Регуляторы ЕС ужесточили требования к крипто- и финтех-рынку: MiCA нормирует работу провайдеров криптоуслуг, GDPR защищает персональные данные, а ISO/IEC 27001 задаёт каркас кибербезопасности. Для компаний из СНГ это не чужие правила, а билет к партнёрствам, инвестициям и масштабированию на рынки Европы и Ближнего Востока. Разберёмся, как совместить MiCA, ISO и GDPR без бюрократической боли и с понятным планом.
MiCA кратко и по делу
MiCA (Markets in Crypto-Assets) — всеевропейский регламент, который унифицирует требования к криптоактивам и провайдерам (CASP): лицензирование, капитал, защита клиентов, управление рисками и инцидентами. Требования к стейблкоинам начали действовать летом 2024 года, к остальным провайдерам — с конца 2024 года. Для компаний из СНГ это означает: если вы хотите работать с EU-партнёрами, листиться у европейских провайдеров, привлекать капитал — без внедрение требований MiCA в СНГ не обойтись.
GDPR: где персональные данные — это актив
GDPR действует экстерриториально: если вы собираете или обрабатываете данные граждан ЕС — правила распространяются и на ваш офис в Алматы или Ташкенте. Штрафы достигают до 20 млн евро или 4% годового мирового оборота — этого достаточно, чтобы включить комплаенс в стратегию. Подробно о требованиях и шагах смотрите на странице GDPR. Вопрос «как соблюсти GDPR и ISO для финтеха» чаще всего упирается в инвентаризацию данных, правовые основания обработки, трансграничные передачи и устойчивую ИБ-практику по ISO/IEC 27001.
ISO/IEC 27001: 2022 — фундамент для процессов безопасности
ISO/IEC 27001:2022 — международный стандарт, который формализует систему менеджмента информационной безопасности (ISMS): от оценки рисков до управления инцидентами, поставщиками и криптографией. Для криптокомпаний он закрывает сразу несколько регуляторных ожиданий — непрерывный мониторинг, журналирование, контроль ключей, сегментацию инфраструктуры, защиту кошельков и custody-процессов. Подробнее — на странице ISO/IEC 27001:2022. Для проектов на блокчейне особенно актуальна сертификация по ISO 27001 для криптокомпаний СНГ — её признают и банки-партнёры, и европейские контрагенты.
Казахстан и Узбекистан: как синхронизировать требования
Для компаний из обоих рынков практичная стратегия — выстроить единый контур управления рисками, где регуляторные требования подключаются как «надстройки». Так вы получаете устойчивую базу ISO/IEC 27001 и подключаете специфические требования MiCA и GDPR. Про «соответствие MiCA и GDPR в Казахстане» стоит думать не как про разовую проверку, а как про процесс: политика —> практика —> доказательства.
Перед тем как переходить к аудиту и проекту лицензирования, проверьте, что базовые элементы уже на месте.
- Контур данных: знаете, какие данные, где хранятся, на каких основаниях обрабатываются, кто имеет доступ и как удаляются по запросу субъекта (GDPR).
- Модель рисков: формализованная методика оценки и реестр рисков (ISO 27001), покрывающие on-chain/off-chain угрозы и сторонние сервисы.
- Управление ключами: процедуры генерации, хранения, ротации и разделения ролей для HSM/мультисиг-схем (MiCA + ISO контролы).
- Инциденты: план реагирования, RTO/RPO, журналы, критерии уведомления регуляторов и клиентов (GDPR + MiCA).
- Поставщики: договорные и технические меры для облаков, процессоров данных и провайдеров нод (GDPR Art. 28, ISO Annex A.5/A.15).
- Приватность по умолчанию: минимизация данных, DPIA для высокорисковых процессов, механика согласий и интерфейсы для прав субъектов.
- Доказательства: актуальные политики, записи тренингов, протоколы тестов, результаты сканирований, отчёты аудита — то, что вы покажете проверяющим.
Этот чек-лист помогает выровнять ожидания между внутренней командой, аудиторами и потенциальными регуляторами. Для проектов, выходящих на европейские интеграции, дополните его юридическим обзором трансграничных передач данных и криптографической политикой для custody.
Аудит и лицензирование: что проверяют чаще всего
Компании из Казахстана и Узбекистана сталкиваются с одинаковыми «первых пятью» зонами внимания:
- Реестр активов и данных: отсутствие актуальных карт потоков данных и CMDB вызывает вопросы у аудиторов.
- Контроль доступа: слабая сегментация и избыточные права в облаках.
- Логи и мониторинг: сбор есть, но нет корреляции событий и плана реагирования.
- Поставщики: формальные DPA без технических мер.
- Док-трейл: политики написаны, но практики и записи не подтверждают их выполнение.
Именно поэтому аудит безопасности MiCA и ISO (Казахстан, Узбекистан, Грузия, Кыргызстан) логично начинать с экспресс-диагностики: сверить фактические практики с требованиями, закрыть оперативные улучшения, затем переходить к глубокой оценке и подготовке к лицензированию/сертификации.
Кейс-подход: как это выглядит на практике
Представим криптосервис из Ташкента с кастоди-кошельками и P2P-функционалом. Шаги внедрения:
- Верификация юридических оснований обработки данных клиентов ЕС (GDPR) и настройка согласий в продукте.
- Развёртывание ISMS: риск-оценка, политика логирования, playbooks инцидентов, обучение персонала (ISO 27001:2022).
- Карта соответствия MiCA: капитал, AML/CTF, разделение клиентских активов, требования к ИБ и отчётности.
- Технические меры: HSM, мультисиг, сегментация сетей, секрет-менеджмент, CI/CD-контроли.
- Подготовка доказательной базы: отчёты сканирований, пентест, журналы, протоколы тренингов, DPIA.
Для алматинского финтеха шаги будут аналогичны, но акцент сместится на интеграцию с банками и доказательство соответствия политик безопасности требованиям партнёров.
Как помогает ТОО «Систем Менеджмент»
Мы сопровождаем полный цикл: от быстрой диагностики до сертификации и лицензирования.
- Gap-анализ по MiCA, GDPR и ISO/IEC 27001 с приоритезацией рисков.
- Построение ISMS под ключ и подготовка к сертификации ISO 27001:2022.
- Подготовка к проверкам и лицензированию провайдеров криптоуслуг (CASP) в ЕС.
- Юридико-техническая поддержка GDPR: реестр обработок, DPIA, трансграничные передачи, DPA.
- Тренинги для команд: безопасная разработка, реагирование на инциденты, приватность по дизайну.
- Предаудит и сопровождение: чек-листы, доказательная база, коммуникация с аудиторами.
С ТОО «Систем Менеджмент» вы получаете единый план, где соответствие MiCA и GDPR в Казахстане и сертификация ISO идут синхронно с развитием продукта, а не мешают ему.
Готовы перейти к действиям? Запланируем сотрудничество — от Ташкента до Алматы, от криптостартапа до банка-партнёра.