке, установленном правилами системы сертификации СКЗИ;
— указывают в сопроводительной технической документации на СКЗИ сведения о сертификации, нормативных и методических документах, которым они должны соответствовать; обеспечивают доведение этой информации до пользователя;
— обеспечивают соответствие СКЗИ требованиям нормативных документов по безопасности информации, на соответствие которым они сертифицированы;
— обеспечивают беспрепятственное выполнение своих полномочий должностными лицами Органа по сертификации и должностными лицами, осуществляющими инспекционный контроль за сертифицированными СКЗИ;
— приостанавливают или прекращают реализацию СКЗИ, подлежащих обязательной сертификации, если они не отвечают требованиям нормативных документов, на соответствие которым они сертифицированы, по истечении срока действия сертификата, в случае приостановки его действия или отмены;
— при обнаружении несоответствия сертифицированных СКЗИ требованиям нормативно-методических и эксплуатационных документов немедленно информируют об этом Орган по сертификации;
— по мере необходимости подготавливают согласованные с Органом по сертификации рекламные проспекты (буклеты) сертифицированных продуктов.
16. Правила и порядок (схема) проведения сертификации и инспекционного контроля за сертифицированными СКЗИ, а также специальной проверки производства СКЗИ, устанавливаются Органом по сертификации изданием отдельных нормативных документов в порядке, установленном в Национальной системе сертификации Республики Узбекистан.
17. При возникновении спорных вопросов в деятельности участников сертификации заинтересованная сторона может подать апелляцию в Орган по сертификации или в Уполномоченный орган в области криптографической защиты информации. Указанные организации в месячный срок рассматривают апелляцию с привлечением заинтересованных сторон и извещают подателя апелляции о принятом решении.
18. Участники сертификации несут ответственность, установленную законодательством Республики Узбекистан, за выполнение возложенных на них обязанностей, обеспечение защиты сведений, составляющих государственные секреты и информации, подлежащей защите в соответствии с законодательством Республики Узбекистан, сохранность материальных ценностей, предоставленных заявителем, а также за соблюдение авторских прав заявителя при сертификационных испытаниях СКЗИ.
Комментарий LexUzСм.: статю 14 Гражданского кодекса, статьи 155 и 1771 Кодекса об административной ответственности и статью 149 Уголовного кодекса Республики Узбекистан.
III. Порядок проведения сертификации СКЗИ
19. Для проведения сертификации в соответствии с настоящим Положением заявитель направляет в Орган по сертификации заявку по форме, приведенной в приложении № 2 к настоящему Положению.
20. Для проведения сертификации заявитель представляет следующие документы:
— копию нормативного документа на производимую продукцию (при его наличии);
— образец маркировки продукции;
— информацию о прохождении сертификации по общим показателям безопасности;
— информацию о том, где и для каких целей будут использованы СКЗИ.
21. После подачи заявки с пакетом документов, указанных в пункте 20 настоящего Положения, Орган по сертификации рассматривает ее, проводит анализ представленных документов и не позднее двух дней после получения и рассмотрения заявки, сообщает заявителю решение о проведении сертификации или об отказе в сертификации.
В решении указываются все основные условия сертификации, в том числе схема сертификации и необходимые нормативные документы, на соответствие которым будет проведена сертификация, а также аккредитованный испытательный центр (лаборатория), в котором будут проводиться испытания, или причины отказа в сертификации.
Рекомендуемая форма решения приведена в приложении № 3 к настоящему Положению.
22. Срок проведения сертификации должен соответствовать срокам испытаний, установленным в нормативных документах на эту продукцию и/или на методы испытаний, но не должен превышать одного месяца с момента представления в Орган по сертификации заявки на сертификацию.
23. Отбор и идентификация образцов СКЗИ для проведения сертификации на соответствие требованиям безопасности информации осуществляется Органом по сертификации с выездом на место в срок не позднее двух дней со дня регистрации заявки.
