Aurum Space
Вход Открыть счёт

Правила осуществления деятельности оператора обмена необеспеченных цифровых активов

ТОО «Aurum Space», БИН [___]. Правила разработаны в соответствии с Законом РК «О цифровых активах» № 193-VII и Постановлением Правления Национального Банка РК от 29 апреля 2026 года № 45.

ПРОЕКТ: редакция v1.0 до утверждения органом управления. Реквизиты обозначены плейсхолдерами […] и заполняются после регистрации юридического лица.

Содержание (14 глав, 2 приложения)
  1. Глава 1. Общие положения
  2. Глава 2. Перечень, описание и порядок предоставления услуг, предоставляемых клиентам
  3. Глава 3. Права и обязанности Оператора и клиентов
  4. Глава 4. Процедуры идентификации и верификации клиента
  5. Глава 5. Порядок и условия работы физических отделений и пунктов самообслуживания
  6. Глава 6. Порядок и сроки завершения расчетов по сделкам с цифровыми активами
  7. Глава 7. Информация об источниках пополнения ликвидности и реализации излишней ликвидности в цифровых активах
  8. Глава 8. Описание порядка и механизмов функционирования системы анализа и контроля операций
  9. Глава 9. Порядок и условия открытия и ведения кошельков цифровых активов
  10. Глава 10. Порядок и перечень вопросов для определения квалификации клиента
  11. Глава 11. Адреса кошельков цифровых активов оператора обмена необеспеченных цифровых активов с указанием названия сети блокчейн, на которой открыты кошельки цифровых активов
  12. Глава 12. Процедуры обеспечения кибербезопасности
  13. Глава 13. Порядок разрешения споров и рассмотрения жалоб клиентов
  14. Глава 14. Ограничения и лимиты по операциям клиентов
  15. Приложение 1. Перечень адресов кошельков цифровых активов Оператора
  16. Приложение 2. Перечень необеспеченных цифровых активов, обслуживаемых Оператором

Д1. Правила осуществления деятельности оператора обмена НЦА — редакция v1.0

УТВЕРЖДЕНО решением единственный участник ТОО «Aurum Space» протокол № [___] от [дата]

ПРАВИЛА осуществления деятельности оператора обмена необеспеченных цифровых активов ТОО «Aurum Space», БИН 231040005081

Глава 1. Общие положения

  1. Настоящие Правила осуществления деятельности оператора обмена необеспеченных цифровых активов (далее – Правила) разработаны в соответствии с Законом Республики Казахстан от 6 февраля 2023 года № 193-VII «О цифровых активах в Республике Казахстан» (далее – Закон о цифровых активах), Законом Республики Казахстан от 28 августа 2009 года № 191-IV «О противодействии легализации (отмыванию) доходов, полученных преступным путем, финансированию терроризма и финансированию распространения оружия массового уничтожения» (далее – Закон о ПОД/ФТ/ФРОМУ), постановлением Правления Национального Банка Республики Казахстан от 29 апреля 2026 года № 45 «Об утверждении правил осуществления деятельности операторов обмена необеспеченных цифровых активов» (зарегистрировано в Министерстве юстиции Республики Казахстан 30 апреля 2026 года № 38622) (далее – Постановление № 45), иными нормативными правовыми актами Республики Казахстан и определяют порядок осуществления деятельности оператора обмена необеспеченных цифровых активов ТОО «Aurum Space» (далее – Оператор), а также права и обязанности Оператора и клиентов, порядок предоставления услуг, внутренние процедуры, требования к кибербезопасности, системе анализа и контроля операций, кошелькам цифровых активов, ликвидности, квалификации клиентов, порядку разрешения споров и рассмотрения жалоб.

  2. Настоящие Правила являются внутренним нормативным документом Оператора, утверждаются органом управления Оператора и обязательны для исполнения всеми работниками, должностными лицами и иными лицами, участвующими в деятельности Оператора (подпункт 5) пункта 6 статьи 12-2 Закона о цифровых активах; пункт 23 Постановления № 45).

  3. Оператор осуществляет деятельность исключительно при наличии лицензии и в пределах видов деятельности, предусмотренных законодательством Республики Казахстан и лицензией.

  4. Оператор осуществляет деятельность на принципах законности, добросовестности, прозрачности, защиты интересов клиентов, риск-ориентированного подхода, соблюдения требований кибербезопасности и недопущения вовлечения в незаконные финансовые операции.

  5. В настоящих Правилах используются понятия, определенные Законом о цифровых активах, Законом о ПОД/ФТ/ФРОМУ и Постановлением № 45, а также следующие понятия: 1) клиент — физическое или юридическое лицо, пользующееся услугами Оператора; 2) система анализа и контроля операций — совокупность организационных и программно-технических мер, направленных на мониторинг, выявление, анализ и документирование операций клиентов; 3) кибербезопасность — совокупность мер по защите информационных систем, данных, программно-технических средств и инфраструктуры Оператора; 4) квалификация клиента — уровень подготовки клиента к операциям с необеспеченными цифровыми активами, определяемый по результатам установленной процедуры оценки; 5) приватный ключ доступа — уникальная криптографическая информация, сгенерированная в определенной последовательности и используемая для совершения электронной цифровых подписей при совершении операций с цифровыми активами, а также для получения доступа к кошельку цифрового актива (подпункт 2) пункта 2 Постановления № 45); 6) мнемоническая фраза — уникальная последовательность слов, предназначенная для восстановления доступа к кошельку цифрового актива всем адресам, созданным в кошельке цифровых активов (подпункт 3) пункта 2 Постановления № 45); 7) холодный кошелек цифрового актива — аппаратное средство, которое используется для хранения криптографических ключей или управления ими, обеспечивающее доступ к цифровым активам и проведение транзакций с ними (подпункт 4) пункта 2 Постановления № 45); 8) горячий кошелек цифрового актива — программное средство, которое используется для хранения криптографических ключей или управления ими, обеспечивающее доступ к цифровым активам и проведение транзакций с ними (подпункт 5) пункта 2 Постановления № 45).

5-1. Изменения и (или) дополнения в настоящие Правила утверждаются органом управления Оператора. Оператор уведомляет Национальный Банк Республики Казахстан (далее – Национальный Банк) о внесенных изменениях в течение 10 (десяти) рабочих дней с представлением новой редакции Правил (часть вторая пункта 4 Постановления № 45).

Глава 2. Перечень, описание и порядок предоставления услуг, предоставляемых клиентам

  1. Оператор предоставляет клиентам следующие услуги: 1) покупка необеспеченных цифровых активов за деньги; 2) продажа необеспеченных цифровых активов за деньги; 3) обмен одного необеспеченного цифрового актива на другой необеспеченный цифровой актив; 4) открытие и ведение кошельков цифровых активов; 5) иные услуги, прямо предусмотренные законодательством Республики Казахстан и лицензией Оператора.

  2. Услуги предоставляются через: 1) электронную платформу Оператора; 2) мобильное приложение Оператора; 3) физические отделения Оператора; 4) пункты самообслуживания; 5) иные каналы, не запрещенные законодательством Республики Казахстан. Услуги посредством физических отделений и пунктов самообслуживания предоставляются с момента их фактического открытия Оператором; до этого момента услуги оказываются дистанционно посредством электронной платформы (интернет-ресурса) и мобильного приложения Оператора.

Открытый вопрос владельцу (ТЗ 3.1, вопрос № 2): подтвердить конфигурацию MVP «только дистанционные каналы»; подпункты 3)–4) сохранены как право Оператора.

