Это третья статья цикла о том, какие требования ждут технологическую компанию в разных регионах. Первые две были про ОАЭ и страны Залива с Египтом, здесь регулирование в СНГ: Казахстан, Узбекистан, Кыргызстан, Беларусь, Армения и Азербайджан. Россия пойдёт отдельной статьёй. Вопросы те же пять: персональные данные, кибербезопасность, требования финансового регулятора, электронные счета и электронная подпись.
У меня офисы в Дубае и Алматы, поэтому Казахстан здесь разобран подробнее. Рамка та же, что в прошлых частях: только первоисточники, то есть законы, кодексы, постановления правительств и акты регуляторов на официальных порталах (adilet, lex.uz, cbd.minjust.gov.kg, etalonline.by, arlis.am, e-qanun.az). Каждый факт сверен с первоисточником, ключевые повторно и независимо, по состоянию на конец сентября 2026 года. Юридических заключений я не даю: карта показывает, какой документ читать, а применять его к вашей компании должен юрист в этой стране.
- Регулирование в СНГ: общее и различия
- Персональные данные
- Кибербезопасность
- Финансовые регуляторы
- Электронные счета
- Электронная подпись
- Календарь
- С чего начать ИТ-компании
- Чего я не делаю
- Частые вопросы
- Нужно ли хранить персональные данные в Казахстане?
- Что изменилось с локализацией в Узбекистане?
- Можно ли свободно передавать данные между странами СНГ?
- Признаётся ли иностранная электронная подпись?
- Нужен ли Peppol для электронных счетов в СНГ?
- Источники
- Нужна консультация?
Регулирование в СНГ: общее и различия
- 2026 год перестроил базу. В Казахстане и Кыргызстане вступили в силу цифровые кодексы, которые заменили отдельные законы об электронной подписи и во многом об информатизации. Армения ввела закон о кибербезопасности, Азербайджан новую главу о киберинцидентах, Узбекистан сузил локализацию данных.
- Локализация. Полная обязанность хранить персональные данные в стране осталась только в Казахстане. В Узбекистане она сужена до биометрии, генетики и данных абонентов связи, в Беларуси возникает для онлайн-продаж, в Кыргызстане, Армении и Азербайджане общего требования нет.
- Передача данных внутри региона. Взаимного признания почти нет: в узбекском перечне адекватных стран нет Казахстана, в армянском нет ни одной из шести стран обзора, а из ЕАЭС есть только Россия, кыргызский регулятор на конец сентября 2026 года не признал ни одной иностранной страны. Автоматически признаёт всех членов ЕАЭС только Беларусь.
- Кибербезопасность почти везде в руках спецслужб или структур при президенте, и почти везде есть требования резидентства к подрядчикам. Исключение Армения, где модель ближе к европейской.
- Электронные счета во всех шести странах проходят через государственную систему (в Узбекистане через операторов ЭДО и государственного роуминг-оператора), и документ считается выставленным, только когда система его приняла. Peppol ни в одном акте не упоминается.
Персональные данные
| Страна | Хранить в стране | Уведомление об утечке | Регистрация |
|---|---|---|---|
| Казахстан | Все персональные данные | Регулятору в течение 1 рабочего дня | Уведомление до начала обработки (кроме малых и средних; данные ограниченного доступа повышают категорию) |
| Узбекистан | Биометрия, генетика, данные абонентов связи | Только утечки при передаче за рубеж: 24 часа, детали за 72 | Только базы, которые обязаны храниться в стране |
| Кыргызстан | Общего требования нет | Отраслевому регулятору до 72 часов | Реестр владельцев записей на конец сентября 2026 года не запущен |
| Беларусь | Де-факто для онлайн-продаж | Регулятору не позднее 3 рабочих дней | Реестр операторов для крупных и чувствительных систем |
| Армения | Общего требования нет | Немедленно: публичное заявление, полиция и регулятор | По требованию регулятора и до обработки биометрии или специальных категорий |
| Азербайджан | Общего требования нет | В законе о данных нет | Госрегистрация информационных систем, кроме кадровых и малых |
Казахстан. Закон № 94-V о персональных данных с 25 августа 2026 года (поправки законом № 326-VIII) прямо требует хранить данные «в базе и (или) цифровом объекте, которые находятся на территории Республики Казахстан». Электронные массивы теперь называются цифровыми объектами, и локализация распространяется на них явно. С той же даты действует новая статья 10-1: до начала и до прекращения обработки нужно уведомить уполномоченный орган, причём в уведомлении указываются трансграничная передача и место нахождения базы. Малые (до 10 000 субъектов) и средние (до 500 000) освобождены. Но при обработке данных ограниченного доступа категория повышается на уровень, и средний оператор становится крупным и обязан уведомлять. Переходного срока в законе нет, а подзаконного акта о форме уведомления на конец сентября я не нашёл. Об утечке уполномоченный орган уведомляют в течение одного рабочего дня с обнаружения. Уполномоченный орган: Министерство искусственного интеллекта и цифрового развития, а госконтроль за частным бизнесом ведут акиматы. Штраф крупному бизнесу по статье 79 КоАП за несоблюдение мер защиты 600 МРП (2 595 000 тенге при МРП 2026 года). Если оно повлекло утерю или незаконную обработку данных, штраф 2 000 МРП (8 650 000 тенге).