24. Идентификация представленной на сертификацию продукции при отборе образцов осуществляется по правилам сертификации однородной продукции. Если по результатам идентификации установлено, что представленные заявителем образцы не соответствуют нормативным документам, указанным в заявке, отбор образцов не проводится, и заявителю представляется мотивированный отказ в сертификации.
При отказе в сертификации данные СКЗИ не могут быть использованы для защиты информации.
25. Отбор образцов производимой продукции оформляется актом об отборе проб и образцов в двух экземплярах, один из которых вручается заявителю.
В соответствии с требованиями нормативных актов Государственного таможенного комитета, определяющими порядок ввоза на территорию Республики Узбекистан и вывоза с ее территории товаров (продукции), подлежащих обязательной сертификации, отбор проб и образцов от находящихся на хранении под таможенным контролем импортных товаров для проведения сертификации производится с разрешения таможенного органа представителями Органа по сертификации, в присутствии владельца товара либо его представителя. При этом представителем Органа по сертификации составляется акт об отборе проб и образцов в 3 экземплярах, третий из которых вручается таможенному органу.
26. При отрицательных результатах испытаний, а также при представлении неполного комплекта документов Орган по сертификации выдает заявителю заключение об отказе в выдаче сертификата соответствия, с указанием конкретных норм законодательства.
27. Обследование состояния производства сертифицируемой продукции, выпускаемой серийно, осуществляется Органом по сертификации. По результатам обследования составляется акт, который учитывается при принятии решения о выдаче сертификата соответствия.
28. Срок проведения обследования не должен превышать 10 дней с момента отбора образцов.
29. Сведения о проведенном обследовании производства приводятся в сертификате соответствия на продукцию.
30. Орган по сертификации после рассмотрения протокола испытаний, обследования состояния производства и документов, представленных заявителем с заявкой, выдает сертификат соответствия и проводит регистрацию СКЗИ в установленном порядке, при отрицательных результатах сертификации отказывает в выдаче сертификата и регистрации СКЗИ.
31. Сертификат соответствия выдается заявителю в течение двух рабочих дней, а при проведении Органом по сертификации обследования производства — в течение пяти рабочих дней с момента получения результатов испытаний.
32. Выданный Органом по сертификации сертификат соответствия вступает в силу после его регистрации в Государственном реестре Национальной системы сертификации Республики Узбекистан.
См. предыдущую редакцию.
Сертификат выдается сроком на пять лет.
(абзац второй пункта 32 в редакции постановления Президента Республики Узбекистан от 28 января 2025 года № ПП-30 — Национальная база данных законодательства, 29.01.2025 г., № 07/25/30/0078)
33. Орган по сертификации проводит инспекционный контроль за использованием СКЗИ на соответствие требованиям защиты секретной информации. Контроль проводится по программе специальной проверки СКЗИ на соответствие требованиям защиты секретной информации с учетом требований нормативных документов.
По результатам инспекционного контроля действие сертификата соответствия может быть подтверждено, приостановлено или аннулировано.
34. По истечении срока действия сертификата Орган по сертификации осуществляет его продление на основании проведения повторных испытаний и специальной проверки. Орган по сертификации имеет право продления сертификата на основании результатов специальной проверки проведенного инспекционного контроля.
35. Материалы сертификации (копии протоколов испытаний, акты проверок) подлежат хранению в Органе по сертификации в течение 2 лет после истечения срока действия сертификата. Порядок и сроки хранения копий протоколов устанавливаются Органом по сертификации. По истечении установленного срока хранения указанных документов они сдаются в архив или уничтожаются в установленном порядке.
Комментарий LexUzСм.: Положение о порядке комплектования, государственного учета, хранения и использования архивных документов, утвержденное постановлением Кабинета Министров от 5 апреля 2012 года № 101.
36. На основании выданного сертификата соответствия заключается соглашение об условиях проведении периодической специальной проверки и инспекционного контроля.