  1. Для получения услуг клиент: 1) проходит идентификацию и верификацию; 2) предоставляет сведения и документы, установленные законодательством Республики Казахстан и внутренними документами Оператора; 3) подтверждает ознакомление с рисками обращения необеспеченных цифровых активов; 4) принимает условия договора и настоящих Правил; 5) при необходимости проходит процедуру определения квалификации клиента.

  2. До начала оказания услуг Оператор предоставляет клиенту информацию: 1) о перечне и содержании услуг; 2) о тарифах, комиссиях и иных платежах; 3) о порядке совершения операций; 4) о сроках исполнения операций и расчетов; 5) о рисках, связанных с необеспеченными цифровыми активами; 6) о порядке рассмотрения жалоб и споров; 7) о лицензии Оператора; копия лицензии размещается на главной странице интернет-ресурса Оператора и в местах обслуживания клиентов (пункт 11 Постановления № 45).

  3. Условия оказания услуг, права и обязанности сторон, стоимость услуг, порядок расчетов и иные существенные условия устанавливаются договором между Оператором и клиентом.

Глава 3. Права и обязанности Оператора и клиентов

  1. Оператор имеет право: 1) запрашивать у клиента документы и сведения, необходимые для оказания услуг, идентификации, верификации, оценки рисков и выполнения требований законодательства Республики Казахстан; 2) отказывать в оказании услуг, приостанавливать или прекращать оказание услуг в случаях, предусмотренных законодательством, настоящими Правилами и договором; 3) устанавливать лимиты, ограничения и иные контрольные параметры по операциям; 4) осуществлять мониторинг операций клиентов; 5) приостанавливать операции при выявлении признаков нарушений или рисков; 6) требовать от клиента соблюдения законодательства Республики Казахстан, договора и настоящих Правил.

  2. Оператор обязан: 1) оказывать услуги добросовестно, прозрачно и в соответствии с законодательством Республики Казахстан; 2) обеспечивать надлежащую идентификацию и верификацию клиентов; 3) обеспечивать сохранность денег, цифровых активов, учетных данных и иной информации; 4) обеспечивать функционирование системы анализа и контроля операций; 5) обеспечивать кибербезопасность информационных систем и данных; 6) вести учет операций и хранить документы и сведения в установленные сроки; 7) предоставлять клиентам достоверную и полную информацию об услугах; 8) рассматривать жалобы и обращения клиентов; 9) соблюдать требования законодательства Республики Казахстан по противодействию легализации доходов, финансированию терроризма и финансированию распространения оружия массового уничтожения.

  3. Клиент имеет право: 1) получать услуги Оператора в пределах законодательства и договора; 2) получать достоверную информацию об услугах, тарифах, комиссиях, рисках и сроках; 3) получать подтверждение совершенных операций; 4) подавать жалобы и обращения; 5) требовать возврата денег и (или) цифровых активов при наличии оснований, предусмотренных законодательством, договором и настоящими Правилами.

  4. Клиент обязан: 1) предоставлять достоверные сведения и документы; 2) соблюдать законодательство Республики Казахстан, договор и настоящие Правила; 3) не использовать услуги Оператора для противоправных целей; 4) своевременно сообщать об изменении предоставленных сведений; 5) соблюдать требования безопасности при работе с кошельками цифровых активов.

Глава 4. Процедуры идентификации и верификации клиента

  1. Оператор проводит идентификацию и верификацию клиента до начала установления деловых отношений и до совершения операций, если это предусмотрено законодательством Республики Казахстан.

  2. Идентификация клиента включает установление и проверку: 1) для физического лица — фамилии, имени, отчества (при наличии), индивидуального идентификационного номера, данных документа, удостоверяющего личность, адреса проживания, контактных данных; 2) для юридического лица — наименования, бизнес-идентификационного номера, места нахождения, сведений о руководителе, представителе и бенефициарном собственнике; 3) полномочий представителя; 4) цели деловых отношений и предполагаемого характера операций; 5) иных сведений, предусмотренных законодательством Республики Казахстан и внутренними документами Оператора.

  3. Верификация клиента осуществляется путем проверки предоставленных сведений и документов с использованием: 1) документов и оригиналов; 2) государственных информационных систем; 3) электронных сервисов идентификации; 4) иных законных источников.

  4. Оператор применяет риск-ориентированный подход при идентификации и верификации клиентов.

  5. При отказе клиента от прохождения идентификации и верификации Оператор вправе отказать в оказании услуг.

Глава 5. Порядок и условия работы физических отделений и пунктов самообслуживания

  1. Физические отделения и пункты самообслуживания Оператора используются для оказания услуг в соответствии с законодательством Республики Казахстан и внутренними документами Оператора. Нормы настоящей главы применяются с момента фактического открытия Оператором физических отделений и (или) пунктов самообслуживания.

  2. Физическое отделение Оператора должно обеспечивать: 1) прием клиентов в установленном режиме работы; 2) идентификацию клиентов; 3) безопасное проведение операций; 4) сохранность денег, документов и технических средств; 5) размещение информации о наименовании Оператора, лицензии, режимах работы, тарифах и рисках; 6) наличие систем видеонаблюдения и контроля доступа.

  3. Пункт самообслуживания должен обеспечивать: 1) техническую устойчивость и защищенность; 2) защиту от несанкционированного доступа; 3) идентификацию клиента до проведения операции; 4) автоматическую фиксацию совершаемых операций; 5) защищенную передачу данных в информационные системы Оператора.

  4. Порядок доступа клиентов, режим работы, правила обслуживания и технические требования к отделениям и пунктам самообслуживания устанавливаются внутренними документами Оператора.

Глава 6. Порядок и сроки завершения расчетов по сделкам с цифровыми активами

  1. Расчеты по сделкам с цифровыми активами осуществляются в сроки, предусмотренные договором с клиентом, внутренними документами Оператора и законодательством Республики Казахстан, но не позднее срока, установленного пунктом 33 настоящих Правил.

  2. Клиентами оператора обмена необеспеченных цифровых активов выступают физические и юридические лица (пункт 25 Постановления № 45).

  3. Операции по покупке и продаже необеспеченных цифровых активов с клиентами-резидентами Республики Казахстан осуществляются оператором обмена необеспеченных цифровых активов в национальной валюте. Операции по покупке и продаже необеспеченных цифровых активов с клиентами-нерезидентами Республики Казахстан осуществляются оператором обмена необеспеченных цифровых активов в национальной и (или) иностранной валюте (пункт 26 Постановления № 45).

  4. Операции с необеспеченными цифровыми активами совершаются оператором обмена необеспеченных цифровых активов от собственного имени и за собственные средства. Для оказания услуги оператор обмена необеспеченных цифровых активов принимает от клиентов заявки на покупку и продажу необеспеченных цифровых активов (пункт 27 Постановления № 45).

  5. Оператор обмена необеспеченных цифровых активов хранит необеспеченные цифровые активы на холодных и (или) горячих кошельках цифровых активов (пункт 28 Постановления № 45).