Узбекистан в 2026 году пошёл в обратную сторону. С 27 марта 2026 года (закон ЗРУ-1125) обязательному хранению в стране подлежат только биометрические и генетические данные и данные абонентов операторов связи, раньше локализация касалась всех данных граждан. Остальное можно хранить за рубежом: в странах из перечня адекватных юрисдикций (с 3 августа 2026 года, 49 позиций, среди них ЕС, Великобритания и Россия, но нет Казахстана, ОАЭ и материкового Китая), либо по стандартным договорным условиям или обязательным корпоративным правилам, либо при соблюдении международных стандартов из перечня регулятора. Требования к этим условиям регулятор должен утвердить в течение трёх месяцев, то есть примерно к началу ноября 2026 года. Фактический регулятор: Департамент миграции и персонализации МВД. Общей обязанности уведомлять об утечке в законе нет, её ввели только для утечек в ходе трансграничной передачи.
Кыргызстан с 6 февраля 2026 года регулирует данные Цифровым кодексом, закон 2008 года отменён. Регулятор: Государственное агентство по защите персональных данных, которое само рассматривает дела и штрафует. Передача за рубеж формально свободна в страны из перечня регулятора, но на сайте агентства на конец сентября 2026 года статус «соответствует» есть только у самого Кыргызстана, так что любая передача пока опирается на согласие, договор или договорные гарантии. Об инциденте, влияющем на права субъектов, отраслевому регулятору сообщают не позднее 72 часов. Ответственный за обработку нужен, если в компании больше 10 работников.
Беларусь. Закон поручает Национальному центру защиты персональных данных утвердить перечень стран с надлежащим уровнем защиты, и приказ центра включает в него членов ЕАЭС и участников Конвенции 108. В остальные страны передача только по исключениям или с разрешением центра. Об утечке центр уведомляют незамедлительно, но не позднее трёх рабочих дней. Белорусские компании, продающие через интернет в Беларуси, обязаны использовать ресурсы, размещённые в стране (Указ № 60), так что для e-commerce локализация действует де-факто. Штраф юрлицу за несоблюдение мер защиты до 50 базовых величин, это 2 250 рублей.
Армения требует при утечке из электронных систем немедленно опубликовать заявление и одновременно сообщить в полицию и регулятору. Без разрешения данные можно передавать в 53 страны из списка регулятора; из шести стран обзора в нём нет ни одной, а из ЕАЭС есть только Россия. В страны вне списка передача по договору требует разрешения (решение за 30 дней), а согласие субъекта закон допускает отдельным основанием. Шифрование прямо обязательно, штраф за его отсутствие 100 расчётных единиц по 1 000 драмов, то есть 100 000 драмов.
Азербайджан требует государственной регистрации информационных систем с персональными данными, без неё сбор и обработка не допускаются. Исключения: системы с данными работников, с гостайной и случаи ниже порогов, которые устанавливает правительство. Регистрация идёт месяц, отдельно по каждой системе, а при электронной подаче решение вступает в силу после представления оригиналов или нотариальных копий. Общего требования локализации нет, передача за рубеж запрещена при угрозе национальной безопасности, а также если защита в стране получателя ниже. Второй запрет снимает согласие человека или необходимость защитить его жизнь и здоровье, первый нет. Обязанности уведомлять об утечке в законе о данных нет.
