UzbekAI

Ўзбекистон Республикаси Давлат хавфсизлик хизмати раисининг

буйруғи

НИЗОМ

СХЕМАЛАРИ

Ахборот тизимлари ва ресурсларининг киберхавфсизлигини таъминлаш учун қўлланиладиган аппарат, аппарат-дастурий ҳамда дастурий воситаларни сертификатлаштириш тартиби тўғрисидаги низомни тасдиқлаш ҳақида

Ўзбекистон Республикасининг «Киберхавфсизлик тўғрисида»ги Қонуни ва Ўзбекистон Республикаси Президентининг 2024 йил 19 февралдаги ПҚ-75-сон «Қонунларнинг ижтимоий муносабатларни тартибга солишдаги ролини ҳамда норма ижодкорлиги жараёни сифатини янада ошириш бўйича қўшимча чора-тадбирлар тўғрисида»ги қарорига мувофиқ буюраман:

1. Ахборот тизимлари ва ресурсларининг киберхавфсизлигини таъминлаш учун қўлланиладиган аппарат, аппарат-дастурий ҳамда дастурий воситаларни сертификатлаштириш тартиби тўғрисидаги низом иловага мувофиқ тасдиқлансин.

2. Мазкур буйруқ Ўзбекистон Республикаси Вазирлар Маҳкамаси ҳузуридаги Техник жиҳатдан тартибга солиш агентлиги ва Рақамли технологиялар вазирлиги билан келишилган.

3. Мазкур буйруқ расмий эълон қилинган кундан эътиборан кучга киради.

Келишилди:

Ўзбекистон Республикаси Давлат хавфсизлик хизмати раисининг 2024 йил 15 октябрдаги 114-сон буйруғига ИЛОВА

Ахборот тизимлари ва ресурсларининг киберхавфсизлигини таъминлаш учун қўлланиладиган аппарат, аппарат-дастурий ҳамда дастурий воситаларни сертификатлаштириш тартиби тўғрисидаги

Мазкур Низом давлат органлари ва ташкилотларининг ахборот тизимлари ва ресурслари, шунингдек муҳим ахборот инфратузилмаси объектларининг киберхавфсизлигини таъминлаш учун қўлланиладиган аппарат, аппарат-дастурий ва дастурий воситаларни (бундан буён матнда киберхавфсизликни таъминлаш воситалари деб юритилади) мажбурий сертификатлаштириш тартибини белгилайди.

1-боб. Умумий қоидалар

1. Ушбу Низомда қуйидаги асосий тушунчалар қўлланилади:

киберхавфсизликни таъминлаш воситаларини сертификатлаштириш — киберхавфсизликни таъминлаш воситаларининг техник жиҳатдан тартибга солиш соҳасидаги норматив ҳужжатлар (бундан буён матнда норматив ҳужжатлар деб юритилади) талабларига мувофиқлигини тасдиқлаш тартиб-таомили;

сертификатлаштириш органи — «Киберхавфсизлик маркази» давлат унитар корхонаси;

синов лабораторияси — сертификатлаштириш синовларини ўтказувчи аккредитациядан ўтган синов лабораториялари ёки синов маркази;

аризачи — киберхавфсизликни таъминлаш воситаларини ишлаб чиқарувчи, ишлаб чиқарувчининг ваколатли вакили, сотувчи, импорт қилувчи ёки фойдаланувчи жисмоний ёхуд юридик шахслар.

2. Киберхавфсизликни таъминлаш воситалари мажбурий тартибда сертификатлаштирилади.

3. Давлат сирларини ўз ичига олган маълумотларнинг киберхавфсизлигини таъминлаш учун қўлланиладиган воситалар ахборотни техник ҳимоялаш воситалар сифатида ўрнатилган тартибда сертификатланади ҳамда мазкур Низом талаблари татбиқ этилмайди.

4. Аризачи киберхавфсизликни таъминлаш воситаларини сертификатлаштириш учун намуналарни танлаш, идентификация қилиш ва синовдан ўтказишда иштирок этиш ҳуқуқига эга.

5. Киберхавфсизликни таъминлаш воситаларини сертификатлаштириш ушбу Низомнинг 1-иловасидаги схемалар асосида амалга оширилади.

2-боб. Аризаларни бериш ва кўриб чиқиш

6. Киберхавфсизликни таъминлаш воситаларини сертификатлаштириш учун аризачи сертификатлаштириш органига аризани қоғоз ёки электрон шаклда тақдим этади.

7. Сертификатлаштириш учун аризага қуйидагилар илова қилинади:

киберхавфсизликни таъминлаш воситаларини ўрнатиш, созлаш учун фойдаланувчи ва администратор йўриқномаси ҳамда дастурнинг ўрнатиш файллари;

ахборот хавфсизлиги талабларига мувофиқ бошқа сертификатлаштириш органидан олинган мувофиқлик сертификати тўғрисида маълумот (мавжуд бўлган тақдирда);

киберхавфсизликни таъминлаш воситалари дастурий таъминотининг функционал имкониятлар тавсифи тўғрисида маълумот;

киберхавфсизликни таъминловчи аппарат ва аппарат-дастурий воситаларнинг ёрлиғи (маркировкаси) намунаси;

киберхавфсизликни таъминлаш воситаларини серияли ишлаб чиқаришни сертификатлаштириш учун ариза топширилганда, киберхавфсизликни таъминлаш воситаларини ишлаб чиқариш жараёни тўғрисидаги маълумотлар;

интеллектуал мулк объектларига бўлган ҳуқуқларни тасдиқловчи тегишли объект рўйхатдан ўтказилганлиги тўғрисидаги муҳофаза ҳужжати (гувоҳнома, патент ёки уларга илова) нусхаси (мавжуд бўлган тақдирда);

импорт қилинаётган киберхавфсизликни таъминлаш воситаларининг кузатув ёки бошланғич ҳисоб ҳужжатлари (мавжуд бўлган тақдирда).

Конфиденциал маълумотларни қайта ишлашда иштирок этувчи киберхавфсизликни таъминлаш воситаларини сертификатлаштириш учун аризага дастурий таъминотнинг компилация қилинувчи манба коди, мазкур Низомнинг 2-иловасига мувофиқ шаклдаги дастурнинг тавсифи ҳамда аппарат ва аппарат-дастурий воситалар учун конструкторлик ҳужжатлари илова қилиниши лозим.

8. Сертификатлаштириш органи ариза ва унга илова қилинадиган ҳужжатлар келиб тушган кундан бошлаб икки иш куни ичида киберхавфсизликни таъминлаш воситаларини сертификатлаштиришдан ўтказиш ёки ўтказишни рад этиш тўғрисида қарор қабул қилади ҳамда бу хақида аризачини хабардор қилади.

9. Аризачи томонидан мазкур Низомнинг 8-бандида кўрсатилган барча ҳужжатлар тақдим этилмаганда, сертификатлаштириш органи қонунчиликда белгиланган асосларни кўрсатган ҳолда сертификатлашни рад этиш тўғрисида қарор чиқаради ва ушбу қарор нусхасини аризачига юборади.

10. Сертификатлаштириш органи аризачи томонидан барча ҳужжатлар тақдим этилганда, сертификатлаштиришни ўтказиш тўғрисида қарор қабул қилади. Қарорда киберхавфсизликни таъминлаш воситаларини сертификатлаштиришнинг барча асосий шартлари, шу жумладан сертификатлаштириш схемаси ва сертификатлаштиришни ўтказиш учун норматив ҳужжат ҳамда синовлар ўтказиладиган аккредитация қилинган синов лабораторияси кўрсатилади.

3-боб. Намуналарни танлаб олиш ва идентификация қилиш

11. Киберхавфсизликни таъминлаш воситаларини сертификатлаштириш учун намуналарни танлаб олиш ва идентификация қилиш сертификатлаштириш органи томонидан сертификатлаштиришни ўтказиш тўғрисида қарор қабул қилинган кундан бошлаб икки иш куни ичида амалга оширилади.