  6. Оператор обмена необеспеченных цифровых активов до совершения клиентом операции доводит до его сведения информацию о рисках, связанных с покупкой, продажей и владением необеспеченными цифровыми активами, которая содержит, но не ограничивается: 1) указанием на то, что необеспеченные цифровые активы не являются средством платежа; 2) указанием на то, что необеспеченные цифровые активы не обеспечиваются государством и приобретение необеспеченных цифровых активов может привести к полной потере денег и иных объектов гражданских прав, в том числе в результате волатильности стоимости необеспеченных цифровых активов, технических сбоев (ошибок), совершения противоправных действий, включая хищение; 3) указанием на то, что лица, осуществляющие операции с необеспеченными цифровыми активами через операторов обмена необеспеченных цифровых активов, самостоятельно несут ответственность за изменение стоимости необеспеченного цифрового актива; 4) указанием на риск исключения необеспеченного цифрового актива из перечня необеспеченных цифровых активов, установленного пунктом 57 Постановления № 45, и из перечня необеспеченных цифровых активов, обслуживаемых Оператором (Приложение 2 к настоящим Правилам), с последствиями, предусмотренными главой 14 настоящих Правил (подпункт 9) пункта 54 Постановления № 45). Информация о рисках размещается на главной странице интернет-ресурса оператора обмена необеспеченных цифровых активов или на отдельной странице этого интернет-ресурса с принятием мер по привлечению к ней внимания его посетителей (пункт 29 Постановления № 45).

  7. Оператор обмена необеспеченных цифровых активов обслуживает клиентов только после принятия мер по надлежащей проверке клиента, предусмотренных Законом о ПОД/ФТ/ФРОМУ. Биометрическая аутентификация клиентов-резидентов Республики Казахстан при оказании услуг дистанционным способом осуществляется посредством Центра обмена идентификационными данными Национального Банка (далее – ЦОИД). Идентификация клиентов-нерезидентов Республики Казахстан осуществляется посредством ЦОИД и (или) сторонних сервисов удаленной идентификации при условии соблюдения требований законодательства Республики Казахстан и Правил внутреннего контроля, разработанных в соответствии с требованиями Закона о ПОД/ФТ/ФРОМУ. Оператор обмена необеспеченных цифровых активов подключается к Центру обмена данными по платежным транзакциям с признаками мошенничества Национального Банка (далее – антифрод-центр) путем установления технического взаимодействия с цифровой системой оператора антифрод-центра (пункт 30 Постановления № 45).

  8. Оператор обмена необеспеченных цифровых активов хранит сведения о сделках с цифровыми активами не менее 5 (пяти) лет со дня прекращения деловых отношений с клиентом. Оператор обмена необеспеченных цифровых активов хранит сведения, полученные по результатам надлежащей проверки, не менее 5 (пяти) лет со дня прекращения деловых отношений с клиентом (пункт 31 Постановления № 45).

  9. Оператор обмена необеспеченных цифровых активов при оказании клиентам услуги по открытию и обслуживанию кошельков цифровых активов обеспечивает безопасность и надлежащее хранение мнемонических фраз и приватных ключей кошельков цифровых активов клиентов. Оператор обмена необеспеченных цифровых активов не раскрывает клиентам мнемонические фразы и приватные ключи кошельков цифровых активов и несет ответственность перед клиентами за их сохранность. Мнемонические фразы, приватные ключи, пароли к личному кабинету (в случае открытия личного кабинета) и кошелькам цифровых активов клиентов хранятся оператором обмена необеспеченных цифровых активов в защищенной среде, исключающей несанкционированный доступ третьих лиц. Оператор обмена необеспеченных цифровых активов внедряет комплекс организационно-технических мер защиты информации, включая применение средств криптографической защиты. Доступ к указанным сведениям предоставляется уполномоченным работникам оператора обмена необеспеченных цифровых активов на основании трудового договора с работником, должностной инструкции работника и (или) приказа руководителя оператора обмена необеспеченных цифровых активов о предоставлении доступа работнику. Оператор обмена необеспеченных цифровых активов ведет учет всех действий, совершенных с указанными сведениями, включая их передачу, копирование и уничтожение. Доступ к сведениям подлежит немедленному ограничению или отзыву в случаях увольнения работника и (или) изменения должностных обязанностей. Доступ к личному кабинету клиента осуществляется с помощью логина и пароля, которые могут быть изменены либо восстановлены (при утере) в случае обращения клиента и после подтверждения его личности оператором обмена необеспеченных цифровых активов согласно пункту 30 настоящих Правил (пункт 32 Постановления № 45).

  10. Для проведения операции с необеспеченными цифровыми активами оператор обмена необеспеченных цифровых активов получает от клиента деньги на свой текущий банковский счет или необеспеченные цифровые активы на свой адрес кошелька цифрового актива и передает клиенту встречное исполнение в виде денег или необеспеченных цифровых активов в зависимости от вида совершенной операции с необеспеченными цифровыми активами в течение 2 (двух) рабочих дней с момента получения от клиента денег или цифровых активов (пункт 33 Постановления № 45).

33-1. Обмен одного необеспеченного цифрового актива на другой необеспеченный цифровой актив осуществляется путем последовательного совершения двух обменных операций: продажи клиентом Оператору необеспеченного цифрового актива за деньги в национальной валюте и покупки клиентом у Оператора другого необеспеченного цифрового актива за деньги в национальной валюте, с соблюдением сроков, установленных пунктом 33 настоящих Правил.

УТОЧНИТЬ (запрос в НБ, вопрос В2): допустимость обмена НЦА↔НЦА как отдельной услуги в рамках дилерской лицензии; операционные нормы Постановления № 45 (пункты 33–35) описывают только контур «деньги ↔ НЦА», прямого запрета обмена нет.

  1. Оператор обмена необеспеченных цифровых активов осуществляет операции по продаже необеспеченных цифровых активов за наличную национальную валюту посредством открытия физических отделений и (или) пунктов самообслуживания, а также безналичным способом посредством мобильного приложения или иного дистанционного способа обслуживания (пункт 34 Постановления № 45).

  2. Оператор обмена необеспеченных цифровых активов не осуществляет операции по покупке необеспеченных цифровых активов у клиента за наличную валюту. Операции оператора обмена необеспеченных цифровых активов по покупке необеспеченных цифровых активов клиентов осуществляются только безналичным способом, в том числе посредством мобильного приложения или иного дистанционного способа обслуживания (пункт 35 Постановления № 45).

  3. Оператор обмена необеспеченных цифровых активов при осуществлении деятельности посредством физических отделений, пунктов самообслуживания и (или) посредством мобильного приложения или иного дистанционного способа обслуживания обеспечивает отображение статуса и сведений об оказанной услуге в личном кабинете клиента (в случае открытия личного кабинета), а также осуществляет мониторинг состояния физических отделений и пунктов самообслуживания в режиме реального времени (статус функционирования, количество наличных средств в кассе и купюроприемнике). Оператор обмена необеспеченных цифровых активов обеспечивает непрерывность функционирования интернет-ресурса, мобильного приложения, цифровой инфраструктуры, конфиденциальность, целостность и доступность данных цифровых систем оператора обмена необеспеченных цифровых активов (пункт 36 Постановления № 45).

  4. Оператор обмена необеспеченных цифровых активов обеспечивает зачисление остатков наличных денег на собственный банковский счет в сроки, установленные согласно внутренним актам оператора обмена необеспеченных цифровых активов, но не реже 1 (одного) раза в месяц (пункт 37 Постановления № 45).

