Что будет на проверке по закону о ПД и как вы помогаете?

Проверяющий просит подтвердить, что меры защиты персональных данных выполнены: кто назначен ответственным, какие документы и журналы ведутся, закрыты ли найденные уязвимости. KEMEL.TECH готовит комплект документов по каждому юрлицу, сверяет его с проверочным листом и описью доказательств, а при запросе за 24 часа готовит ответ и документы. Наш специалист участвует в проверке как технический специалист по доверенности, объясняет проверяющему исполненные меры и помогает с возражениями на акт. Мы сопровождаем проверку. Представительство в суде и по делам об административных правонарушениях ведёт партнёрская юрфирма.

Какая категория у моей компании?

Посчитайте общее число уникальных людей, чьи персональные данные есть во всех ваших системах: клиенты, сотрудники, кандидаты, подписчики. Это не годовой показатель. До 10 000 — малые, от 10 000 до 500 000 — средние, от 500 000 — крупные. Если вы обрабатываете ПД ограниченного доступа, категория повышается на один уровень. Для группы компаний категория определяется по каждому юрлицу отдельно. Калькулятор на странице «Закон о ПД» даёт ориентировочный результат за 5 минут, а KEMEL.TECH помогает определить категорию и составить план мер бесплатно. Расчёт не является юридической консультацией.

Что такое платформа KEMEL и что нужно установить?

Платформа KEMEL — это кабинет, в котором видны алерты, реестр находок, журналы по закону о ПД и статус готовности к проверке. Устанавливается агент (Fluent Bit и osquery): он работает через исходящее соединение mTLS на порт 443, входящие порты открывать не нужно. Агент ставится за 1 день: мы устанавливаем его или вы ставите сами. Пилот длится 14 дней: сначала мы проводим пентест и выясняем, какие у вас уязвимости, затем включаем агент, подключаем источники и маскируем ПД, после этого фиксируем находки и подгоняем правила под ваши системы. В конце вы получаете отчёт пилота.

Где хранятся мои данные и логи?

IP-адреса, логины, ФИО, иногда ИИН попадают в логи безопасности, а это персональные данные. Закон требует хранить персональные данные в базе на территории Республики Казахстан (ст. 12 Закона РК № 94-V «О персональных данных и их защите»). Платформа KEMEL работает в дата-центре в Казахстане (SaaS) или в вашем собственном контуре (on-prem), а ИИН, телефоны и e-mail маскируются ещё до записи. Не является юридической консультацией.

Сколько стоит сопровождение?

KEMEL GUARD — подписка с платформой, специалистами и документами по закону о ПД. GUARD Start — от 250 000 ₸ в месяц для малых компаний (до 10 000 человек в базе). GUARD Pro — от 500 000 ₸ в месяц для средних (от 10 000 до 500 000 человек), включает мониторинг KEMEL WATCH. GUARD Ultra — для крупных компаний (от 500 000 человек) и холдингов, цена обсуждается индивидуально. GUARD Gov — для госорганов, цена обсуждается индивидуально. Итоговая цена зависит от объёма и фиксируется в договоре. Отдельно: Red Team KEMEL BREACH — от 1 200 000 ₸, дежурная смена — по согласованию.

Что такое пентест простыми словами?

Пентест (тест на проникновение) — это проверка защиты, при которой специалисты по договору с владельцем систем пытаются их взломать так, как это сделал бы настоящий злоумышленник. Цель — найти слабые места раньше злоумышленников, подтвердить их без вреда для данных и работы сервиса и объяснить, как их исправить. По итогам клиент получает отчёт с описанием каждой уязвимости, её опасности и рекомендациями.

Как работает оплата только за найденные уязвимости?

В KEMEL.TECH (Казахстан) клиент платит только за реально найденные уязвимости по фиксированному тарифу. Если уязвимостей не обнаружено, вы получаете PDF-отчёт «периметр чист» бесплатно. Предоплата отсутствует, а дубликаты одной и той же уязвимости не тарифицируются повторно. Стоимость каждой находки определяется её критичностью по шкале CVSS: от 15 000 ₸ за LOW до 600 000 ₸ за CRITICAL.

Законен ли пентест в Казахстане?

Да, пентест в Казахстане легален при наличии письменного разрешения владельца ресурса (Authorization Letter). Без такого разрешения это неправомерный доступ к информации — ст. 205 УК РК. KEMEL.TECH работает строго в рамках закона: по договору с чётким scope и NDA, с учётом Закона РК «О персональных данных и их защите» № 94-V.

Что делать, если произошла утечка?

Уведомить уполномоченный орган — Комитет по информационной безопасности МИИЦР — в течение одного рабочего дня с момента обнаружения. В уведомлении указываются контакт ответственного лица, принятые меры и данные пострадавших: ФИО, ИИН или номер телефона. Граждан затем уведомляет оператор «электронного правительства». Порядок действий: обнаружение, оценка (что утекло и чьи данные), уведомление, меры и протокол. KEMEL.TECH заранее разрабатывает регламент и шаблон уведомления, а при инциденте подключается от 4 часов и помогает подготовить уведомление в срок.