12. Сертификатлаштириш учун танлаб олинадиган намуналар сони норматив ҳужжатларда кўрсатилган синов усулларидан келиб чиқиб, бир маротаба тўлиқ синовларни ўтказишга етарли миқдорда белгиланади.

13. Киберхавфсизликни таъминлаш воситаларини идентификация қилиш уларнинг идентификация белгиларини мазкур Низомнинг 8-бандида кўрсатилган маълумотлар билан визуал солиштириш орқали амалга оширилади.

Киберхавфсизликни таъминлаш воситаларининг идентификация белгиларига киберхавфсизликни таъминлаш воситаларининг тури (модели), сони, ишлаб чиқарилган санаси, дастурий маҳсулотлар учун манба кодида яратилган файллар санаси, ишлаб чиқарувчининг номи, ишлаб чиқарувчи жойлашган мамлакат ва норматив ҳужжатлар талабларида келтирилган маълумотлар киради.

14. Намуналарни танлаб олиш ва идентификация қилиш далолатнома билан расмийлаштирилади. Далолатнома икки нусхада тузилади ва унинг бир нусхаси аризачига топширилади.

15. Идентификация қилиш натижаларига кўра аризачи томонидан тақдим этилган киберхавфсизликни таъминлаш воситаларининг намуналари уларга нисбатан қўлланиладиган норматив ҳужжатлар талабларига ёки мазкур Низомнинг 8-бандида кўрсатилган маълумотларга тўғри келмаслиги аниқланса, сертификатлаштириш органи томонидан намуна танлаш амалга оширилмайди ва сертификатлаштириш ишларини ўтказиш рад этилади.

Бунда, сертификатлаштириш органи томонидан бир кун ичида аризачига сертификатлаштиришни ўтказиш рад этилганлиги ҳақида аниқланган камчиликларни кўрсатган ҳолда хулоса берилади.

Аризачи идентификация қилиш жараёнида аниқланган камчиликларни бартараф этиб, сертификатлаштириш органига такроран ариза бериши мумкин.

4-боб. Синов ишларини ўтказиш

16. Киберхавфсизликни таъминлаш воситаларини сертификатлаштириш учун синов ишлари синов дастури асосида амалга оширилади. Синов дастурида киберхавфсизликни таъминлаш воситаларини синовдан ўтказишда қўлланиладиган норматив ҳужжатлар талаблари, синов методлари, текшириладиган параметрлар ва характеристикалар таркиби кўрсатилади.

Синов дастури сертификатлаштириш органи томонидан синов лабораторияси билан биргаликда ишлаб чиқилади ва аризачи билан келишилади. Синов дастури сертификатлаштириш органи раҳбари томонидан тасдиқланади.

17. Танлаб олинган намуналар синов дастури билан биргаликда намуналар танлаб олинган кундан бошлаб уч кун ичида синов лабораториясига тақдим этилади.

18. Синов лабораториялари киберхавфсизликни таъминлаш воситаларини норматив ҳужжатлар ва синов дастурига мувофиқ синовларни амалга оширади.

Синов ишлари синов лабораториясида, ишлаб чиқарувчининг объектларида ва эксплуатация қилиш жойида ўтказилиши мумкин.

Аризачи сертификатлаштириш органини сертификатлаш синов ишларини ўтказиш учун зарурий дастурий ва/ёки техник воситалар ҳамда уларга тегишли ҳужжатлар билан таъминлайди.

19. Синов жараёнида киберхавфсизликни таъминлаш воситаларининг дастурий таъминотида ва/ёки унга тегишли ҳужжатларда номувофиқликлар аниқланса, синов лабораторияси бу ҳақда сертификатлаштириш органини ва аризачини хабардор қилади.

Сертификатлаштириш органи бир кун ичида аризачини киберхавфсизликни таъминлаш воситаларининг дастурий таъминотида аниқланган номувофиқликларни бир ойдан кўп бўлмаган муддатда бартараф этиш зарурлиги тўғрисида хабардор қилади.

20. Аризачи киберхавфсизликни таъминлаш воситаларининг дастурий таъминотидаги барча номувофиқликларни белгиланган муддатда бартараф этгандан сўнг сертификатлаштириш органига синов ишларини давом эттириш учун дастурий таъминотни тақдим этади. Аризачи томонидан тақдим этилган дастурий таъминот бир кун ичида сертификатлаштириш органи томонидан синов лабораториясига юборилади.

Аниқланган номувофиқликлар белгиланган муддатда бартараф этилмаса ёки дастурий таъминотдаги ва/ёки унга тегишли ҳужжатларда номувофиқликлар қайта аниқланса, сертификатлаштириш органи рад этиш асосларини кўрсатган ҳолда мувофиқлик сертификати беришни рад этиш тўғрисида қарор чиқаради ва қарор қабул қилинган кундан бошлаб уч кун ичида қарор нусхасини аризачига электрон ёки ёзма шаклда юборади.

21. Синов лабораторияси синовлар натижалари бўйича синов баённомаларини расмийлаштиради. Синов баённомаларида киберхавфсизликни таъминлаш воситаларини норматив ҳужжатлар талабларига мувофиқ ёки номувофиқлиги юзасидан хулоса кўрсатилади.

22. Киберхавфсизликни таъминлаш воситаларини синов ишларининг муддати норматив ҳужжат бўйича ўтказиладиган синов усулларига мувофиқ белгиланади.

23. Намуналарнинг синови сифати ва натижаларнинг ҳаққонийлигига, шунингдек синов баённомаларининг сақланишига синовларни амалга оширган синов лабораторияси масъул ҳисобланади.

24. Синов баённомалари синовларни амалга оширган масъул мутахассислар томонидан имзоланади ва синов лабораторияси раҳбари томонидан тасдиқланади. Тасдиқланган синов баённомалари сертификатлаштириш органига тақдим этилади.

5-боб. Киберхавфсизликни таъминлаш воситаларини ишлаб чиқариш шароитларини баҳолаш

25. Ишлаб чиқариш шароитларини баҳолаш сертификатлаштириш синовларидан сўнг сертификатлаштириш органи томонидан амалга оширилади. Киберхавфсизликни таъминлаш воситаларининг синови натижалари салбий бўлса, ишлаб чиқариш шароитини баҳолаш амалга оширилмайди.

Ишлаб чиқариш шароитини баҳолаш учун сертификатлаштириш органи ўз ходимлари ва (ёки) бошқа мутахассисларни жалб қилган ҳолда комиссия тузади.

26. Сертификатлаштириш органи ишлаб чиқариш шароитларини баҳолашдан олдин сертификатлаштириш учун аризачи томонидан тақдим этилган маълумотларни таҳлил қилади ва ишлаб чиқариш шароитини баҳолаш дастурини ишлаб чиқади.

Ишлаб чиқариш шароитини баҳолаш дастури аризачи билан келишилади ва сертификатлаштириш органи раҳбари томонидан тасдиқланади.

27. Ишлаб чиқариш шароитини баҳолаш муддати ўн иш кунидан ошмаслиги керак.

28. Ишлаб чиқариш шароитини баҳолаш сертификатлаштириш органи томонидан тузилган комиссия ва аризачи ёки унинг вакили иштирокида амалга оширилади.

29. Ишлаб чиқариш шароитини баҳолаш натижалари бўйича икки нусхада далолатнома тузилади ҳамда комиссия аъзолари ва аризачи ёки унинг вакили томонидан имзоланади. Далолатноманинг бир нусхаси аризачига, иккинчи нусхаси эса сертификатлаштириш органига топширилади.