  5. Оператор в случае оказания услуги посредством открытия физических отделений обеспечивает выполнение следующих требований: 1) отделение является отдельно стоящим зданием либо находится внутри коммерческих или офисных помещений (зданий); 2) отделение оборудовано охранной сигнализацией с подключением к пульту охраны, а также тревожной кнопкой; 3) в отделении на видимом для обозрения клиентами месте размещаются данные об операторе обмена необеспеченных цифровых активов (наименование, контакты и лицензия оператора обмена необеспеченных цифровых активов); 4) работник оператора обмена необеспеченных цифровых активов проводит идентификацию клиента перед проведением каждой его операции в соответствии с Законом о ПОД/ФТ/ФРОМУ (пункт 38 Постановления № 45).

  6. Оператор в случае оказания услуги посредством пункта самообслуживания обеспечивает выполнение следующих требований: 1) пункт самообслуживания осуществляет передачу данных о проведенных операциях оператору обмена необеспеченных цифровых активов; 2) пункт самообслуживания имеет защиту от взлома; 3) в пункте самообслуживания на видимом для обозрения клиентами месте размещаются данные о владельце пункта самообслуживания (наименование, контакты и лицензия оператора обмена необеспеченных цифровых активов); 4) оборудование проводит идентификацию клиента перед проведением каждой его операции; 5) проводится сервисное обслуживание пункта самообслуживания (пункт 39 Постановления № 45).

  7. После оказания услуги по покупке или продаже необеспеченных цифровых активов оператор обмена необеспеченных цифровых активов обеспечивает выдачу клиенту документа, подтверждающего совершение операции, предусмотренного в договоре с клиентом, а также просмотр истории проведенных операций (пункт 40 Постановления № 45).

  8. Разрешается приобретение и продажа необеспеченных цифровых активов оператором обмена необеспеченных цифровых активов их эмитентам для целей осуществления деятельности, предусмотренной Правилами. Приобретение либо продажа необеспеченных цифровых активов у провайдеров услуг цифровых активов, имеющих лицензию (разрешение) от регулирующих органов иностранных государств, разрешается в объеме, не превышающем 50 (пятьдесят) процентов от общего объема приобретаемых либо продаваемых необеспеченных цифровых активов провайдерам услуг цифровых активов в течение 6 (шести) последних календарных месяцев (пункт 41 Постановления № 45).

  9. Оператор обмена необеспеченных цифровых активов использует разные банковские счета для хозяйственной деятельности компании и для осуществления операций, предусмотренной лицензией (пункт 42 Постановления № 45).

Глава 7. Информация об источниках пополнения ликвидности и реализации излишней ликвидности в цифровых активах

  1. Оператор обмена необеспеченных цифровых активов обеспечивает наличие достаточного объема ликвидности для надлежащего и своевременного исполнения обязательств перед клиентами по операциям покупки, продажи и (или) обмена необеспеченных цифровых активов.

  2. Источниками пополнения ликвидности Оператора являются: 1) собственные средства Оператора, сформированные в соответствии с законодательством Республики Казахстан; 2) денежные средства, поступающие в оплату по операциям клиентов в пределах заключенных договоров; 3) необеспеченные цифровые активы, поступающие от клиентов в рамках совершения операций; 4) иные источники, не запрещенные законодательством Республики Казахстан и предусмотренные внутренними документами Оператора.

  3. Оператор осуществляет учет и контроль достаточности ликвидности на постоянной основе с учетом: 1) текущих обязательств перед клиентами; 2) объемов совершаемых операций; 3) рыночной волатильности необеспеченных цифровых активов; 4) операционных и технологических рисков; 5) требований законодательства Республики Казахстан и внутренних лимитов Оператора.

  4. Оператор обеспечивает раздельный учет собственных средств и средств клиентов, а также исключает использование средств клиентов для финансирования хозяйственной деятельности Оператора, если иное прямо не предусмотрено законодательством Республики Казахстан.

  5. Реализация излишней ликвидности в цифровых активах допускается при условии: 1) отсутствия риска нарушения обязательств перед клиентами; 2) соблюдения внутренних лимитов и процедур управления рисками; 3) соблюдения требований законодательства Республики Казахстан; 4) документального оформления соответствующих операций; 5) отсутствия признаков конфликта интересов.

  6. Излишней ликвидностью признается объем денег и (или) необеспеченных цифровых активов, превышающий минимально необходимый уровень для исполнения текущих и прогнозируемых обязательств Оператора перед клиентами и обеспечения операционной устойчивости.

  7. Решение о пополнении ликвидности либо реализации излишней ликвидности принимается уполномоченным органом или должностным лицом Оператора в порядке, установленном внутренними документами Оператора, с соблюдением внутренних лимитов ликвидности, установленных внутренним документом Оператора по управлению риском потери ликвидности (глава 8 Правил формирования системы управления рисками, утвержденных постановлением Правления Национального Банка Республики Казахстан от 29 апреля 2026 года № 47).

  8. При принятии решений, указанных в пункте 49 настоящих Правил, Оператор учитывает: 1) прогноз движения клиентских средств; 2) прогноз объемов сделок; 3) состояние рынка необеспеченных цифровых активов; 4) необходимость обеспечения бесперебойной работы; 5) требования к кибербезопасности и внутреннему контролю.

  9. Операции по пополнению ликвидности и реализации излишней ликвидности подлежат обязательной фиксации во внутренних учетных системах Оператора с указанием: 1) даты и времени операции; 2) источника пополнения либо направления реализации; 3) вида и объема цифрового актива; 4) суммы денег в национальной и (или) иностранной валюте; 5) ответственного работника; 6) основания совершения операции.

  10. Оператор не вправе использовать механизмы пополнения ликвидности и реализации излишней ликвидности в целях уклонения от исполнения обязательств перед клиентами, обхода требований законодательства Республики Казахстан либо совершения операций с признаками легализации доходов, финансирования терроризма или финансирования распространения оружия массового уничтожения.

Глава 8. Описание порядка и механизмов функционирования системы анализа и контроля операций

  1. Оператор обмена необеспеченных цифровых активов обеспечивает функционирование системы анализа и контроля операций, предназначенной для выявления, анализа, оценки и документирования операций клиентов, подлежащих мониторингу в соответствии с законодательством Республики Казахстан и внутренними документами Оператора (пункт 51 Постановления № 45; подпункт 1) пункта 1 статьи 12-1 Закона о цифровых активах).

  2. Система анализа и контроля операций применяется в целях: 1) выявления операций, имеющих признаки необычности, подозрительности, аномальности либо несоответствия заявленному профилю клиента; 2) контроля соблюдения клиентами установленных лимитов и ограничений; 3) выявления операций, связанных с повышенными рисками; 4) обеспечения соблюдения требований законодательства Республики Казахстан по ПОД/ФТ/ФРОМУ; 5) минимизации операционных, комплаенс- и репутационных рисков Оператора.

  3. Система анализа и контроля операций обеспечивает мониторинг и отслеживание операций с цифровыми активами, включая выявление подозрительных действий клиентов, а также автоматизированный мониторинг транзакций в режиме реального времени, включая: 1) входящие и исходящие операции по покупке, продаже и (или) обмену необеспеченных цифровых активов; 2) операции, совершаемые через интернет-ресурс, мобильное приложение, физические отделения и пункты самообслуживания; 3) операции с кошельками цифровых активов; 4) иные операции, подлежащие контролю в соответствии с внутренними документами Оператора (пункт 51 Постановления № 45).

  4. При функционировании системы анализа и контроля операций Оператор применяет риск-ориентированный подход, предусматривающий присвоение клиентам, кошелькам цифровых активов, операциям и иным объектам контроля соответствующего уровня риска. По результатам оценки кошелька цифрового актива клиента Оператор присваивает кошельку цифровых активов клиента уровень риска (пункт 51 Постановления № 45).