37. Признание зарубежных сертификатов соответствия осуществляется в порядке, установленном процедурами Национальной системы сертификации Республики Узбекистан. Заявка на признание зарубежных сертификатов соответствия направляется в Орган по сертификации по форме, приведенной в приложении № 4 к настоящему Положению.
См. предыдущую редакцию.
Помимо документов, предусмотренных в Национальной системе сертификации Республики Узбекистан, к заявке в обязательном порядке прилагаются подробное описание технических характеристик СКЗИ, заверенные копии протоколов (документов) испытаний, проведенных аккредитованными испытательными лабораториями зарубежных государств при разработке и постановке СКЗИ на производство.
(пункт 37 дополнен абзацем постановлением Президента Республики Узбекистан от 28 января 2025 года № ПП-30 — Национальная база данных законодательства, 29.01.2025 г., № 07/25/30/0078)
38. Государственный надзор за сертифицированными СКЗИ осуществляется в порядке, установленном законодательством.
39. По результатам государственного надзора, а также инспекционного контроля за сертифицированными СКЗИ, Органом по сертификации применяются меры, установленные законодательством.
40. Информация о принятых мерах по результатам государственного надзора и инспекционного контроля немедленно доводится до сведения изготовителей, потребителей СКЗИ и Национального органа по сертификации.
ПРИЛОЖЕНИЕ № 1
к Положению о сертификации СКЗИ по требованиям информационной безопасности в Республике Узбекистан
к Положению о сертификации СКЗИ по требованиям информационной безопасности в Республике Узбекистан
СХЕМЫ
подтверждения соответствия продукции путем сертификации соответствия
подтверждения соответствия продукции путем сертификации соответствия
| № схемы | Испытание в аккредитованных испытательных лабораториях и другие способы доказательства соответствия | Обследование производства или оценка системы качества | Инспекционный контроль сертифицированной продукции (системы качества, производства) |
| 1 | Испытания образца | - | - |
| 3 | Типовые испытания образцов | Обследование (аттестация) производства по утвержденной программе | Испытание образцов, взятых у изготовителя. Обследование производства |
| 7 | Испытание партии | - | - |
ПРИЛОЖЕНИЕ № 2
к Положению о сертификации СКЗИ по требованиям информационной безопасности в Республике Узбекистан
к Положению о сертификации СКЗИ по требованиям информационной безопасности в Республике Узбекистан
| | |
_____________________________________ | |
| | |
_____________________________________ | |
|
| |||
| ____________________________________________________________________________ | |||
|
(наименование заявителя (предприятия-изготовителя, поставщика или | |||
| ____________________________________________________________________________ | |||
|
Ф.И.О. индивидуального предпринимателя)) | |||
| ____________________________________________________________________________ | |||
|
(адрес заявителя) | |||
| в лице ______________________________ заявляет, что ______________________________ | |||
|
(Ф.И.О. руководителя) |
(наименование, вид продукции) | ||
| ____________________________________________________________________________ | |||
|
(код ТН ВЭД, выпускается серийно или партия, | |||
| ____________________________________________________________________________ | |||
|
каждое изделие (при единичном производстве) | |||
| выпускается по _______________________________________________________________ | |||
| |
(наименование документации изготовителя) | ||
| соответствует требованиям ______________________________________________________ | |||
| |
(наименование и номера нормативных документов) | ||
| ____________________________________________________________________________ | |||
| и просит провести сертификацию данной продукции на соответствие требованиям указанных документов по схеме ___________________________________________________________ | |||
| |
(номер схемы сертификации) | ||
| Дополнительные сведения ______________________________________________________ | |||
| |
(указывается наличие гигиенического сертификата и др. документ) | ||
| ____________________________________________________________________________ | |||
|
|
|
|
|
|
|
| | |
ПРИЛОЖЕНИЕ № 3
к Положению о сертификации СКЗИ по требованиям информационной безопасности в Республике Узбекистан