30. Комиссия аъзолари ишлаб чиқариш шароитини баҳолаш жараёнида ўзларига маълум бўлиб қолган ишлаб чиқарувчининг тижорат сирини ташкил этувчи маълумотларни учинчи шахсларга ошкор этмаслиги ва ушбу маълумотлардан ноқонуний равишда фойдаланмасликлари лозим.

6-боб. Мувофиқлик сертификатини расмийлаштириш, мувофиқлик сертификатини беришни рад этиш ва қайта сертификатлаштириш

31. Сертификатлаштириш органи синов баённомаси ва ишлаб чиқариш шароитини баҳолаш далолатномасини кўриб чиқиб, мувофиқлик сертификатини расмийлаштиради ҳамда уни рўйхатдан ўтказади.

Сертификатлаштириш натижалари (синов баённомаси, ишлаб чиқариш шароитини баҳолаш далолатномаси) салбий бўлган тақдирда, мувофиқлик сертификатини бериш рад этилади.

32. Мувофиқлик сертификати барча сертификатлаштириш жараёнлари натижалари олинган кундан бошлаб уч иш куни ичида расмийлаштирилади.

33. Киберхавфсизликни таъминлаш воситаларига мувофиқлик сертификати:

аниқ версия ва назорат суммаси кўрсатилган киберхавфсизликни таъминлаш воситалари учун амал қилиш муддати кўрсатилмасдан;

серияли ишлаб чиқариладиган киберхавфсизликни таъминлаш воситалари учун уч йил муддатга берилади.

34. Киберхавфсизликни таъминлаш воситаларини серияли ишлаб чиқариш учун берилган мувофиқлик сертификатини қўллаш ва мувофиқлик белгисидан фойдаланиш ҳуқуқини бериш тўғрисида сертификатлаштириш органи ҳамда аризачи ўртасида келишув тузилади.

Келишувда мувофиқлик белгисидан фойдаланиш шартлари, шартларни бузганлик учун аризачининг жавобгарлиги, сертификатлаштирилган киберхавфсизликни таъминлаш воситалари устидан сертификатлаштириш органи томонидан даврий баҳолашдан ўтказиш шартлари кўрсатилиши лозим.

35. Сертификатнинг амал қилиш муддати тугаганда, мувофиқлик сертификати мазкур Низомда белгиланган тартибда қайта сертификатлаштириш йўли билан расмийлаштирилади.

36. Серияли ишлаб чиқариладиган киберхавфсизликни таъминлаш воситалари дастурий таъминотининг манба кодига ўзгартиришлар киритилса ва бу манба кодининг назорат суммаси ўзгаришига олиб келса, аризачи ушбу дастурий таъминот версиясига ўзгартириш киритади ҳамда ушбу киритилган ўзгартиришларни тавсифловчи маълумотларни 3 иш куни ичида сертификатлаштириш органига тақдим этади.

Сертификатланган киберхавфсизликни таъминлаш воситаларининг норматив ҳужжатлар талаблари ва синов услублари ўзгарганда ёки янгиланганда, сертификатлаштириш органи бу ҳақда аризачини хабардор қилади.

37. Сертификатлаштириш органи аризачи томонидан тақдим этилган маълумотларни 10 иш куни ичида таҳлил қилади.

Сертификатлаштириш органи таҳлил натижаларига кўра, аризачини қайта сертификатлашни амалга ошириш зарурлиги тўғрисида ёзма равишда хабардор қилади ёки киберхавфсизликни таъминлаш воситасига аввал расмийлаштирилган мувофиқлик сертификатини амал қилишини тасдиқлайди.

38. Сертификатланган киберхавфсизликни таъминлаш воситаларининг манба кодига киритилган ўзгартиришларни аниқлашни имкони бўлган тақдирда, қайта сертификатлаштириш дастурий таъминотнинг ўзгартирилган қисмига нисбатан амалга оширилади.

39. Сертификатлаштириш органи мувофиқлик сертификати рўйхатдан ўтказилган санадан бошлаб уч йил давомида сертификатлаштиришни амалга ошириш натижасида юзага келган барча ҳужжатларнинг сақланиши ва конфиденциаллигини таъминлаши шарт.

40. Хорижий давлатларнинг ваколатли органлари томонидан берилган мувофиқлик сертификатларини тан олиш қонунчиликда белгиланган тартибда амалга оширилади.

7-боб. Даврий баҳолашни ўтказиш

41. Серияли ишлаб чиқариладиган киберхавфсизликни таъминлаш воситаларига мувофиқлик сертификатини расмийлаштирган сертификатлаштириш органи ҳар йили камида бир марта сертификатланган киберхавфсизликни таъминлаш воситаларининг киберхавфсизлик талабларига мувофиқлигини тасдиқлаш мақсадида даврий баҳолашни ўтказади.

42. Даврий баҳолаш режали (даврий) ва режадан ташқари текширишлар шаклида амалга оширилади. Режали даврий баҳолашдан ўтказиш даврийлиги, ҳажми ва шартлари сертификатлаштириш органи ва аризачи билан тузилган келишувда белгиланади.

Режадан ташқари даврий баҳолаш сертификатлаштириш органи томонидан қуйидаги ҳолларда амалга оширилади:

мувофиқлик сертификатининг амал қилиш муддати давомида дастурий таъминот ёки ишлаб чиқариш жараёнидаги ўзгаришлар тўғрисида маълумотлар олинганда;

фойдаланувчилар томонидан сертификатланган киберхавфсизликни таъминлаш воситаларида хавфсизликни таъминлашга таъсир қиладиган номувофиқликлар аниқланганлиги бўйича шикоятлар келиб тушганда;

аризачи томонидан келишув шартлари бузилганда.

43. Даврий баҳолашни амалга ошириш учун сертификатлаштириш органи томонидан комиссия тузилади.

Даврий баҳолаш сертификатлаштириш органи раҳбари томонидан тасдиқланадиган дастур асосида амалга оширилади. Даврий баҳолаш дастурида даврий баҳолашни ўтказиш бўйича ишларнинг мазмуни ва ҳажми, мақсади ҳамда объектлари бўлиши керак.

44. Даврий баҳолашни амалга оширувчи комиссия мазкур Низомнинг 3 — 5-бобларида белгиланган тартибда киберхавфсизликни таъминлаш воситаларининг намуналарини танлаб олади ва идентификация қилади, синов ишларини ўтказади ҳамда ишлаб чиқариш шароитларини баҳолайди.

45. Сертификатлаштириш органи даврий баҳолаш натижаларига кўра:

киберхавфсизликни таъминлаш воситалари норматив ҳужжатлар талабларига мувофиқ бўлса, мувофиқлик сертификатининг амал қилишини тасдиқлайди;

киберхавфсизликни таъминлаш воситаларида ишлаб чиқарувчининг ички ҳужжатлари талабларининг бузилиши аниқланса, мувофиқлик сертификатини тасдиқлайди ва номувофиқликларни бартараф этиш учун муддат белгилайди. Бунда, камчиликларни бартараф этиш муддати ўттиз иш кунидан ошмаслиги керак;

сертификатланган киберхавфсизликни таъминлаш воситалари норматив ҳужжатлар талабларига мувофиқ бўлмаса, мувофиқлик сертификати тугатилади.

Мувофиқлик сертификатининг амал қилиши уни тугатиш ҳақида қарор қабул қилинган санадан эътиборан тугатилади.

46. Даврий баҳолаш натижаларига кўра комиссия томонидан икки нусхада далолатнома тузилади ҳамда барча комиссия аъзолари ва аризачи томонидан имзоланади. Далолатноманинг бир нусхаси аризачига топширилади, иккинчи нусхаси эса сертификатлаштириш органига юборилади.

Бунда ишлаб чиқарувчи ишлаб чиқаришни баҳолаш натижаларидан норози бўлган тақдирда ўз фикрини далолатномада баён қилиши мумкин.