Кибербезопасность
| Страна | Кто надзирает | Сообщение об инциденте | Что важно подрядчику |
|---|---|---|---|
| Казахстан | МИИЦР; контроль критических объектов у КНБ | 15 минут для владельцев критических объектов | SOC только резидент без иностранного участия, лицензия |
| Узбекистан | СГБ | Незамедлительно, без часов | Операторы-подрядчики КИИ сами становятся субъектами |
| Кыргызстан | ГКНБ | ГКНБ по закону без часов; отраслевому регулятору по Цифровому кодексу 72 часа | Подрядчиков КИИ согласуют с органом, данные в стране |
| Беларусь | ОАЦ | Центры кибербезопасности: 1 час | Подрядчики по базовым требованиям ОАЦ только резиденты Беларуси |
| Армения | Комиссия по регулированию ИС | Не позднее 24 часов | ISO/IEC 27001 для КИИ и провайдеров, документ до января 2028 |
| Азербайджан | DTX для КИИ; Национальное агентство для остальных | Сразу после обнаружения | Провайдер для КИИ: учредители граждане Азербайджана |
Казахстан. С 12 июля 2026 года закон «Об информатизации» переименован в закон «О кибербезопасности», вступил в силу Цифровой кодекс. Уполномоченный орган: МИИЦР, а госконтроль за критически важными цифровыми объектами передан КНБ. Владелец такого объекта обязан иметь свой центр кибербезопасности (SOC) или купить его услуги и сообщать об инциденте в Национальный координационный центр и SOC в течение 15 минут с момента подтверждения. SOC должен быть резидентом Казахстана без участия иностранных лиц и работать по лицензии. Для частных систем, которые интегрируются с государственными, действуют единые требования: ПО и оборудование размещаются в стране. Для самих госсистем облако допустимо, только если его центры управления и серверы в Казахстане. С конца августа 2026 года отдельные обязанности по взаимодействию с координационным центром есть и у хостинг-провайдеров.
Узбекистан. Закон о кибербезопасности 2022 года, уполномоченный орган: Служба государственной безопасности. На конец сентября 2026 года поправки к закону приняты нижней палатой и ждут Сената. Важная для подрядчика деталь: субъектами критической инфраструктуры считаются не только владельцы объектов, но и юрлица, которые обеспечивают их эксплуатацию. Они выполняют требования СГБ и незамедлительно сообщают об инцидентах. Средства защиты для госорганов и критической инфраструктуры проходят обязательную сертификацию. Проект требований к облачным услугам для госсистем по дорожной карте стратегии должен быть готов в декабре 2026 года.
Кыргызстан. Постановление правительства № 250 от апреля 2026 года ввело для критической инфраструктуры жёсткие правила для ИТ-подрядчиков: привлекать организации для разработки и сопровождения можно только по согласованию с органом по кибербезопасности, ПО и оборудование размещаются в стране, прямой удалённый доступ вендоров запрещён, только через промежуточные системы с записью сессий.
Беларусь. Отдельного закона нет, система построена Указом № 40 и актами ОАЦ. С 1 июля 2026 года действуют базовые требования ОАЦ по кибербезопасности, включая установку обновлений в течение месяца и хранение событий не менее года, и подрядчиками для этих работ могут быть только белорусские юрлица и ИП. Центры кибербезопасности сообщают в Национальный центр кибербезопасности в течение часа. Частные ИТ- и хостинг-компании из перечня Совмина обязаны создать такой центр или купить его услуги к декабрю 2027 года.
Армения с 4 января 2026 года живёт по закону о кибербезопасности, который ближе всего к европейской модели. Он касается компаний из 14 жизненно важных сфер, включая финансы, связь и ИТ-инфраструктуру, в том числе облака; микро- и малые предприятия исключены, если не эксплуатируют критическую инфраструктуру. О существенном инциденте сообщают не позднее 24 часов, обновление через 72 часа, итоговый отчёт через месяц. Для критической инфраструктуры обязателен ISO/IEC 27001, для работы с картами PCI DSS, для персональных данных ISO/IEC 27701, а провайдеры SOC дополнительно подтверждают ISO/IEC 20000-1; в качестве руководства им рекомендованы ISO/IEC 27035-1 и 27035-2 по управлению инцидентами. Документ о соответствии операторы и провайдеры подают до января 2028 года. Штрафы уже в КоАП: за необеспечение минимальных требований до 10 млн драмов (10 000 расчётных единиц по 1 000 драмов), хотя сами минимальные требования Комиссия ещё не утвердила. Критерии и перечень критической инфраструктуры правительство планирует принять в ноябре и декабре 2026 года.