  5. Оператор проводит оценку риска клиента с учетом, в том числе: 1) сведений, полученных в ходе идентификации и верификации; 2) статуса клиента как резидента или нерезидента; 3) характера и объема совершаемых операций; 4) источника происхождения денег и (или) цифровых активов; 5) частоты, регулярности и маршрута операций; 6) использования сервисов, повышающих анонимность операций; 7) сведений о наличии негативной информации в отношении клиента; 8) иных факторов, определенных внутренними документами Оператора.

  6. Оператор осуществляет контроль кошельков цифровых активов клиента, в том числе анализ: 1) истории движения цифровых активов; 2) использования адресов, связанных с высоким уровнем риска; 3) взаимодействия с сервисами смешивания, анонимизации или иными инструментами, повышающими анонимность операций и усложняющими определение цепочки держателей цифрового актива (пункт 51 Постановления № 45); 4) несоответствия операций заявленной цели обслуживания; 5) иных признаков, указывающих на повышенный риск.

  7. Система анализа и контроля операций должна обеспечивать: 1) автоматическое выявление операций, подлежащих дополнительной проверке; 2) формирование предупреждений о рискованных операциях; 3) передачу информации и уведомление ответственного лица (подразделения), ответственного за соблюдение Закона о ПОД/ФТ/ФРОМУ (пункт 51 Постановления № 45); 4) приостановление операции при наличии оснований; 5) фиксацию результатов проверки и принятого решения; 6) хранение сведений о выявленных нарушениях и мерах реагирования.

  8. Оператор определяет перечень признаков операций, подлежащих дополнительному контролю, который может включать: 1) несоответствие операции обычному поведению клиента; 2) дробление операций; 3) многократное проведение однотипных операций; 4) использование нескольких кошельков без очевидной экономической цели; 5) резкое увеличение объема операций; 6) операции с высоким риском по географическому признаку; 7) участие в операции сервисов повышенной анонимности; 8) иные признаки, определенные Оператором.

  9. При выявлении операции, подлежащей дополнительному изучению, ответственное подразделение или должностное лицо Оператора проводит анализ операции с использованием: 1) сведений о клиенте; 2) данных о кошельках цифровых активов; 3) сведений о предыдущих операциях клиента; 4) открытых и закрытых источников информации; 5) иных законных источников информации.

  10. По результатам анализа операция может быть: 1) разрешена к проведению; 2) приостановлена до получения дополнительных сведений; 3) отклонена; 4) признана подозрительной и передана на дальнейшее рассмотрение в порядке, установленном внутренними документами Оператора и законодательством Республики Казахстан.

  11. Оператор обеспечивает документирование всех действий по анализу и контролю операций, включая: 1) дату и время выявления операции; 2) основание для дополнительной проверки; 3) сведения о работнике, осуществившем анализ; 4) результат проверки; 5) принятое решение; 6) дальнейшие действия по операции.

  12. Доступ к информации, формируемой системой анализа и контроля операций, предоставляется только уполномоченным работникам Оператора в объеме, необходимом для исполнения ими должностных обязанностей.

  13. Оператор обеспечивает периодический пересмотр правил, алгоритмов и параметров системы анализа и контроля операций с учетом изменения законодательства Республики Казахстан, выявленных рисков, результатов внутреннего контроля и практики совершения операций.

  14. В случае выявления технического сбоя системы анализа и контроля операций Оператор обязан принять меры по его устранению, обеспечить ручной контроль операций на период восстановления работоспособности системы и зафиксировать соответствующий инцидент во внутреннем журнале.

  15. Порядок формирования критериев риска, настройки контрольных сценариев, распределения полномочий работников, а также порядок хранения результатов анализа операций определяются внутренними документами Оператора.

Глава 9. Порядок и условия открытия и ведения кошельков цифровых активов

  1. Оператор обмена необеспеченных цифровых активов открывает и ведет кошельки цифровых активов клиентов в целях оказания услуг по покупке, продаже и (или) обмену необеспеченных цифровых активов, а также иных услуг, предусмотренных законодательством Республики Казахстан и лицензией Оператора.

  2. Открытие кошелька цифровых активов осуществляется Оператором после: 1) проведения идентификации и верификации клиента; 2) определения уровня риска клиента в соответствии с внутренними документами Оператора; 3) ознакомления клиента с рисками, связанными с использованием кошелька цифровых активов; 4) принятия клиентом условий договора, настоящих Правил и иных внутренних документов Оператора; 5) получения согласия клиента на обработку его персональных данных в случаях, предусмотренных законодательством Республики Казахстан.

  3. Кошелек цифровых активов открывается клиенту в порядке и на условиях, установленных внутренними документами Оператора, договором с клиентом и законодательством Республики Казахстан.

  4. При открытии кошелька цифровых активов Оператор: 1) присваивает кошельку уникальный идентификатор; 2) формирует адрес кошелька в соответствующей сети блокчейн; 3) фиксирует сведения о клиенте, на имя которого открыт кошелек; 4) определяет уровень доступа клиента к операциям с кошельком; 5) обеспечивает надлежащую защиту учетных данных и средств доступа.

  5. Оператор обеспечивает хранение и использование кошельков цифровых активов с соблюдением требований конфиденциальности, целостности и доступности данных, а также требований к кибербезопасности.

  6. Оператор обеспечивает безопасность и надлежащее хранение мнемонических фраз и приватных ключей кошельков цифровых активов клиентов (пункт 32 Постановления № 45).

  7. Оператор не раскрывает клиентам мнемонические фразы и приватные ключи кошельков цифровых активов и несет ответственность перед клиентами за их сохранность в пределах, установленных законодательством Республики Казахстан и договором.

  8. Мнемонические фразы, приватные ключи, пароли к личному кабинету (в случае его открытия) и иные средства доступа к кошелькам цифровых активов клиентов хранятся Оператором в защищенной среде, исключающей несанкционированный доступ третьих лиц.

  9. Оператор внедряет комплекс организационно-технических мер защиты информации, включая, но не ограничиваясь: 1) применением средств криптографической защиты информации; 2) разграничением доступа к сведениям о кошельках; 3) использованием многофакторной аутентификации; 4) журналированием действий с кошельками; 5) резервным копированием и восстановлением данных; 6) контролем целостности данных; 7) мониторингом несанкционированных попыток доступа.

  10. Доступ к сведениям о мнемонических фразах, приватных ключах, паролях и иным средствам доступа предоставляется только уполномоченным работникам Оператора на основании трудового договора, должностной инструкции и (или) приказа руководителя Оператора о предоставлении доступа.

  11. Оператор ведет учет всех действий, совершенных с указанными сведениями, включая их передачу, копирование, изменение, восстановление и уничтожение.

  12. Доступ к сведениям подлежит немедленному ограничению или отзыву в случаях: 1) увольнения работника; 2) изменения его должностных обязанностей; 3) выявления нарушений требований кибербезопасности; 4) утраты доверия к работнику по основаниям, предусмотренным внутренними документами Оператора.

  13. Доступ клиента к личному кабинету осуществляется с использованием логина и пароля, а также иных способов аутентификации, предусмотренных внутренними документами Оператора.

  14. Логин и пароль клиента могут быть изменены либо восстановлены при утере на основании обращения клиента после подтверждения его личности Оператором в порядке, установленном пунктом 30 настоящих Правил.

  15. Оператор обеспечивает возможность просмотра клиентом истории операций по кошельку цифровых активов в личном кабинете, если открытие личного кабинета предусмотрено договором и техническими возможностями Оператора.