47. Қуйидагилар мувофиқлик сертификатининг амал қилиш муддатини тўхтатиб туришга асос бўлади:

аризачининг ёзма мурожаати;

даврий баҳолашни ўтказишга ишлаб чиқарувчи томонидан шарт-шароит яратилмаганлиги;

мувофиқлик сертификатининг амал қилиш муддати давомида дастурий таъминот ёки ишлаб чиқариш жараёнидаги ўзгаришлар тўғрисида маълумотлар олинмаганлиги.

48. Қуйидагилар мувофиқлик сертификатини тугатишга асос бўлади:

аризачининг ёзма мурожаати;

мувофиқлиги тасдиқланган киберхавфсизликни таъминлаш воситаларининг норматив ҳужжати (ҳужжатлари) ўзгарганда;

даврий баҳолашда аниқланган камчиликлар белгиланган муддатда бартараф қилинмаганда.

49. Сертификатлаштириш органи мазкур Низомнинг 47 — 50-бандларида кўрсатилган ҳолатлар юзасидан уч кун ичида мувофиқлик сертификатининг амал қилишини тасдиқлаш, тўхтатиш ёки тугатиш тўғрисида қарор қабул қилади. Қарорнинг бир нусхаси аризачига қарор қабул қилинган кундан бошлаб бир кун ичида тақдим этилади.

Сертификатлаштириш органи мувофиқлик сертификати тўхтатилганлиги ёки тугатилганлиги тўғрисида Ўзбекистон Республикаси Вазирлар Маҳкамаси ҳузуридаги Ўзбекистон техник жиҳатдан тартибга солиш агентлиги ва Иқтисодиёт ва молия вазирлиги ҳузуридаги Божхона қўмитасига хабарнома юборади.

8-боб. Шикоятларни кўриб чиқиш

50. Манфаатдор томонлар сертификатлаштириш натижаларидан норози бўлган тақдирда, сертификатлаштириш органининг Аппеляция кенгашига (бундан буён матнда Аппеляция кенгаши деб юритилади) ёки бевосита судга мурожаат қилишга ҳақли.

51. Аппеляция кенгаши сертификатлаштириш органи ва синов лабораториясининг қарорларига нисбатан шикоятларни кўриб чиқади.

Аппеляция кенгаши томонидан шикоятларни кўриб чиқишда аризачи иштирок этиши мумкин.

Апелляция кенгаши берилган шикоятни 15 кун ичида кўриб чиқади ва қабул қилинган қарор тўғрисида аризачига ёзма равишда маълум қилади.

52. Манфаатдор томонлар Апеляция кенгаши қарори бўйича қонунчиликда белгиланган тартибда судга шикоят қилишлари мумкин.

9-боб. Якуний қоида

53. Мазкур Низом талабларининг бузилишида айбдор шахслар белгиланган тартибда жавобгар бўладилар.

Ахборот тизимлари ва ресурсларининг киберхавфсизлигини таъминлаш учун қўлланиладиган аппарат, аппарат-дастурий ҳамда дастурий воситаларни сертификатлаштириш тартиби тўғрисидаги низомга 1-ИЛОВА

Киберхавфсизликни таъминлаш воситаларининг сертификатлаштириш

Сертификатлаштириш тартиби 1-схема 2-схема 3- схема 4- схема Сертификатлаштириш учун ариза бериш √ √ √ √ Ариза бўйича қарор қабул қилиш √ √ √ √ Киберхавфсизликни таъминлаш воситаларининг намуналарини танлаб олиш √ √ √ √ Киберхавфсизликни таъминлаш воситалари намуналарини идентификация қилиш √ √ √ √ Синов дастурини ишлаб чиқиш ва тасдиқлаш √ √ √ √ Киберхавфсизликни таъминлаш воситаларини синовдан ўтказиш √ √ √ √ Киберхавфсизликни таъминлаш воситаларини ишлаб чиқарувчининг ишлаб чиқариш шароитларини баҳолаш - - √ - Ҳужжатлар тўпламини (аризачи томонидан тақдим этилган ҳужжатлар, сертификатлаштириш жараёнида тўпланган ҳужжатлар ва норматив ҳужжатлар) таҳлил қилиш √ √ √ √ Мувофиқлик сертификатини расмийлаштириш √ √ √ √ Даврий баҳолашни ўтказиш - - √ -

Ахборот тизимлари ва ресурсларининг киберхавфсизлигини таъминлаш учун қўлланиладиган аппарат, аппарат-дастурий ҳамда дастурий воситаларни сертификатлаштириш тартиби тўғрисидаги низомга 2-ИЛОВА

Ариза берувчи ташкилотнинг номи _________________________________________________________________ Дастур тавсифи I. Дастурий таъминот тафсилотлари 1. Дастурий таъминот номи: _ __________________________________________________________________________________________________ 2. Дастурий таъминотнинг мақсади: _ __________________________________________________________________________________________________ 3. Конфиденциал маълумотларни узатиш: 4. Дастурлаш тили: _ __________________________________________________________________________________________________ 5. Дастурлаш муҳити: 6. Маълумотлар базасини бошқариш тизими: _ __________________________________________________________________________________________________ 7. Дастурий таъминот ишга тушиши учун зарурий тизим талаблари (операцион тизим ва аппарат воситаларга талаблар): _ __________________________________________________________________________________________________ 8. Дастурий таъминот архитектураси ҳақида маълумот: 9. Дастурий таъминотни ўрнатиш ва ишга туширишда амалга ошириладиган ташқи мурожаатлар рўйхати: _ __________________________________________________________________________________________________ 10. Компиляция қилинмаган манба коди ва хар бир компиляция қилинган дастурий таъминотнинг назорат (хэш) қийматлари: _ __________________________________________________________________________________________________ _ __________________________________________________________________________________________________ II. Манба кодининг тавсифи 1. Манба кодининг тузулиши: _ __________________________________________________________________________________________________ 2. Компонентлар таснифи: _ __________________________________________________________________________________________________ _ __________________________________________________________________________________________________ 3. Ҳар бир компонент учун файл таснифи Компонент номи Файл номи Кодлар қатори сони Тавсиф 4. Тармоқ билан ишловчи функциялар таснифи Функция номи Жойи Протокол Қабул қилинган маълумотларнинг тузилиши Узатилган маълумотларнинг тузилиши Тавсиф Тавсифни тайёрлади: _______________________ ______________ лавозим Ф.И.О . Алоқа маълумотлари (телефон, электрон почта) ________________________________________________________ Тавсифни тасдиқлаган: _______________________ ______________ лавозим Ф.И.О .

Раис А. АЗИЗОВ

Техник жиҳатдан тартибга солиш агентлиги директори А. ЖУМАНАЗАРОВ

Рақамли технологиялар вазири Ш. ШЕРМАТОВ

Тошкент ш.,

2024 йил 15 октябрь,

2024 йил 19 сентябрь

2024 йил 24 сентябрь

114-сон

(Қонунчилик маълумотлари миллий базаси, 18.11.2024 й., 10/24/3574/0935-сон)

lex.uz

Oʻzbekiston Respublikasi Davlat xavfsizlik xizmati raisining

buyrugʻi

NIZOM

SXEMALARI

Axborot tizimlari va resurslarining kiberxavfsizligini taʼminlash uchun qoʻllaniladigan apparat, apparat-dasturiy hamda dasturiy vositalarni sertifikatlashtirish tartibi toʻgʻrisidagi nizomni tasdiqlash haqida

Oʻzbekiston Respublikasining “Kiberxavfsizlik toʻgʻrisida”gi Qonuni va Oʻzbekiston Respublikasi Prezidentining 2024-yil 19-fevraldagi PQ-75-son “Qonunlarning ijtimoiy munosabatlarni tartibga solishdagi rolini hamda norma ijodkorligi jarayoni sifatini yanada oshirish boʻyicha qoʻshimcha chora-tadbirlar toʻgʻrisida”gi qaroriga muvofiq buyuraman:

1. Axborot tizimlari va resurslarining kiberxavfsizligini taʼminlash uchun qoʻllaniladigan apparat, apparat-dasturiy hamda dasturiy vositalarni sertifikatlashtirish tartibi toʻgʻrisidagi nizom ilovaga muvofiq tasdiqlansin.

