MiCA + ISO / GDPR / Təhlükəsizlik: Qazaxıstan və Özbəkistanda biznes üçün yol xəritəsi

Aİ tənzimləyiciləri kripto və fintex bazarı üçün tələbləri sərtləşdiriblər: MiCA kriptoaktiv xidmət provayderlərinin fəaliyyətini normallaşdırır, GDPR şəxsi məlumatları qoruyur, ISO/IEC 27001 isə kibertəhlükəsizlik üçün çərçivə yaradır. MDB ölkələrindən olan şirkətlər üçün bunlar yad qaydalar deyil, tərəfdaşlıqlara, investisiyalara və Avropa ilə Yaxın Şərq bazarlarına miqyaslanmaya aparan biletdir. Gəlin, MiCA, ISO və GDPR-i bürokratik ağrı olmadan və aydın planla necə uzlaşdırmağı araşdıraq.

MiCA — qısa və əsas məqamlar

MiCA (Markets in Crypto-Assets) — kriptoaktivlər və provayderlər (CASP) üçün tələbləri vahidləşdirən ümumavropa reqlamentidir: lisenziyalaşdırma, kapital, müştərilərin qorunması, risklərin və insidentlərin idarə edilməsi. Steyblkoinlərə dair tələblər 2024-cü ilin yayında qüvvəyə minib, digər provayderlər üçün isə 2024-cü ilin sonundan tətbiq olunur. MDB şirkətləri üçün bu o deməkdir: Aİ tərəfdaşları ilə işləmək, Avropa provayderlərində listinq almaq, kapital cəlb etmək istəyirsinizsə — MDB-də MiCA tələblərini tətbiq etmədən keçinmək mümkün deyil.

GDPR: şəxsi məlumatların aktivə çevrildiyi yer

GDPR ekstraterritorial şəkildə tətbiq olunur: əgər siz Aİ vətəndaşlarının məlumatlarını toplayır və ya emal edirsinizsə, qaydalar Almatı və ya Daşkənddəki ofisinizə də şamil edilir. Cərimələr 20 milyon avroya qədər və ya illik qlobal dövriyyənin 4%-i həcmində ola bilər — bu isə kompelyansı strategiyaya daxil etmək üçün kifayət qədər ciddi səbəbdir. Tələblər və addımlar barədə daha ətraflı məlumatı səhifədə görə bilərsiniz GDPRFintex üçün GDPR və ISO tələblərinə necə əməl etmək olar?’ sualı ən çox hallarda məlumatların inventarlaşdırılması, emalın hüquqi əsasları, sərhədlərarası ötürmələr və ISO/IEC 27001 üzrə dayanıqlı informasiya təhlükəsizliyi təcrübəsi kimi məsələlərə dirənir.

ISO/IEC 27001:2022 — təhlükəsizlik prosesləri üçün fundament

ISO/IEC 27001:2022 — informasiya təhlükəsizliyinin idarəetmə sistemini (ISMS) formallaşdıran beynəlxalq standartdır: risklərin qiymətləndirilməsindən tutmuş insidentlərin, təchizatçıların və kriptoqrafiyanın idarə olunmasına qədər. Kriptoşirkətlər üçün bu, bir neçə tənzimləyici gözləntini eyni anda qarşılayır — fasiləsiz monitorinq, loqlaşdırma (jurnallaşdırma), açarların nəzarəti, infrastrukturun seqmentləşdirilməsi, cüzdanların və custody-proseslərinin qorunması. Daha ətraflı — ISO/IEC 27001:2022Blokçeyn layihələri üçün MDB kriptoşirkətləri üzrə ISO 27001 sertifikatlaşdırması xüsusilə актуальdır — onu həm bank-tərəfdaşlar, həm də Avropa kontragentləri tanıyır.

Qazaxıstan və Özbəkistan: tələbləri necə sinxronlaşdırmaq olar

Hər iki bazarda fəaliyyət göstərən şirkətlər üçün praktik strategiya — tənzimləyici tələblərin ‘üst qat’ kimi qoşulduğu vahid risk idarəetmə konturunu qurmaqdır. Beləliklə, ISO/IEC 27001-in dayanıqlı bazasını əldə edir və üzərinə MiCA və GDPR-in spesifik tələblərini əlavə edirsiniz. ‘Qazaxıstanda MiCA və GDPR uyğunluğu’na birdəfəlik yoxlama kimi yox, proses kimi yanaşmaq lazımdır: siyasət → praktika → sübutlar.

Auditə və lisenziyalaşdırma layihəsinə keçməzdən əvvəl əsas elementlərin artıq yerində olduğuna əmin olun.