  16. Оператор обеспечивает раздельный учет цифровых активов клиентов и собственных цифровых активов, а также принимает меры, исключающие их смешение.

  17. Оператор вправе устанавливать ограничения по кошельку цифровых активов, включая: 1) лимиты на входящие и исходящие переводы; 2) ограничения по отдельным видам цифровых активов; 3) ограничения по операциям в зависимости от уровня риска клиента; 4) временную блокировку операций при выявлении признаков нарушения законодательства или внутренних правил Оператора.

  18. Закрытие кошелька цифровых активов осуществляется: 1) по заявлению клиента; 2) при прекращении договорных отношений; 3) при нарушении клиентом законодательства Республики Казахстан, договора или настоящих Правил; 4) в иных случаях, предусмотренных законодательством Республики Казахстан и внутренними документами Оператора.

  19. При закрытии кошелька цифровых активов Оператор обеспечивает: 1) завершение всех незавершенных операций; 2) возврат остатка денег и (или) цифровых активов клиенту при наличии оснований; 3) фиксацию факта закрытия кошелька; 4) сохранение сведений о кошельке и операциях в течение срока, установленного законодательством Республики Казахстан и настоящими Правилами.

  20. Порядок восстановления доступа к кошельку цифровых активов, смены учетных данных, блокировки кошелька, перевода остатков цифровых активов и иные условия его ведения определяются внутренними документами Оператора.

Глава 10. Порядок и перечень вопросов для определения квалификации клиента

  1. Оператор обмена необеспеченных цифровых активов осуществляет определение квалификации клиента в целях оценки уровня его знаний, опыта и понимания рисков, связанных с совершением операций с необеспеченными цифровыми активами (пункты 53–55 Постановления № 45).

  2. Определение квалификации клиента проводится до предоставления клиенту доступа к операциям с необеспеченными цифровыми активами. Клиент, не прошедший процедуру определения квалификации либо не набравший минимальный проходной балл, обслуживается с применением лимитов и ограничений, установленных главой 14 настоящих Правил.

УТОЧНИТЬ (запрос в НБ, вопрос В8): обязательность допуска к операциям только после прохождения теста нормативно прямо не решена (пункты 53–56 Постановления № 45); в Правилах закреплен консервативный вариант — тест до первой операции.

  1. Определение квалификации клиента осуществляется на основании ответов клиента на вопросник (тест), формируемый Оператором в электронном и (или) бумажном виде.

  2. Вопросник (тест) должен содержать не менее 10 (десяти) вопросов и может предусматривать один или несколько правильных ответов (пункт 53 Постановления № 45).

  3. Вопросник (тест) формируется с учетом необходимости оценки: 1) опыта клиента в совершении операций с необеспеченными цифровыми активами; 2) знаний клиента о видах необеспеченных цифровых активов и особенностях их обращения; 3) понимания клиентом принципов работы кошельков цифровых активов; 4) понимания клиентом рисков, связанных с утратой доступа к кошельку цифровых активов; 5) понимания клиентом необратимости операций с необеспеченными цифровыми активами; 6) понимания клиентом высокой волатильности стоимости необеспеченных цифровых активов; 7) осознания клиентом отсутствия государственных гарантий по необеспеченным цифровым активам; 8) понимания клиентом рисков мошенничества, фишинга, социальной инженерии и иных противоправных действий; 9) понимания клиентом возможных налоговых, валютных и иных правовых последствий операций с необеспеченными цифровыми активами; 10) осознания клиентом рисков приостановления или отказа в проведении операций в случаях, предусмотренных Законом о ПОД/ФТ/ФРОМУ, законодательством Республики Казахстан и настоящими Правилами (подпункт 8) пункта 54 Постановления № 45); 11) опыта использования клиентом кошельков цифровых активов с указанием их видов и названий (пункт 54 Постановления № 45); 12) видов инструментов на базе цифровых активов, в отношении которых у клиента имеется практический опыт осуществления операций (пункт 54 Постановления № 45); 13) осознания клиентом риска исключения необеспеченного цифрового актива из перечня необеспеченных цифровых активов, обслуживаемых Оператором в соответствии с пунктом 57 Постановления № 45 (подпункт 9) пункта 54 Постановления № 45).

  4. Перечень вопросов для определения квалификации клиента может включать, но не ограничивается, следующими вопросами: 1) имеет ли клиент опыт совершения операций с необеспеченными цифровыми активами; 2) знаком ли клиент с принципами функционирования технологии блокчейн; 3) понимает ли клиент, что необеспеченные цифровые активы не являются средством платежа; 4) осознает ли клиент, что необеспеченные цифровые активы не обеспечиваются государством; 5) понимает ли клиент, что стоимость необеспеченных цифровых активов может существенно изменяться в короткий срок; 6) знает ли клиент, что операции с необеспеченными цифровыми активами являются необратимыми; 7) понимает ли клиент последствия утраты приватного ключа или мнемонической фразы; 8) знает ли клиент, что использование сторонних сервисов анонимизации может повлечь ограничение или блокирование операции; 9) знаком ли клиент с базовыми требованиями законодательства Республики Казахстан, применимыми к операциям с цифровыми активами; 10) понимает ли клиент, что несет самостоятельную ответственность за принимаемые инвестиционные решения и связанные с ними риски; 11) имеет ли клиент опыт использования кошельков цифровых активов, каких видов (аппаратные, программные) и названий; 12) в отношении каких видов инструментов на базе цифровых активов клиент имеет практический опыт совершения операций; 13) осознает ли клиент и принимает ли риск исключения необеспеченного цифрового актива из перечня необеспеченных цифровых активов, обслуживаемых Оператором (Приложение 2 к настоящим Правилам).

  5. Оператор вправе дополнять перечень вопросов в зависимости от уровня риска клиента, вида цифрового актива, способа обслуживания и иных обстоятельств, имеющих значение для оценки квалификации клиента.

  6. По результатам прохождения вопросника (теста) Оператор присваивает клиенту один из следующих уровней квалификации: 1) достаточный уровень квалификации; 2) недостаточный уровень квалификации.

  7. Критерии отнесения клиента к соответствующему уровню квалификации, включая минимальный проходной балл, определяются внутренними документами Оператора.

  8. Минимальный проходной балл не может быть ниже 80 (восьмидесяти) процентов от общего количества вопросов (пункт 55 Постановления № 45).

  9. Клиент, не набравший минимальный проходной балл, признается недостаточно квалифицированным для совершения операций с необеспеченными цифровыми активами в объемах и на условиях, определенных настоящими Правилами и внутренними документами Оператора.

  10. В отношении клиентов, признанных недостаточно квалифицированными, Оператор применяет лимиты и ограничения по операциям, установленные главой 14 настоящих Правил (пункт 56 Постановления № 45), а также вправе применять дополнительные ограничения, предусмотренные внутренними документами Оператора.

  11. Повторное прохождение процедуры определения квалификации клиента допускается не ранее чем через 30 (тридцать) календарных дней с даты предыдущего прохождения, если иной срок не установлен внутренними документами Оператора (пункт 55 Постановления № 45).

  12. Результаты определения квалификации клиента фиксируются Оператором в электронном и (или) бумажном виде и хранятся в течение срока, установленного законодательством Республики Казахстан и внутренними документами Оператора.

  13. Оператор обязан обеспечивать актуализацию вопросника (теста) с учетом изменений законодательства Республики Казахстан, практики совершения операций с необеспеченными цифровыми активами, выявленных рисков и результатов внутреннего контроля.