2. Mazkur buyruq Oʻzbekiston Respublikasi Vazirlar Mahkamasi huzuridagi Texnik jihatdan tartibga solish agentligi va Raqamli texnologiyalar vazirligi bilan kelishilgan.

3. Mazkur buyruq rasmiy eʼlon qilingan kundan eʼtiboran kuchga kiradi.

Kelishildi:

Oʻzbekiston Respublikasi Davlat xavfsizlik xizmati raisining 2024-yil 15-oktabrdagi 114-son buyrugʻiga ILOVA

Axborot tizimlari va resurslarining kiberxavfsizligini taʼminlash uchun qoʻllaniladigan apparat, apparat-dasturiy hamda dasturiy vositalarni sertifikatlashtirish tartibi toʻgʻrisidagi

Mazkur Nizom davlat organlari va tashkilotlarining axborot tizimlari va resurslari, shuningdek muhim axborot infratuzilmasi obyektlarining kiberxavfsizligini taʼminlash uchun qoʻllaniladigan apparat, apparat-dasturiy va dasturiy vositalarni (bundan buyon matnda kiberxavfsizlikni taʼminlash vositalari deb yuritiladi) majburiy sertifikatlashtirish tartibini belgilaydi.

1-bob. Umumiy qoidalar

1. Ushbu Nizomda quyidagi asosiy tushunchalar qoʻllaniladi:

kiberxavfsizlikni taʼminlash vositalarini sertifikatlashtirish — kiberxavfsizlikni taʼminlash vositalarining texnik jihatdan tartibga solish sohasidagi normativ hujjatlar (bundan buyon matnda normativ hujjatlar deb yuritiladi) talablariga muvofiqligini tasdiqlash tartib-taomili;

sertifikatlashtirish organi — “Kiberxavfsizlik markazi” davlat unitar korxonasi;

sinov laboratoriyasi — sertifikatlashtirish sinovlarini oʻtkazuvchi akkreditatsiyadan oʻtgan sinov laboratoriyalari yoki sinov markazi;

arizachi — kiberxavfsizlikni taʼminlash vositalarini ishlab chiqaruvchi, ishlab chiqaruvchining vakolatli vakili, sotuvchi, import qiluvchi yoki foydalanuvchi jismoniy yoxud yuridik shaxslar.

2. Kiberxavfsizlikni taʼminlash vositalari majburiy tartibda sertifikatlashtiriladi.

3. Davlat sirlarini oʻz ichiga olgan maʼlumotlarning kiberxavfsizligini taʼminlash uchun qoʻllaniladigan vositalar axborotni texnik himoyalash vositalar sifatida oʻrnatilgan tartibda sertifikatlanadi hamda mazkur Nizom talablari tatbiq etilmaydi.

4. Arizachi kiberxavfsizlikni taʼminlash vositalarini sertifikatlashtirish uchun namunalarni tanlash, identifikatsiya qilish va sinovdan oʻtkazishda ishtirok etish huquqiga ega.

5. Kiberxavfsizlikni taʼminlash vositalarini sertifikatlashtirish ushbu Nizomning 1-ilovasidagi sxemalar asosida amalga oshiriladi.

2-bob. Arizalarni berish va koʻrib chiqish

6. Kiberxavfsizlikni taʼminlash vositalarini sertifikatlashtirish uchun arizachi sertifikatlashtirish organiga arizani qogʻoz yoki elektron shaklda taqdim etadi.

7. Sertifikatlashtirish uchun arizaga quyidagilar ilova qilinadi:

kiberxavfsizlikni taʼminlash vositalarini oʻrnatish, sozlash uchun foydalanuvchi va administrator yoʻriqnomasi hamda dasturning oʻrnatish fayllari;

axborot xavfsizligi talablariga muvofiq boshqa sertifikatlashtirish organidan olingan muvofiqlik sertifikati toʻgʻrisida maʼlumot (mavjud boʻlgan taqdirda);

kiberxavfsizlikni taʼminlash vositalari dasturiy taʼminotining funksional imkoniyatlar tavsifi toʻgʻrisida maʼlumot;

kiberxavfsizlikni taʼminlovchi apparat va apparat-dasturiy vositalarning yorligʻi (markirovkasi) namunasi;

kiberxavfsizlikni taʼminlash vositalarini seriyali ishlab chiqarishni sertifikatlashtirish uchun ariza topshirilganda, kiberxavfsizlikni taʼminlash vositalarini ishlab chiqarish jarayoni toʻgʻrisidagi maʼlumotlar;

intellektual mulk obyektlariga boʻlgan huquqlarni tasdiqlovchi tegishli obyekt roʻyxatdan oʻtkazilganligi toʻgʻrisidagi muhofaza hujjati (guvohnoma, patent yoki ularga ilova) nusxasi (mavjud boʻlgan taqdirda);

import qilinayotgan kiberxavfsizlikni taʼminlash vositalarining kuzatuv yoki boshlangʻich hisob hujjatlari (mavjud boʻlgan taqdirda).

Konfidensial maʼlumotlarni qayta ishlashda ishtirok etuvchi kiberxavfsizlikni taʼminlash vositalarini sertifikatlashtirish uchun arizaga dasturiy taʼminotning kompilatsiya qilinuvchi manba kodi, mazkur Nizomning 2-ilovasiga muvofiq shakldagi dasturning tavsifi hamda apparat va apparat-dasturiy vositalar uchun konstruktorlik hujjatlari ilova qilinishi lozim.

8. Sertifikatlashtirish organi ariza va unga ilova qilinadigan hujjatlar kelib tushgan kundan boshlab ikki ish kuni ichida kiberxavfsizlikni taʼminlash vositalarini sertifikatlashtirishdan oʻtkazish yoki oʻtkazishni rad etish toʻgʻrisida qaror qabul qiladi hamda bu xaqida arizachini xabardor qiladi.

9. Arizachi tomonidan mazkur Nizomning 8-bandida koʻrsatilgan barcha hujjatlar taqdim etilmaganda, sertifikatlashtirish organi qonunchilikda belgilangan asoslarni koʻrsatgan holda sertifikatlashni rad etish toʻgʻrisida qaror chiqaradi va ushbu qaror nusxasini arizachiga yuboradi.

10. Sertifikatlashtirish organi arizachi tomonidan barcha hujjatlar taqdim etilganda, sertifikatlashtirishni oʻtkazish toʻgʻrisida qaror qabul qiladi. Qarorda kiberxavfsizlikni taʼminlash vositalarini sertifikatlashtirishning barcha asosiy shartlari, shu jumladan sertifikatlashtirish sxemasi va sertifikatlashtirishni oʻtkazish uchun normativ hujjat hamda sinovlar oʻtkaziladigan akkreditatsiya qilingan sinov laboratoriyasi koʻrsatiladi.

3-bob. Namunalarni tanlab olish va identifikatsiya qilish

11. Kiberxavfsizlikni taʼminlash vositalarini sertifikatlashtirish uchun namunalarni tanlab olish va identifikatsiya qilish sertifikatlashtirish organi tomonidan sertifikatlashtirishni oʻtkazish toʻgʻrisida qaror qabul qilingan kundan boshlab ikki ish kuni ichida amalga oshiriladi.

12. Sertifikatlashtirish uchun tanlab olinadigan namunalar soni normativ hujjatlarda koʻrsatilgan sinov usullaridan kelib chiqib, bir marotaba toʻliq sinovlarni oʻtkazishga yetarli miqdorda belgilanadi.