Азербайджан. С 10 августа 2026 года субъекты информационной инфраструктуры вне КИИ и госсектора, включая частные компании и владельцев сайтов, обязаны сообщать о киберинцидентах в Национальный CERT сразу после обнаружения. Штрафы за это начнут применять с 1 июля 2027 года. Для критической инфраструктуры надзор у Службы государственной безопасности, и провайдером кибербезопасности для неё может быть только компания, учредители и представитель которой граждане Азербайджана.
Финансовые регуляторы
Везде требования пишет центральный банк или финансовый регулятор, адресованы они банкам и платёжным компаниям, а до подрядчика доходят через договор. Самое жёсткое, что стоит знать заранее:
- Казахстан. С апреля 2026 года действуют новые требования АРРФР. Основной и резервный центры обработки данных банка в стране, в облаке банковская тайна и персональные данные хранятся только зашифрованными, а ключ у банка. Об инцидентах из перечня и об уязвимостях, доступных извне периметра, банк сообщает в течение 24 часов. Исходный код ПО дистанционного обслуживания хранится внутри периметра банка, а разработчики подрядчика не имеют административного доступа к промышленной среде.
- Узбекистан. Банкам запрещено отдавать на аутсорсинг управление ИКТ и системами безопасности, серверы стоят в банках, облаке ЦБ, государственных дата-центрах или в сторонних дата-центрах с ISO/IEC 27001, SOC 2 и Tier III/IV, а удалённый доступ работников банка к его системам разрешён только с территории Узбекистана. Подрядчику с командой за рубежом стоит заранее уточнить, распространяет ли банк это правило на него.
- Кыргызстан. Платёжная информация хранится в стране, если из-за инцидента ИБ дистанционное обслуживание недоступно больше 30 минут, банк сообщает в Нацбанк в течение часа.
- Беларусь. Критически важные функции не передаются, передача резидентам офшорных зон запрещена, о существенных угрозах банк сообщает в течение пяти рабочих дней. Даже сопровождение лицензионного ПО банк обязан оценивать как риск.
- Армения. Передача операций, прямо включая сопровождение ИТ-систем, требует согласия ЦБ, иначе сделка ничтожна; ЦБ отвечает за 30 дней, молчание означает согласие. Пентест банков проводит только член CREST International.
- Азербайджан. Чувствительные данные только в стране, два центра обработки в несоседних экономических районах, провайдеру облака запрещён субподряд, об инциденте высокой категории банк сообщает за 4 часа.
Электронные счета
| Страна | Кто обязан | Как устроено |
|---|---|---|
| Казахстан | Плательщики НДС и отдельные неплательщики | ИС ЭСФ налоговой, веб или API, подпись ЭЦП |
| Узбекистан | Юрлица, ИП, с 2026 года самозанятые | Через операторов ЭДО по выбору плательщика и роуминг-оператора |
| Кыргызстан | Плательщики НДС, прочие по постановлению | Государственная ИС ЭСФ, профиль или API |
| Беларусь | Плательщики НДС | Портал ЭСЧФ МНС, XML или веб-сервис |
| Армения | Организации, ИП, нотариусы | Система расчётных документов налоговой в реальном времени |
| Азербайджан | Все, кроме отдельных исключений, при продажах лицам на налоговом учёте (B2B и B2G) | Портал налоговой службы, усиленная подпись |
Общая черта: документ существует, только когда его приняла государственная система. В Казахстане с 1 января 2026 года действуют новый Налоговый кодекс и правила выписки; счёт-фактура выписывается в ИС ЭСФ не позднее 15 календарных дней после оборота, а для части плательщиков включён автоматический контроль, при котором номер присваивается, только если НДС в счёте покрыт балансом на налоговом счёте. В Узбекистане с 2026 года каждый счёт в реальном времени оценивается по риску, и по высокорисковому НДС зачитывается только после уплаты в бюджет. В Беларуси по продажам физлицам по итогам отчётного периода (месяца или квартала) выставляется итоговый ЭСЧФ. В Армении с 1 сентября 2026 года расчётные документы выписываются до поставки товара, а с 2027 года расширяется электронная ККМ. В Азербайджане в счёте обязательны код товара и GTIN, а без обязательного счёта штраф от 10% продажной цены.