  14. В случае изменения законодательства Республики Казахстан, существенного изменения рисков или внедрения новых продуктов и услуг Оператор вправе проводить повторную оценку квалификации клиента вне зависимости от сроков, указанных в пункте 100 настоящих Правил.

Глава 11. Адреса кошельков цифровых активов оператора обмена необеспеченных цифровых активов с указанием названия сети блокчейн, на которой открыты кошельки цифровых активов

  1. Оператор обмена необеспеченных цифровых активов ведет и актуализирует перечень адресов кошельков цифровых активов, используемых для осуществления деятельности по покупке, продаже и (или) обмену необеспеченных цифровых активов, а также для иных операций, предусмотренных законодательством Республики Казахстан, настоящими Правилами и внутренними документами Оператора.

104-1. Адреса кошельков цифровых активов Оператора с указанием названия сети блокчейн, на которой открыты кошельки цифровых активов, приведены в Приложении 1 к настоящим Правилам, являющемся их неотъемлемой частью (абзац одиннадцатый пункта 23 Постановления № 45). При изменении адресов кошельков цифровых активов и (или) сетей блокчейн изменения вносятся в Приложение 1 в порядке, установленном для внесения изменений в настоящие Правила.

УТОЧНИТЬ (запрос в НБ, вопрос В11): порядок актуализации Приложения 1 при ротации/смене адресов кошельков — требуется ли переутверждение Правил органом управления с уведомлением НБ по пункту 5-1 Правил либо достаточно уведомления.

  1. Перечень адресов кошельков цифровых активов должен содержать: 1) наименование цифрового актива; 2) адрес кошелька цифрового актива; 3) название сети блокчейн, на которой открыт кошелек цифрового актива; 4) тип кошелька (холодный, горячий, иное); 5) назначение кошелька; 6) дату открытия кошелька; 7) дату последней актуализации сведений; 8) наименование структурного подразделения или ответственного работника, ведущего учет соответствующего кошелька.

  2. Перечень адресов кошельков цифровых активов утверждается уполномоченным органом или руководителем Оператора в порядке, установленном внутренними документами Оператора.

  3. Служебные сведения о кошельках цифровых активов (ответственные подразделения и работники, даты открытия и актуализации, статусы, назначение) размещаются в отдельном внутреннем реестре, доступ к которому предоставляется только уполномоченным работникам Оператора. Перечень адресов кошельков цифровых активов и названий сетей блокчейн раскрывается в Приложении 1 к настоящим Правилам.

  4. Оператор обеспечивает актуальность сведений об адресах кошельков цифровых активов и названиях сетей блокчейн, в том числе при: 1) создании нового кошелька; 2) изменении назначения кошелька; 3) переводе кошелька в другую сеть блокчейн; 4) закрытии кошелька; 5) изменении ответственного работника; 6) выявлении технической ошибки либо несоответствия в ранее внесенных сведениях.

  5. При изменении адреса кошелька цифрового актива или сети блокчейн Оператор вносит соответствующие изменения в перечень адресов кошельков цифровых активов не позднее рабочего дня, следующего за днем такого изменения, если иной срок не установлен внутренними документами Оператора.

  6. Оператор обеспечивает защиту сведений об адресах кошельков цифровых активов от несанкционированного доступа, изменения, копирования, уничтожения и распространения третьим лицам, за исключением случаев, предусмотренных законодательством Республики Казахстан.

  7. Доступ к сведениям об адресах кошельков цифровых активов предоставляется: 1) руководителю Оператора; 2) уполномоченному работнику, ответственному за ведение реестра кошельков; 3) работникам, осуществляющим операции, контроль и кибербезопасность, в объеме, необходимом для исполнения должностных обязанностей; 4) иным лицам в случаях, прямо предусмотренных законодательством Республики Казахстан.

  8. В случае использования нескольких сетей блокчейн в отношении одного и того же цифрового актива Оператор отдельно указывает адрес кошелька и наименование каждой сети блокчейн.

  9. Реестр адресов кошельков цифровых активов подлежит хранению в течение срока, установленного законодательством Республики Казахстан и внутренними документами Оператора, но не менее 5 (пяти) лет со дня прекращения использования соответствующего кошелька.

  10. Порядок ведения, обновления, хранения и защиты перечня адресов кошельков цифровых активов определяется внутренним документом Оператора.

Глава 12. Процедуры обеспечения кибербезопасности

  1. Оператор обмена необеспеченных цифровых активов обеспечивает защиту информационных систем, программно-аппаратных средств, сетевой инфраструктуры, баз данных, мобильного приложения, интернет-ресурса, каналов связи, криптографических ключей, учетных данных пользователей, персональных данных и иной информации, используемой при осуществлении деятельности Оператора.

  2. Процедуры обеспечения кибербезопасности направлены на обеспечение конфиденциальности, целостности, доступности, подлинности и наблюдаемости информации, а также на предупреждение, выявление, локализацию и устранение инцидентов кибербезопасности.

  3. Оператор обеспечивает разработку, утверждение, внедрение, актуализацию и исполнение внутренних документов по кибербезопасности, включая: 1) политику кибербезопасности; 2) правила управления доступом; 3) правила управления инцидентами кибербезопасности; 4) правила резервного копирования и восстановления данных; 5) правила использования криптографических средств защиты; 6) правила безопасной разработки, внедрения и сопровождения информационных систем; 7) правила работы с уязвимостями и обновлениями программного обеспечения; 8) правила контроля подрядчиков и третьих лиц, имеющих доступ к информационным ресурсам Оператора.

  4. Оператор определяет ответственное подразделение и (или) должностное лицо, уполномоченное на организацию и контроль выполнения требований кибербезопасности.

  5. Оператор обеспечивает управление доступом к информационным системам на основе принципов необходимости, минимальных привилегий и персональной ответственности пользователей.

  6. Доступ к информационным системам предоставляется только уполномоченным работникам и третьим лицам при наличии соответствующего основания, служебной необходимости и в объеме, необходимом для исполнения ими должностных обязанностей или договорных обязательств.

  7. Оператор устанавливает порядок: 1) идентификации и аутентификации пользователей; 2) назначения, изменения и отзыва прав доступа; 3) использования многофакторной аутентификации для доступа к критически важным системам; 4) разграничения административного, пользовательского и привилегированного доступа; 5) периодического пересмотра прав доступа; 6) немедленного ограничения доступа при увольнении работника, изменении его функций либо выявлении нарушения требований безопасности.

  8. Учетные записи пользователей должны быть уникальными, а действия пользователей — подлежащими журналированию и последующему анализу.

  9. Оператор обеспечивает применение средств защиты информации, включая: 1) антивирусную защиту; 2) средства межсетевого экранирования; 3) средства обнаружения и предотвращения вторжений; 4) средства защиты от утечки информации; 5) средства контроля целостности; 6) средства криптографической защиты информации; 7) средства резервного копирования; 8) иные средства защиты, определяемые внутренними документами Оператора.

  10. Криптографическая защита информации применяется при передаче, хранении и обработке конфиденциальной информации, включая персональные данные, учетные данные, сведения о кошельках цифровых активов, приватные ключи и иные критически важные сведения.

  11. Приватные ключи, мнемонические фразы, пароли и иные средства доступа к кошелькам цифровых активов подлежат хранению в защищенной среде с ограниченным доступом и с применением дополнительных мер криптографической и организационной защиты.