13. Kiberxavfsizlikni taʼminlash vositalarini identifikatsiya qilish ularning identifikatsiya belgilarini mazkur Nizomning 8-bandida koʻrsatilgan maʼlumotlar bilan vizual solishtirish orqali amalga oshiriladi.

Kiberxavfsizlikni taʼminlash vositalarining identifikatsiya belgilariga kiberxavfsizlikni taʼminlash vositalarining turi (modeli), soni, ishlab chiqarilgan sanasi, dasturiy mahsulotlar uchun manba kodida yaratilgan fayllar sanasi, ishlab chiqaruvchining nomi, ishlab chiqaruvchi joylashgan mamlakat va normativ hujjatlar talablarida keltirilgan maʼlumotlar kiradi.

14. Namunalarni tanlab olish va identifikatsiya qilish dalolatnoma bilan rasmiylashtiriladi. Dalolatnoma ikki nusxada tuziladi va uning bir nusxasi arizachiga topshiriladi.

15. Identifikatsiya qilish natijalariga koʻra arizachi tomonidan taqdim etilgan kiberxavfsizlikni taʼminlash vositalarining namunalari ularga nisbatan qoʻllaniladigan normativ hujjatlar talablariga yoki mazkur Nizomning 8-bandida koʻrsatilgan maʼlumotlarga toʻgʻri kelmasligi aniqlansa, sertifikatlashtirish organi tomonidan namuna tanlash amalga oshirilmaydi va sertifikatlashtirish ishlarini oʻtkazish rad etiladi.

Bunda, sertifikatlashtirish organi tomonidan bir kun ichida arizachiga sertifikatlashtirishni oʻtkazish rad etilganligi haqida aniqlangan kamchiliklarni koʻrsatgan holda xulosa beriladi.

Arizachi identifikatsiya qilish jarayonida aniqlangan kamchiliklarni bartaraf etib, sertifikatlashtirish organiga takroran ariza berishi mumkin.

4-bob. Sinov ishlarini oʻtkazish

16. Kiberxavfsizlikni taʼminlash vositalarini sertifikatlashtirish uchun sinov ishlari sinov dasturi asosida amalga oshiriladi. Sinov dasturida kiberxavfsizlikni taʼminlash vositalarini sinovdan oʻtkazishda qoʻllaniladigan normativ hujjatlar talablari, sinov metodlari, tekshiriladigan parametrlar va xarakteristikalar tarkibi koʻrsatiladi.

Sinov dasturi sertifikatlashtirish organi tomonidan sinov laboratoriyasi bilan birgalikda ishlab chiqiladi va arizachi bilan kelishiladi. Sinov dasturi sertifikatlashtirish organi rahbari tomonidan tasdiqlanadi.

17. Tanlab olingan namunalar sinov dasturi bilan birgalikda namunalar tanlab olingan kundan boshlab uch kun ichida sinov laboratoriyasiga taqdim etiladi.

18. Sinov laboratoriyalari kiberxavfsizlikni taʼminlash vositalarini normativ hujjatlar va sinov dasturiga muvofiq sinovlarni amalga oshiradi.

Sinov ishlari sinov laboratoriyasida, ishlab chiqaruvchining obyektlarida va ekspluatatsiya qilish joyida oʻtkazilishi mumkin.

Arizachi sertifikatlashtirish organini sertifikatlash sinov ishlarini oʻtkazish uchun zaruriy dasturiy va/yoki texnik vositalar hamda ularga tegishli hujjatlar bilan taʼminlaydi.

19. Sinov jarayonida kiberxavfsizlikni taʼminlash vositalarining dasturiy taʼminotida va/yoki unga tegishli hujjatlarda nomuvofiqliklar aniqlansa, sinov laboratoriyasi bu haqda sertifikatlashtirish organini va arizachini xabardor qiladi.

Sertifikatlashtirish organi bir kun ichida arizachini kiberxavfsizlikni taʼminlash vositalarining dasturiy taʼminotida aniqlangan nomuvofiqliklarni bir oydan koʻp boʻlmagan muddatda bartaraf etish zarurligi toʻgʻrisida xabardor qiladi.

20. Arizachi kiberxavfsizlikni taʼminlash vositalarining dasturiy taʼminotidagi barcha nomuvofiqliklarni belgilangan muddatda bartaraf etgandan soʻng sertifikatlashtirish organiga sinov ishlarini davom ettirish uchun dasturiy taʼminotni taqdim etadi. Arizachi tomonidan taqdim etilgan dasturiy taʼminot bir kun ichida sertifikatlashtirish organi tomonidan sinov laboratoriyasiga yuboriladi.

Aniqlangan nomuvofiqliklar belgilangan muddatda bartaraf etilmasa yoki dasturiy taʼminotdagi va/yoki unga tegishli hujjatlarda nomuvofiqliklar qayta aniqlansa, sertifikatlashtirish organi rad etish asoslarini koʻrsatgan holda muvofiqlik sertifikati berishni rad etish toʻgʻrisida qaror chiqaradi va qaror qabul qilingan kundan boshlab uch kun ichida qaror nusxasini arizachiga elektron yoki yozma shaklda yuboradi.

21. Sinov laboratoriyasi sinovlar natijalari boʻyicha sinov bayonnomalarini rasmiylashtiradi. Sinov bayonnomalarida kiberxavfsizlikni taʼminlash vositalarini normativ hujjatlar talablariga muvofiq yoki nomuvofiqligi yuzasidan xulosa koʻrsatiladi.

22. Kiberxavfsizlikni taʼminlash vositalarini sinov ishlarining muddati normativ hujjat boʻyicha oʻtkaziladigan sinov usullariga muvofiq belgilanadi.

23. Namunalarning sinovi sifati va natijalarning haqqoniyligiga, shuningdek sinov bayonnomalarining saqlanishiga sinovlarni amalga oshirgan sinov laboratoriyasi masʼul hisoblanadi.

24. Sinov bayonnomalari sinovlarni amalga oshirgan masʼul mutaxassislar tomonidan imzolanadi va sinov laboratoriyasi rahbari tomonidan tasdiqlanadi. Tasdiqlangan sinov bayonnomalari sertifikatlashtirish organiga taqdim etiladi.

5-bob. Kiberxavfsizlikni taʼminlash vositalarini ishlab chiqarish sharoitlarini baholash

25. Ishlab chiqarish sharoitlarini baholash sertifikatlashtirish sinovlaridan soʻng sertifikatlashtirish organi tomonidan amalga oshiriladi. Kiberxavfsizlikni taʼminlash vositalarining sinovi natijalari salbiy boʻlsa, ishlab chiqarish sharoitini baholash amalga oshirilmaydi.

Ishlab chiqarish sharoitini baholash uchun sertifikatlashtirish organi oʻz xodimlari va (yoki) boshqa mutaxassislarni jalb qilgan holda komissiya tuzadi.

26. Sertifikatlashtirish organi ishlab chiqarish sharoitlarini baholashdan oldin sertifikatlashtirish uchun arizachi tomonidan taqdim etilgan maʼlumotlarni tahlil qiladi va ishlab chiqarish sharoitini baholash dasturini ishlab chiqadi.

Ishlab chiqarish sharoitini baholash dasturi arizachi bilan kelishiladi va sertifikatlashtirish organi rahbari tomonidan tasdiqlanadi.

27. Ishlab chiqarish sharoitini baholash muddati oʻn ish kunidan oshmasligi kerak.

28. Ishlab chiqarish sharoitini baholash sertifikatlashtirish organi tomonidan tuzilgan komissiya va arizachi yoki uning vakili ishtirokida amalga oshiriladi.

29. Ishlab chiqarish sharoitini baholash natijalari boʻyicha ikki nusxada dalolatnoma tuziladi hamda komissiya aʼzolari va arizachi yoki uning vakili tomonidan imzolanadi. Dalolatnomaning bir nusxasi arizachiga, ikkinchi nusxasi esa sertifikatlashtirish organiga topshiriladi.