к Положению о сертификации СКЗИ по требованиям информационной безопасности в Республике Узбекистан
| | |
«УТВЕРЖДАЮ» | |
| | |
Руководитель | |
|
_____________________________________ |
| | |
|
_____________________________________ |
________________ |
__________________ | |
|
_____________________________________ |
| ||
|
| |||
|
| |||
| Рассмотрев заявку _____________________________________________________________ | |||
| |
(наименование предприятия-изготовителя, поставщика) | ||
| ____________________________________________________________________________ | |||
| на сертификацию _____________________________________________________________ | |||
| |
(наименование продукции, код ТН ВЭД) | ||
| решили, что: | | | |
| 1. Сертификация будет проведена по схеме _________________________________________ | |||
| |
(номер схемы сертификации) | ||
| 2. Испытания для сертификации следует провести в ___________________________________ | |||
| | |
(наименование аккредитованного | |
| _____________________________________ |
_____________________________________ | ||
|
испытательного центра или лаборатории) |
(адрес) | ||
| 3. Сертификация будет проведена на соответствие требованиям ________________________ ___________________________________________________________________________ | |||
|
(наименование и обозначение нормативных документов) | |||
| 4. Обследование производства будет проведено в ____________________________________ | |||
| | |
(наименование организации) | |
| ____________________________________ | _____________________________________ | ||
|
(адрес) |
(вид обследования) | ||
| 5. Форма оплаты работ _________________________________________________________ | |||
| |
(по хозяйственному договору, тарифам) | ||
| 6. Для целей сертификации необходимо представить _________________________________ ___________________________________________________________________________ | |||
|
(перечислить необходимые документы) | |||
ПРИЛОЖЕНИЕ № 4
к Положению о сертификации СКЗИ по требованиям информационной безопасности в Республике Узбекистан
к Положению о сертификации СКЗИ по требованиям информационной безопасности в Республике Узбекистан
| | |
_____________________________________ | |
|
| |||
| Просим признать сертификат на __________________________________________________ | |||
| |
(наименование продукции, тип, модель, марка) | ||
| ____________________________________________________________________________ | |||
| изготовленную _______________________________________________________________ | |||
| |
(наименование предприятия-изготовителя, адрес) | ||
| испытанную в ________________________________________________________________ | |||
| |
(наименование испытательной лаборатории, адрес) | ||
| на соответствие требованиям ____________________________________________________ | |||
|
(обозначение, наименование документа, на соответствие которому | |||
| ____________________________________________________________________________ | |||
|
проведена сертификация) | |||
| Сертификат выдан _____________________________________________________________ | |||
|
(наименование органа (организации, фирмы), выдавшего сертификат) | |||
| ______________________ по правилам ___________________________________________ | |||
|
(адрес) |
(наименование системы сертификации или номер соглашения) | ||
| _____________________ на срок с _____________ до _______________________________ | |||
| Дополнительные сведения ______________________________________________________ | |||
| |
(сертификат соответствия на систему качества и т. п.) | ||
| ____________________________________________________________________________ | |||
| К заявке прилагаем: ____________________________________________________________ | |||
| |
(перечень документов и материалов) | ||
| ____________________________________________________________________________ | |||
|
|
_____________________________ | ||
| Телефон/факс заявителя | _____________________________ | ||
| Междугородняя телефонная связь | _____________________________ | ||
| Ф.И.О., должность и телефон сотрудника, занимающегося заявкой | _____________________________ | ||
(Собрание законодательства Республики Узбекистан, 2007 г., № 14, ст. 140; 2013 г., № 45, ст. 584; 2017 г., № 2, ст. 25; Национальная база данных законодательства, 07.06.2018 г., № 06/18/5456/1316, 19.11.2018 г., № 06/20/5578/0984; 29.01.2025 г., № 07/25/30/0078)