Для Казахстана, Кыргызстана, Беларуси и Армении как членов ЕАЭС с 1 сентября 2026 года прослеживаемость импортных товаров работает на постоянной основе, в Казахстане через ту же ИС ЭСФ.
Электронная подпись
Иностранная подпись почти нигде не признаётся сама по себе. Нужна регистрация иностранного удостоверяющего центра в национальной службе доверенной третьей стороны, местная аккредитация или международный договор, а реально работающих связок таких служб мало: подтверждены только белорусские соглашения с Казахстаном и Россией. Отдельного документа вроде российской машиночитаемой доверенности нет ни в одной из шести стран: полномочия подписанта решаются через сертификат или сервис проверки, в Беларуси через атрибутный сертификат.
- Казахстан. С 12 июля 2026 года подпись регулирует Цифровой кодекс, закон 2003 года утратил силу. ЭЦП одна, без уровней; коды, push и биометрия считаются «цифровым подтверждением» и подписью не являются. Иностранный удостоверяющий центр признаётся, если он зарегистрирован в ДТС Казахстана, а для регистрации негосударственному центру нужно не меньше двух лет непрерывной работы. Облачная ЭЦП разрешена, нерезидент с видом на жительство может получить ключи удалённо.
- Узбекистан. Одна категория ЭЦП; в электронной коммерции подписью признаются и SMS, и Face-ID. Центр регистрации ключей не может создать компания с иностранной долей 30% и больше. С января 2026 года представители иностранных компаний, работающие в стране, могут получить сертификат без консульства по запросу госорганизации и с разрешения Налогового комитета.
- Кыргызстан. С февраля 2026 года по Цифровому кодексу два вида подписи, неквалифицированная и квалифицированная. Иностранная подпись признаётся подписью того вида, признакам которого отвечает, но порядок работы ДТС на конец сентября 2026 года в ЦБД не найден.
- Беларусь. Сертификаты государственной системы обязательны во всех государственных системах. Полномочия подписанта подтверждает атрибутный сертификат. С 7 июля 2026 года действует новое положение ОАЦ о системе.
- Армения. Одна категория ЭЦП; порядок аккредитации 2025 года ориентирован на eIDAS, но требует размещения комплексов в стране. Иностранные сертификаты приравниваются к армянским только по ратифицированному договору.
- Азербайджан. Силу собственноручной подписи имеет усиленная подпись с квалифицированным сертификатом. Нерезиденты получают подпись через консульства, а облачной биометрической подписью SİMA, по данным плана правительства на 2026–2028 годы, уже пользуются больше 4 млн человек.
Календарь
- 01.11.2026: в Узбекистане рассылки рекламных звонков и SMS только после регистрации систем в реестре баз персональных данных.
- Около 03.11.2026: в Узбекистане ожидаются требования к договорным условиям для передачи данных за рубеж.
- Ноябрь и декабрь 2026: в Армении по графику правительства должны выйти критерии и перечень критической инфраструктуры.
- 31.12.2026: в Беларуси негосударственные центры кибербезопасности и договоры приводятся в соответствие с новыми требованиями ОАЦ.
- 01.07.2027: в Азербайджане начинают применяться штрафы за несообщение о киберинцидентах.
- Около 04.01.2028: в Армении операторы критической инфраструктуры и провайдеры подают документ о соответствии стандарту.
- Даты не объявлены: подзаконные акты по уведомлению и мерам защиты в Казахстане, запуск реестра владельцев записей в Кыргызстане, порядок работы ДТС в Кыргызстане.
С чего начать ИТ-компании
- Для Казахстана держать данные в стране. Это касается всех персональных данных, а крупным операторам (и средним, если они обрабатывают данные ограниченного доступа) с конца августа 2026 года ещё и нужно уведомить регулятора.
- Не рассчитывать на свободную передачу внутри СНГ. Перечни адекватных стран у соседей почти не пересекаются, поэтому схему передачи из каждой страны нужно строить отдельно.