30. Komissiya aʼzolari ishlab chiqarish sharoitini baholash jarayonida oʻzlariga maʼlum boʻlib qolgan ishlab chiqaruvchining tijorat sirini tashkil etuvchi maʼlumotlarni uchinchi shaxslarga oshkor etmasligi va ushbu maʼlumotlardan noqonuniy ravishda foydalanmasliklari lozim.

6-bob. Muvofiqlik sertifikatini rasmiylashtirish, muvofiqlik sertifikatini berishni rad etish va qayta sertifikatlashtirish

31. Sertifikatlashtirish organi sinov bayonnomasi va ishlab chiqarish sharoitini baholash dalolatnomasini koʻrib chiqib, muvofiqlik sertifikatini rasmiylashtiradi hamda uni roʻyxatdan oʻtkazadi.

Sertifikatlashtirish natijalari (sinov bayonnomasi, ishlab chiqarish sharoitini baholash dalolatnomasi) salbiy boʻlgan taqdirda, muvofiqlik sertifikatini berish rad etiladi.

32. Muvofiqlik sertifikati barcha sertifikatlashtirish jarayonlari natijalari olingan kundan boshlab uch ish kuni ichida rasmiylashtiriladi.

33. Kiberxavfsizlikni taʼminlash vositalariga muvofiqlik sertifikati:

aniq versiya va nazorat summasi koʻrsatilgan kiberxavfsizlikni taʼminlash vositalari uchun amal qilish muddati koʻrsatilmasdan;

seriyali ishlab chiqariladigan kiberxavfsizlikni taʼminlash vositalari uchun uch yil muddatga beriladi.

34. Kiberxavfsizlikni taʼminlash vositalarini seriyali ishlab chiqarish uchun berilgan muvofiqlik sertifikatini qoʻllash va muvofiqlik belgisidan foydalanish huquqini berish toʻgʻrisida sertifikatlashtirish organi hamda arizachi oʻrtasida kelishuv tuziladi.

Kelishuvda muvofiqlik belgisidan foydalanish shartlari, shartlarni buzganlik uchun arizachining javobgarligi, sertifikatlashtirilgan kiberxavfsizlikni taʼminlash vositalari ustidan sertifikatlashtirish organi tomonidan davriy baholashdan oʻtkazish shartlari koʻrsatilishi lozim.

35. Sertifikatning amal qilish muddati tugaganda, muvofiqlik sertifikati mazkur Nizomda belgilangan tartibda qayta sertifikatlashtirish yoʻli bilan rasmiylashtiriladi.

36. Seriyali ishlab chiqariladigan kiberxavfsizlikni taʼminlash vositalari dasturiy taʼminotining manba kodiga oʻzgartirishlar kiritilsa va bu manba kodining nazorat summasi oʻzgarishiga olib kelsa, arizachi ushbu dasturiy taʼminot versiyasiga oʻzgartirish kiritadi hamda ushbu kiritilgan oʻzgartirishlarni tavsiflovchi maʼlumotlarni 3 ish kuni ichida sertifikatlashtirish organiga taqdim etadi.

Sertifikatlangan kiberxavfsizlikni taʼminlash vositalarining normativ hujjatlar talablari va sinov uslublari oʻzgarganda yoki yangilanganda, sertifikatlashtirish organi bu haqda arizachini xabardor qiladi.

37. Sertifikatlashtirish organi arizachi tomonidan taqdim etilgan maʼlumotlarni 10 ish kuni ichida tahlil qiladi.

Sertifikatlashtirish organi tahlil natijalariga koʻra, arizachini qayta sertifikatlashni amalga oshirish zarurligi toʻgʻrisida yozma ravishda xabardor qiladi yoki kiberxavfsizlikni taʼminlash vositasiga avval rasmiylashtirilgan muvofiqlik sertifikatini amal qilishini tasdiqlaydi.

38. Sertifikatlangan kiberxavfsizlikni taʼminlash vositalarining manba kodiga kiritilgan oʻzgartirishlarni aniqlashni imkoni boʻlgan taqdirda, qayta sertifikatlashtirish dasturiy taʼminotning oʻzgartirilgan qismiga nisbatan amalga oshiriladi.

39. Sertifikatlashtirish organi muvofiqlik sertifikati roʻyxatdan oʻtkazilgan sanadan boshlab uch yil davomida sertifikatlashtirishni amalga oshirish natijasida yuzaga kelgan barcha hujjatlarning saqlanishi va konfidensialligini taʼminlashi shart.

40. Xorijiy davlatlarning vakolatli organlari tomonidan berilgan muvofiqlik sertifikatlarini tan olish qonunchilikda belgilangan tartibda amalga oshiriladi.

7-bob. Davriy baholashni oʻtkazish

41. Seriyali ishlab chiqariladigan kiberxavfsizlikni taʼminlash vositalariga muvofiqlik sertifikatini rasmiylashtirgan sertifikatlashtirish organi har yili kamida bir marta sertifikatlangan kiberxavfsizlikni taʼminlash vositalarining kiberxavfsizlik talablariga muvofiqligini tasdiqlash maqsadida davriy baholashni oʻtkazadi.

42. Davriy baholash rejali (davriy) va rejadan tashqari tekshirishlar shaklida amalga oshiriladi. Rejali davriy baholashdan oʻtkazish davriyligi, hajmi va shartlari sertifikatlashtirish organi va arizachi bilan tuzilgan kelishuvda belgilanadi.

Rejadan tashqari davriy baholash sertifikatlashtirish organi tomonidan quyidagi hollarda amalga oshiriladi:

muvofiqlik sertifikatining amal qilish muddati davomida dasturiy taʼminot yoki ishlab chiqarish jarayonidagi oʻzgarishlar toʻgʻrisida maʼlumotlar olinganda;

foydalanuvchilar tomonidan sertifikatlangan kiberxavfsizlikni taʼminlash vositalarida xavfsizlikni taʼminlashga taʼsir qiladigan nomuvofiqliklar aniqlanganligi boʻyicha shikoyatlar kelib tushganda;

arizachi tomonidan kelishuv shartlari buzilganda.

43. Davriy baholashni amalga oshirish uchun sertifikatlashtirish organi tomonidan komissiya tuziladi.

Davriy baholash sertifikatlashtirish organi rahbari tomonidan tasdiqlanadigan dastur asosida amalga oshiriladi. Davriy baholash dasturida davriy baholashni oʻtkazish boʻyicha ishlarning mazmuni va hajmi, maqsadi hamda obyektlari boʻlishi kerak.

44. Davriy baholashni amalga oshiruvchi komissiya mazkur Nizomning 3 — 5-boblarida belgilangan tartibda kiberxavfsizlikni taʼminlash vositalarining namunalarini tanlab oladi va identifikatsiya qiladi, sinov ishlarini oʻtkazadi hamda ishlab chiqarish sharoitlarini baholaydi.

45. Sertifikatlashtirish organi davriy baholash natijalariga koʻra:

kiberxavfsizlikni taʼminlash vositalari normativ hujjatlar talablariga muvofiq boʻlsa, muvofiqlik sertifikatining amal qilishini tasdiqlaydi;

kiberxavfsizlikni taʼminlash vositalarida ishlab chiqaruvchining ichki hujjatlari talablarining buzilishi aniqlansa, muvofiqlik sertifikatini tasdiqlaydi va nomuvofiqliklarni bartaraf etish uchun muddat belgilaydi. Bunda, kamchiliklarni bartaraf etish muddati oʻttiz ish kunidan oshmasligi kerak;

sertifikatlangan kiberxavfsizlikni taʼminlash vositalari normativ hujjatlar talablariga muvofiq boʻlmasa, muvofiqlik sertifikati tugatiladi.

Muvofiqlik sertifikatining amal qilishi uni tugatish haqida qaror qabul qilingan sanadan eʼtiboran tugatiladi.

