MiCA + ISO / GDPR / Securitate: foaie de parcurs pentru afacerile din Kazahstan și Uzbekistan

Reglementatorii din UE au înăsprit cerințele pentru piața crypto și fintech: MiCA reglementează activitatea furnizorilor de servicii cripto, GDPR protejează datele cu caracter personal, iar ISO/IEC 27001 stabilește cadrul pentru securitatea cibernetică. Pentru companiile din CSI, acestea nu sunt reguli străine, ci un bilet către parteneriate, investiții și extindere pe piețele din Europa și Orientul Mijlociu. Să vedem cum pot fi integrate MiCA, ISO și GDPR fără birocrație inutilă și cu un plan clar.

MiCA pe scurt și la obiect

MiCA (Markets in Crypto-Assets) este regulamentul paneuropean care unifică cerințele pentru criptoactive și pentru furnizorii de servicii (CASP): licențiere, capital, protecția clienților, managementul riscurilor și al incidentelor. Cerințele pentru stablecoin-uri au început să se aplice din vara anului 2024, iar pentru ceilalți furnizori — de la sfârșitul anului 2024. Pentru companiile din CSI, acest lucru înseamnă următorul lucru: dacă doriți să lucrați cu parteneri din UE, să fiți listați la furnizori europeni și să atrageți capital, nu puteți evita implementarea cerințelor MiCA în CSI.

GDPR: unde datele cu caracter personal sunt un activ

GDPR are aplicare extrateritorială: dacă colectați sau prelucrați datele cetățenilor UE, regulile se aplică și biroului dumneavoastră din Almatî sau Tașkent. Amenzile pot ajunge până la 20 de milioane de euro sau 4% din cifra de afaceri anuală globală — suficient cât să includeți conformitatea în strategie. Detalii despre cerințe și pașii necesari găsiți pe pagina GDPRÎntrebarea „cum să respectați GDPR și ISO pentru fintech” se reduce, de cele mai multe ori, la inventarierea datelor, temeiurile legale pentru prelucrare, transferurile transfrontaliere și o practică solidă de securitate a informației bazată pe ISO/IEC 27001.

ISO/IEC 27001:2022 — fundamentul proceselor de securitate

ISO/IEC 27001:2022 este standardul internațional care formalizează sistemul de management al securității informației (ISMS): de la evaluarea riscurilor până la managementul incidentelor, al furnizorilor și al criptografiei. Pentru companiile crypto, acesta acoperă simultan mai multe așteptări de reglementare — monitorizare continuă, jurnalizare, controlul cheilor, segmentarea infrastructurii, protecția portofelelor și a proceselor de custodie. Mai multe detalii găsiți pe pagina ISO/IEC 27001:2022Pentru proiectele bazate pe blockchain, este deosebit de relevantă certificarea ISO 27001 pentru companiile crypto din CSI — aceasta este recunoscută atât de băncile partenere, cât și de contrapărțile europene.

Kazahstan și Uzbekistan: cum să sincronizați cerințele

Pentru companiile de pe ambele piețe, o strategie practică este construirea unui cadru unic de management al riscurilor, în care cerințele de reglementare se adaugă ca „suprastructuri”. Astfel, obțineți o bază solidă conform ISO/IEC 27001 și integrați ulterior cerințele specifice MiCA și GDPR. Despre „conformitatea MiCA și GDPR în Kazahstan” merită să gândiți nu ca despre un control unic, ci ca despre un proces: politică → practică → dovezi.

Înainte de a trece la audit și la proiectul de licențiere, verificați că elementele de bază sunt deja puse la punct.

• Conturul datelor: știți ce date aveți, unde sunt stocate, în ce temei sunt prelucrate, cine are acces la ele și cum sunt șterse la cererea persoanei vizate (GDPR).
• Modelul de riscuri: o metodologie formalizată de evaluare și un registru al riscurilor (ISO 27001), care acoperă amenințările on-chain/off-chain și serviciile terțe.
• Managementul cheilor: proceduri pentru generare, stocare, rotație și separarea rolurilor pentru scheme HSM/multisig (MiCA + controale ISO).
• Incidentele: plan de răspuns, RTO/RPO, jurnale, criterii de notificare a autorităților și a clienților (GDPR + MiCA).
• Furnizorii: măsuri contractuale și tehnice pentru cloud, persoanele împuternicite de operator și furnizorii de noduri (GDPR Art. 28, ISO Annex A.5/A.15).
• Confidențialitate implicită: minimizarea datelor, DPIA pentru procesele cu risc ridicat, mecanisme de consimțământ și interfețe pentru exercitarea drepturilor persoanelor vizate.
• Dovezile: politici actualizate, evidențe ale instruirilor, protocoale de testare, rezultate ale scanărilor, rapoarte de audit — adică tot ceea ce veți prezenta verificatorilor.