- Проверить требования резидентства. SOC в Казахстане, подрядчики в Беларуси, провайдеры КИИ в Азербайджане и удалённый доступ сотрудников банков в Узбекистане завязаны на местную регистрацию или территорию.
- Для финансовых клиентов заложить локальную инфраструктуру. Банки в Казахстане, Узбекистане и Азербайджане держат ЦОД в стране, и подрядчику нужно под это подстроиться.
- Интегрироваться с налоговой платформой напрямую. Везде, кроме Узбекистана, счёт выставляется напрямую в государственной системе налоговой, без операторов: через API, веб-сервис или загрузку файла.
Чего я не делаю
- Не даю юридических заключений. Карта показывает документы и статьи, а применение к конкретной компании оценивает юрист в этой стране.
- Не пересказываю обзоры. Каждый факт сверен с текстом закона или акта на официальном портале.
- Не обещаю, что карта не устареет. В регионе много подзаконных актов в работе, перед решением её надо перечитать.
Частые вопросы
Нужно ли хранить персональные данные в Казахстане?
Да. С 25 августа 2026 года закон о персональных данных прямо требует хранить их в базе или цифровом объекте на территории Казахстана. Передача за рубеж возможна по правилам статьи 16, но хранение должно быть в стране.
Что изменилось с локализацией в Узбекистане?
С 27 марта 2026 года обязательному хранению в стране подлежат только биометрические и генетические данные и данные абонентов операторов связи. Остальные можно хранить за рубежом в странах из перечня адекватных юрисдикций, по договорным условиям или при соблюдении международных стандартов из перечня регулятора. Требования к договорным условиям регулятор должен утвердить примерно к 3 ноября 2026 года.
Можно ли свободно передавать данные между странами СНГ?
Почти нет. В узбекском перечне адекватных стран нет Казахстана, в армянском нет ни одной из шести стран обзора, а из ЕАЭС есть только Россия, кыргызский регулятор на конец сентября 2026 года не признал ни одной иностранной страны. Автоматически признаёт членов ЕАЭС только Беларусь.
Признаётся ли иностранная электронная подпись?
Сама по себе почти нигде. Нужна регистрация иностранного удостоверяющего центра в национальной службе доверенной третьей стороны, местная аккредитация или международный договор. Работающие связки подтверждены только у Беларуси с Казахстаном и Россией.
Нужен ли Peppol для электронных счетов в СНГ?
Нет. Во всех шести странах электронные счета проходят через государственную систему, и Peppol в актах не упоминается. В Узбекистане работают операторы ЭДО по выбору плательщика и роуминг-оператор, в остальных странах интеграция идёт напрямую с системой налоговой.
Источники
- Закон Республики Казахстан № 94-V о персональных данных, adilet.zan.kz.
- Закон Республики Казахстан № 326-VIII (поправки о персональных данных), adilet.zan.kz.
- Закон Республики Казахстан «О кибербезопасности» (бывший «Об информатизации»), adilet.zan.kz.
- Цифровой кодекс Республики Казахстан № 255-VIII, adilet.zan.kz.
- Закон Узбекистана ЗРУ-547 о персональных данных, lex.uz.
- Закон Узбекистана ЗРУ-1125 об изменениях в закон о персональных данных, lex.uz.
- Закон Узбекистана ЗРУ-764 о кибербезопасности, lex.uz.
- Закон Кыргызстана № 121 о кибербезопасности, Централизованный банк данных правовой информации.
- Цифровой кодекс Кыргызской Республики № 178, Централизованный банк данных правовой информации.
- Требования к кибербезопасности объектов КИИ Кыргызстана (постановление Кабмина № 250), Централизованный банк данных правовой информации.
- Закон Беларуси № 99-З о защите персональных данных, etalonline.by.
- Указ Президента Беларуси № 40 о кибербезопасности, etalonline.by.
- Закон Армении о защите персональных данных, ARLIS.
- Закон Армении о кибербезопасности, ARLIS.
- Закон Азербайджана № 998-IIIQ о персональных данных, e-qanun.az.
Нужна консультация?
Если вы выходите в Казахстан, Узбекистан или другие страны региона, запишитесь на разговор. Разберём, где должны лежать данные, какие требования придут к вам через клиентов и как это ложится на архитектуру.