46. Davriy baholash natijalariga koʻra komissiya tomonidan ikki nusxada dalolatnoma tuziladi hamda barcha komissiya aʼzolari va arizachi tomonidan imzolanadi. Dalolatnomaning bir nusxasi arizachiga topshiriladi, ikkinchi nusxasi esa sertifikatlashtirish organiga yuboriladi.

Bunda ishlab chiqaruvchi ishlab chiqarishni baholash natijalaridan norozi boʻlgan taqdirda oʻz fikrini dalolatnomada bayon qilishi mumkin.

47. Quyidagilar muvofiqlik sertifikatining amal qilish muddatini toʻxtatib turishga asos boʻladi:

arizachining yozma murojaati;

davriy baholashni oʻtkazishga ishlab chiqaruvchi tomonidan shart-sharoit yaratilmaganligi;

muvofiqlik sertifikatining amal qilish muddati davomida dasturiy taʼminot yoki ishlab chiqarish jarayonidagi oʻzgarishlar toʻgʻrisida maʼlumotlar olinmaganligi.

48. Quyidagilar muvofiqlik sertifikatini tugatishga asos boʻladi:

arizachining yozma murojaati;

muvofiqligi tasdiqlangan kiberxavfsizlikni taʼminlash vositalarining normativ hujjati (hujjatlari) oʻzgarganda;

davriy baholashda aniqlangan kamchiliklar belgilangan muddatda bartaraf qilinmaganda.

49. Sertifikatlashtirish organi mazkur Nizomning 47 — 50-bandlarida koʻrsatilgan holatlar yuzasidan uch kun ichida muvofiqlik sertifikatining amal qilishini tasdiqlash, toʻxtatish yoki tugatish toʻgʻrisida qaror qabul qiladi. Qarorning bir nusxasi arizachiga qaror qabul qilingan kundan boshlab bir kun ichida taqdim etiladi.

Sertifikatlashtirish organi muvofiqlik sertifikati toʻxtatilganligi yoki tugatilganligi toʻgʻrisida Oʻzbekiston Respublikasi Vazirlar Mahkamasi huzuridagi Oʻzbekiston texnik jihatdan tartibga solish agentligi va Iqtisodiyot va moliya vazirligi huzuridagi Bojxona qoʻmitasiga xabarnoma yuboradi.

8-bob. Shikoyatlarni koʻrib chiqish

50. Manfaatdor tomonlar sertifikatlashtirish natijalaridan norozi boʻlgan taqdirda, sertifikatlashtirish organining Appelyatsiya kengashiga (bundan buyon matnda Appelyatsiya kengashi deb yuritiladi) yoki bevosita sudga murojaat qilishga haqli.

51. Appelyatsiya kengashi sertifikatlashtirish organi va sinov laboratoriyasining qarorlariga nisbatan shikoyatlarni koʻrib chiqadi.

Appelyatsiya kengashi tomonidan shikoyatlarni koʻrib chiqishda arizachi ishtirok etishi mumkin.

Apellyatsiya kengashi berilgan shikoyatni 15 kun ichida koʻrib chiqadi va qabul qilingan qaror toʻgʻrisida arizachiga yozma ravishda maʼlum qiladi.

52. Manfaatdor tomonlar Apelyatsiya kengashi qarori boʻyicha qonunchilikda belgilangan tartibda sudga shikoyat qilishlari mumkin.

9-bob. Yakuniy qoida

53. Mazkur Nizom talablarining buzilishida aybdor shaxslar belgilangan tartibda javobgar boʻladilar.

Axborot tizimlari va resurslarining kiberxavfsizligini taʼminlash uchun qoʻllaniladigan apparat, apparat-dasturiy hamda dasturiy vositalarni sertifikatlashtirish tartibi toʻgʻrisidagi nizomga 1-ILOVA

Kiberxavfsizlikni taʼminlash vositalarining sertifikatlashtirish

Sertifikatlashtirish tartibi 1-sxema 2-sxema 3- sxema 4- sxema Sertifikatlashtirish uchun ariza berish √ √ √ √ Ariza boʻyicha qaror qabul qilish √ √ √ √ Kiberxavfsizlikni taʼminlash vositalarining namunalarini tanlab olish √ √ √ √ Kiberxavfsizlikni taʼminlash vositalari namunalarini identifikatsiya qilish √ √ √ √ Sinov dasturini ishlab chiqish va tasdiqlash √ √ √ √ Kiberxavfsizlikni taʼminlash vositalarini sinovdan oʻtkazish √ √ √ √ Kiberxavfsizlikni taʼminlash vositalarini ishlab chiqaruvchining ishlab chiqarish sharoitlarini baholash - - √ - Hujjatlar toʻplamini (arizachi tomonidan taqdim etilgan hujjatlar, sertifikatlashtirish jarayonida toʻplangan hujjatlar va normativ hujjatlar) tahlil qilish √ √ √ √ Muvofiqlik sertifikatini rasmiylashtirish √ √ √ √ Davriy baholashni oʻtkazish - - √ -

Axborot tizimlari va resurslarining kiberxavfsizligini taʼminlash uchun qoʻllaniladigan apparat, apparat-dasturiy hamda dasturiy vositalarni sertifikatlashtirish tartibi toʻgʻrisidagi nizomga 2-ILOVA

Ariza beruvchi tashkilotning nomi _________________________________________________________________ Dastur tavsifi I. Dasturiy taʼminot tafsilotlari 1. Dasturiy taʼminot nomi: _ __________________________________________________________________________________________________ 2. Dasturiy taʼminotning maqsadi: _ __________________________________________________________________________________________________ 3. Konfidensial maʼlumotlarni uzatish: 4. Dasturlash tili: _ __________________________________________________________________________________________________ 5. Dasturlash muhiti: 6. Maʼlumotlar bazasini boshqarish tizimi: _ __________________________________________________________________________________________________ 7. Dasturiy taʼminot ishga tushishi uchun zaruriy tizim talablari (operatsion tizim va apparat vositalarga talablar): _ __________________________________________________________________________________________________ 8. Dasturiy taʼminot arxitekturasi haqida maʼlumot: 9. Dasturiy taʼminotni oʻrnatish va ishga tushirishda amalga oshiriladigan tashqi murojaatlar roʻyxati: _ __________________________________________________________________________________________________ 10. Kompilyatsiya qilinmagan manba kodi va xar bir kompilyatsiya qilingan dasturiy taʼminotning nazorat (xesh) qiymatlari: _ __________________________________________________________________________________________________ _ __________________________________________________________________________________________________ II. Manba kodining tavsifi 1. Manba kodining tuzulishi: _ __________________________________________________________________________________________________ 2. Komponentlar tasnifi: _ __________________________________________________________________________________________________ _ __________________________________________________________________________________________________ 3. Har bir komponent uchun fayl tasnifi Komponent nomi Fayl nomi Kodlar qatori soni Tavsif 4. Tarmoq bilan ishlovchi funksiyalar tasnifi Funksiya nomi Joyi Protokol Qabul qilingan maʼlumotlarning tuzilishi Uzatilgan maʼlumotlarning tuzilishi Tavsif Tavsifni tayyorladi: _______________________ ______________ lavozim F.I.O . Aloqa maʼlumotlari (telefon, elektron pochta) ________________________________________________________ Tavsifni tasdiqlagan: _______________________ ______________ lavozim F.I.O .

Rais A. AZIZOV

Texnik jihatdan tartibga solish agentligi direktori A. JUMANAZAROV

Raqamli texnologiyalar vaziri Sh. SHERMATOV

Toshkent sh.,

2024-yil 15-oktabr,

2024-yil 19-sentabr

2024-yil 24-sentabr

114-son

(Qonunchilik maʼlumotlari milliy bazasi, 18.11.2024-y., 10/24/3574/0935-son)

lex.uz