• Məlumat konturu: hansı məlumatların harada saxlandığını, hansı əsaslarla emal edildiyini, kimlərin giriş icazəsi olduğunu və məlumat subyektinin sorğusu ilə necə silindiyini bilirsiniz (GDPR).
• Risk modeli: on-chain/off-chain təhdidləri və üçüncü tərəf servislərini əhatə edən, formal qiymətləndirmə metodikası və risk reyestri (ISO 27001).
• Açarların idarə edilməsi: HSM/multisiq sxemləri üçün açarların yaradılması, saxlanması, rotasiyası və rolların ayrılması prosedurları (MiCA + ISO nəzarətləri).
• İnsidentlər: reaksiya planı, RTO/RPO, jurnallar, tənzimləyicilərə və müştərilərə bildiriş meyarları (GDPR + MiCA).
• Təchizatçılar: bulud xidmətləri, məlumat emalçıları və node provayderləri üçün müqavilə və texniki tədbirlər (GDPR Maddə 28, ISO Annex A.5/A.15).
• Varsayılan məxfilik: məlumatların minimallaşdırılması, yüksək riskli proseslər üçün DPIA, razılıq mexanizmləri və subyekt hüquqları üçün interfeyslər.
• Sübutlar: aktual siyasətlər, təlim qeydləri, test protokolları, skan nəticələri, audit hesabatları — yoxlayıcılara göstərəcəyiniz hər şey.

Bu çek-list daxili komanda, auditorlar və potensial tənzimləyicilər arasında gözləntiləri uzlaşdırmağa kömək edir. Avropa inteqrasiyalarına çıxan layihələr üçün onu məlumatların sərhədlərarası ötürülməsinə dair hüquqi icmal və custody üçün kriptoqrafik siyasətlə tamamlayın.

Audit və lisenziyalaşdırma: ən çox nəyi yoxlayırlar

Qazaxıstan və Özbəkistandan olan şirkətlər eyni “ilk beş” diqqət zonasına rast gəlirlər:

1. Aktivlər və məlumatlar reyestri: məlumat axınlarının aktual xəritələrinin və CMDB-nin olmaması auditorlarda suallar yaradır.
2. Girişə nəzarət: buludlarda zəif seqmentasiya və həddindən artıq səlahiyyətlər.
3. Loqlar və monitorinq: toplama var, amma hadisələrin korrelyasiyası və reaksiya planı yoxdur.
4. Təchizatçılar: texniki tədbirlər olmadan formal DPA-lar.
5. Sənəd izi (doc-trail): siyasətlər yazılıb, amma praktikalar və qeydlər onların icrasını təsdiqləmir.

Məhz buna görə MiCA və ISO üzrə təhlükəsizlik auditi (Qazaxıstan, Özbəkistan, Gürcüstan, Qırğızıstan) məntiqlidir ki, ekspress-diaqnostikadan başlansın: faktiki praktikaları tələblərlə tutuşdurmaq, operativ təkmilləşdirmələri bağlamaq, sonra isə dərin qiymətləndirməyə və lisenziyalaşdırma/sertifikatlaşdırmaya hazırlığa keçmək.

Keys yanaşması: praktikada bu necə görünür

Təsəvvür edək ki, Daşkənddə custodian (kastodi) cüzdanları və P2P funksionallığı olan bir kriptoservis var. Tətbiqetmə addımları:

• Aİ müştərilərinin məlumatlarının emalı üçün hüquqi əsasların yoxlanması (GDPR) və məhsulda razılıqların tənzimlənməsi.
• ISMS-in qurulması: risk qiymətləndirməsi, loqlaşdırma siyasəti, insidentlər üçün playbook-lar, personalın təlimi (ISO 27001:2022).
• MiCA uyğunluq xəritəsi: kapital, AML/CTF, müştəri aktivlərinin ayrılması, İT və hesabatlılıq tələbləri.
• Texniki tədbirlər: HSM, multisiq, şəbəkələrin seqmentləşdirilməsi, secret management, CI/CD nəzarətləri.
• Sübut bazasının hazırlanması: skan hesabatları, pentest, jurnallar, təlim protokolları, DPIA.

Almatıdakı fintex üçün addımlar oxşar olacaq, lakin vurğu banklarla inteqrasiyaya və təhlükəsizlik siyasətlərinin tərəfdaşların tələblərinə uyğunluğunun sübut edilməsinə yönələcək.

TOV «System Management» necə kömək edir

Biz tam dövrü müşayiət edirik: sürətli diaqnostikadan sertifikatlaşdırma və lisenziyalaşdırmaya qədər.

• MiCA, GDPR və ISO/IEC 27001 üzrə gap-analiz və risklərin prioritetləşdirilməsi.
• ISMS-in “açar təslim” qurulması və ISO 27001:2022 sertifikatlaşdırmasına hazırlıq.
• Aİ-də kriptoaktiv xidmət provayderlərinin (CASP) yoxlamalarına və lisenziyalaşdırmaya hazırlıq.
• GDPR üzrə hüquqi-texniki dəstək: emal reyestri, DPIA, sərhədlərarası ötürmələr, DPA.
• Komandalar üçün təlimlər: təhlükəsiz inkişaf (secure development), insidentlərə reaksiya, dizayn üzrə məxfilik (privacy by design).
• Pre-audit və müşayiət: çek-listlər, sübut bazası, auditorlarla kommunikasiya.

TOV «System Management» ilə siz vahid plan əldə edirsiniz: Qazaxıstanda MiCA və GDPR uyğunluğu və ISO sertifikatlaşdırması məhsulun inkişafı ilə sinxron gedir, ona mane olmur.

Hərəkətə keçməyə hazırsınız? Daşkənddən Almatıya, kripto-startapdan bank-tərəfdaşa qədər — əməkdaşlığı planlaşdıraq.