Acest checklist ajută la alinierea așteptărilor dintre echipa internă, auditori și potențialii reglementatori. Pentru proiectele care vizează integrări europene, completați-l cu o analiză juridică a transferurilor transfrontaliere de date și cu o politică criptografică pentru procesele de custodie.

Audit și licențiere: ce se verifică cel mai des

Companiile din Kazahstan și Uzbekistan se confruntă cu aceleași „prime cinci” zone de atenție:

1. Registrul activelor și al datelor: lipsa unor hărți actualizate ale fluxurilor de date și a unui CMDB ridică întrebări din partea auditorilor.
2. Controlul accesului: segmentare slabă și drepturi excesive în mediile cloud.
3. Loguri și monitorizare: colectarea există, dar lipsește corelarea evenimentelor și un plan clar de răspuns.
4. Furnizorii: acorduri DPA formale, fără măsuri tehnice reale.
5. Traseul documentar: politicile sunt scrise, dar practicile și înregistrările nu confirmă aplicarea lor.

Tocmai de aceea, auditul de securitate MiCA și ISO (Kazahstan, Uzbekistan, Georgia, Kârgâzstan) este logic să înceapă cu o diagnoză expres: compararea practicilor reale cu cerințele, închiderea îmbunătățirilor operaționale rapide, iar apoi trecerea la o evaluare profundă și la pregătirea pentru licențiere/certificare.

Abordarea bazată pe cazuri: cum arată în practică

Să ne imaginăm un serviciu crypto din Tașkent, cu portofele custodiale și funcționalitate P2P. Pașii de implementare:

• Verificarea temeiurilor juridice pentru prelucrarea datelor clienților din UE (GDPR) și configurarea mecanismelor de consimțământ în produs.
• Implementarea ISMS: evaluarea riscurilor, politica de logare, playbook-uri pentru incidente, instruirea personalului (ISO 27001:2022).
• Harta de conformitate MiCA: capital, AML/CTF, separarea activelor clienților, cerințe privind securitatea informației și raportarea.
• Măsuri tehnice: HSM, multisig, segmentarea rețelelor, secret management, controale CI/CD.
• Pregătirea bazei de dovezi: rapoarte de scanare, pentest, jurnale, procese-verbale ale instruirilor, DPIA.

Pentru un fintech din Almatî, pașii vor fi similari, însă accentul se va muta pe integrarea cu băncile și pe demonstrarea conformității politicilor de securitate cu cerințele partenerilor.

Cum ajută TOO „Sistem Management”

Oferim suport pentru întregul ciclu: de la diagnosticarea rapidă până la certificare și licențiere.

• Analiză GAP pentru MiCA, GDPR și ISO/IEC 27001, cu prioritizarea riscurilor.
• Construirea unui ISMS la cheie și pregătirea pentru certificarea ISO 27001:2022.
• Pregătirea pentru controale și licențierea furnizorilor de servicii cripto (CASP) în UE.
• Suport juridic și tehnic pentru GDPR: registrul activităților de prelucrare, DPIA, transferuri transfrontaliere, DPA.
• Traininguri pentru echipe: dezvoltare sigură, răspuns la incidente, privacy by design.
• Preaudit și asistență continuă: checklisturi, bază de dovezi, comunicare cu auditorii.

Cu TOO „Sistem Management” primiți un plan unitar, în care conformitatea cu MiCA și GDPR în Kazahstan și certificarea ISO merg sincronizat cu dezvoltarea produsului, nu o încetinesc.

Sunteți gata să treceți la acțiune? Putem planifica colaborarea — de la Tașkent la Almatî, de la startup crypto până la bancă parteneră.