Работаете ли вы с госорганами?

Да. Для госорганов, квазигосударственного сектора и владельцев критической ИКТ-инфраструктуры есть GUARD Gov: платформа KEMEL разворачивается on-prem в контуре заказчика, данные не покидают ваш контур. В него входят подготовка к новым требованиям по информационной безопасности, интеграция и выгрузки для взаимодействия с НКЦИБ, пентест и Red Team, журналы по закону о ПД и обучение штатных специалистов. Подготовку к испытаниям на соответствие мы проводим, сами испытания проводит уполномоченная организация. Для запроса технической спецификации используйте форму на странице «Госсектор».

Нужен ли пентест по закону о ПД?

Для крупных операторов (от 500 000 человек) закон предусматривает оценку защищённости и тестирование на проникновение, а также независимый аудит. Для малых компаний пентест законом не требуется. Для средних обязателен анализ уязвимостей.

Кто проводит проверку по закону о ПД?

Проверку проводит уполномоченный орган. Ответственность за нарушения предусмотрена ст. 79 КоАП РК.

С какого числа действуют новые требования?

Меры защиты ПД по ст. 25-1 действуют с 21.09.2026. Для данных ограниченного доступа переход на СТ РК 1073-2025 — с 01.01.2027.

Закон о персональных данных в Казахстане с 21.09.2026: что обязательно

KEMEL.TECH · Обновлено 16 октября 2026 г.

Меры защиты персональных данных в Казахстане зависят от категории оператора, которая определяется по общему числу уникальных людей в его цифровых объектах: до 10 000 — малые, от 10 000 до 500 000 — средние, от 500 000 — крупные. Если обрабатываются данные ограниченного доступа, категория повышается на один уровень. При утечке нужно уведомить уполномоченный орган в течение одного рабочего дня.

Как определить категорию компании

Посчитайте общее число уникальных людей, чьи персональные данные есть во всех ваших системах: клиенты, сотрудники, кандидаты, подписчики. Это не годовой показатель, а общее число субъектов персональных данных.

Для группы компаний категория определяется по каждому юрлицу отдельно. Калькулятор на странице «Закон о ПД» даёт ориентировочный результат за 5 минут. Это не юридическая консультация.

Малые: до 10 000 человек.
Средние: от 10 000 до 500 000 человек.
Крупные: от 500 000 человек.
Данные ограниченного доступа повышают категорию на один уровень.

Что требуется для каждой категории

Малые: ответственное лицо, внутренние документы, разграничение доступа, журналы, резервные копии, антивирус, защищённые каналы. Пентест законом не требуется.
Средние: всё из базовых мер, плюс анализ уязвимостей, периодическое обучение работников, порядок реагирования на инциденты и внутренний контроль соблюдения закона.
Крупные: всё из средних, плюс оценка защищённости, тестирование на проникновение, независимый аудит мер защиты ПД и мониторинг событий кибербезопасности.

Данные ограниченного доступа

Для таких данных сбор и обработка допускаются только на цифровых объектах в Республике Казахстан, а криптозащита выполняется по СТ РК 1073-2007 (с 01.01.2027 — СТ РК 1073-2025).

Логи безопасности тоже могут содержать персональные данные: IP-адреса, логины, ФИО, иногда ИИН. Поэтому при подключении мониторинга важно маскировать такие поля ещё до записи.

Нормативная база

Закон РК № 94-V «О персональных данных и их защите», ст. 25-1 (в ред. Закона № 326-VIII от 24.06.2026).
Правила осуществления мер по защите ПД (приказ № 179/НҚ в ред. приказа МИИЦР № 534/НҚ).
Правила уведомления о нарушении безопасности ПД (приказ № 481/НҚ).
Ответственность — ст. 79 КоАП РК.

С чего начать

Посчитать число субъектов ПД и определить категорию.
Назначить ответственного за защиту ПД и утвердить внутренние документы.
Завести журналы: доступа, инцидентов, резервного копирования.
Составить регламент реагирования на утечку и шаблон уведомления.
Для средних и крупных: провести анализ уязвимостей или пентест и обучить сотрудников.

Частые вопросы

Нужен ли пентест по закону о ПД?: Для крупных операторов (от 500 000 человек) закон предусматривает оценку защищённости и тестирование на проникновение, а также независимый аудит. Для малых компаний пентест законом не требуется. Для средних обязателен анализ уязвимостей.
Кто проводит проверку по закону о ПД?: Проверку проводит уполномоченный орган. Ответственность за нарушения предусмотрена ст. 79 КоАП РК.
С какого числа действуют новые требования?: Меры защиты ПД по ст. 25-1 действуют с 21.09.2026. Для данных ограниченного доступа переход на СТ РК 1073-2025 — с 01.01.2027.

Узнать категорию бесплатно