  12. Оператор обеспечивает ведение журналов регистрации событий кибербезопасности, включая: 1) входы и выходы пользователей; 2) попытки несанкционированного доступа; 3) изменение прав доступа; 4) операции с привилегированными учетными записями; 5) изменение критически важных настроек; 6) срабатывания средств защиты; 7) иные события, определенные внутренними документами Оператора.

  13. Журналы регистрации подлежат защите от изменения и уничтожения, а также хранению в течение срока, установленного внутренними документами Оператора и законодательством Республики Казахстан, при этом журналы, содержащие информацию об инцидентах кибербезопасности, хранятся не менее 5 (пяти) лет (пункт 43 Постановления № 45).

  14. Оператор обеспечивает регулярный мониторинг событий кибербезопасности с целью своевременного выявления инцидентов, аномалий, угроз и признаков компрометации информационных систем. Информация об инцидентах кибербезопасности, полученная в ходе мониторинга, подлежит консолидации, систематизации и хранению (пункт 48 Постановления № 45).

  15. Оператор проводит анализ уязвимостей, тестирование защищенности и иные мероприятия по оценке уровня защищенности информационных систем не реже периодичности, установленной внутренними документами Оператора, а также дополнительно при внедрении новых систем, функционала или инфраструктурных изменений.

  16. Оператор обеспечивает своевременное обновление программного обеспечения, устранение уязвимостей, установку актуальных патчей и контроль версий используемого программного обеспечения.

  17. При выявлении критических уязвимостей Оператор обязан принять неотложные меры по их устранению либо временной изоляции затронутых компонентов информационной инфраструктуры (пункт 44 Постановления № 45).

  18. Оператор организует резервное копирование информации, необходимой для непрерывности деятельности и восстановления работоспособности информационных систем, с определением: 1) перечня подлежащих резервному копированию данных; 2) периодичности резервного копирования; 3) мест хранения резервных копий; 4) срока хранения резервных копий; 5) порядка проверки целостности и восстановимости резервных копий.

  19. Резервные копии должны храниться в условиях, исключающих несанкционированный доступ, повреждение, утрату или одновременное уничтожение исходных данных и резервных копий.

  20. Оператор обеспечивает наличие и регулярную проверку процедур восстановления работоспособности информационных систем, данных и сервисов после сбоев, аварий, киберинцидентов или иных чрезвычайных обстоятельств.

  21. В Операторе должен быть утвержден порядок реагирования на инциденты кибербезопасности, предусматривающий: 1) выявление и регистрацию инцидента; 2) его классификацию по уровню критичности; 3) локализацию и минимизацию последствий; 4) сбор и фиксацию доказательств; 5) информирование ответственных работников и руководства; 6) устранение причины инцидента; 7) восстановление работоспособности; 8) анализ причин и подготовку корректирующих мер.

  22. По каждому инциденту кибербезопасности оформляется отдельная карта инцидента, содержащая (пункт 46 Постановления № 45): 1) дату и время возникновения, обнаружения и устранения инцидента; 2) описание инцидента; 3) затронутые информационные ресурсы; 4) причину возникновения; 5) последствия и размер ущерба; 6) принятые меры; 7) ответственных лиц; 8) сведения о восстановлении и предотвращении повторения.

  23. Оператор ведет журнал учета инцидентов кибербезопасности с отражением всей информации о выявленных инцидентах, мерах реагирования, сроках устранения и результатах расследования (пункт 45 Постановления № 45). Срок хранения информации об инцидентах кибербезопасности составляет не менее 5 (пяти) лет (пункт 43 Постановления № 45).

  24. Информация о значимых инцидентах кибербезопасности подлежит немедленному доведению до руководителя Оператора, ответственного подразделения и иных лиц в соответствии с внутренними документами Оператора.

  25. Оператор направляет в Национальный Банк в произвольной форме уведомление о произошедших инцидентах кибербезопасности в течение 24 (двадцати четырех) часов с момента их обнаружения с приложением карты инцидента кибербезопасности (пункт 49 Постановления № 45).

УТОЧНИТЬ (запрос в НБ, вопрос В9): канал и адресат уведомления нормативно не установлены; до ответа НБ во внутреннем регламенте (Д4) фиксируется рабочая гипотеза «канцелярия НБ + официальный e-mail».

  1. Оператор осуществляет управление рисками кибербезопасности с указанием наименования, описания, причины возникновения, приемлемого уровня риска и плана мероприятий по его минимизации по отношению к цифровым объектам Оператора (пункт 47 Постановления № 45), включая: 1) идентификацию угроз; 2) оценку уязвимостей; 3) определение уровня риска; 4) установление контрольных мер; 5) мониторинг эффективности мер защиты; 6) пересмотр рисков при изменении процессов, технологий или внешней среды.

  2. Оператор обеспечивает обучение работников вопросам кибербезопасности, включая правила работы с учетными записями, фишинговыми атаками, вредоносным программным обеспечением, утечкой данных, использованием внешних носителей информации и иными актуальными угрозами.

  3. Работники Оператора обязаны: 1) соблюдать требования кибербезопасности; 2) не передавать учетные данные третьим лицам; 3) незамедлительно сообщать о подозрительных событиях, инцидентах и сбоях; 4) использовать только разрешенные программные и технические средства; 5) соблюдать порядок работы с конфиденциальной информацией и персональными данными.

  4. Оператор обеспечивает разграничение и контроль доступа третьих лиц, включая подрядчиков, поставщиков программного обеспечения и сервисных организаций, к информационным системам, данным и технической инфраструктуре.

  5. Доступ третьих лиц к информационным системам Оператора допускается только при наличии: 1) заключенного договора; 2) обязательства о конфиденциальности; 3) согласованного объема доступа; 4) процедур контроля и журналирования действий; 5) мер по предотвращению несанкционированного доступа и вывода информации.

  6. Оператор осуществляет контроль за соблюдением третьими лицами требований кибербезопасности, установленных договором и внутренними документами Оператора.

  7. При выявлении признаков компрометации информационных систем, утечки данных либо несанкционированного доступа Оператор обязан незамедлительно ограничить доступ, провести расследование и принять меры по минимизации последствий.

  8. В целях обеспечения непрерывности деятельности Оператор разрабатывает и поддерживает в актуальном состоянии планы обеспечения непрерывности деятельности и восстановления после аварий, включая сценарии отказа критичных информационных систем.

  9. Порядок проведения внутреннего контроля в сфере кибербезопасности, сроки проверок, перечень критичных систем, показатели эффективности мер защиты и порядок отчетности определяются внутренними документами Оператора.

148-1. Оператор обеспечивает соблюдение требований Закона Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите» при обработке персональных данных, а также безопасное совершение сделок (подпункты 5) и 6) пункта 50 Постановления № 45).

  1. Настоящая Глава применяется с учетом законодательства Республики Казахстан в сфере кибербезопасности.

УТОЧНИТЬ (юрист РК): применимость к оператору обмена НЦА минимальных требований по обеспечению информационной безопасности на финансовом рынке и их реквизиты не подтверждены — формулировка шаблона заменена общей отсылкой (правка Р5 сверки).

Глава 13. Порядок разрешения споров и рассмотрения жалоб клиентов

  1. Оператор обмена необеспеченных цифровых активов обеспечивает объективное, своевременное и полное рассмотрение жалоб клиентов, а также разрешение споров, возникающих при оказании услуг, в досудебном порядке в пределах компетенции Оператора.

  2. Клиент вправе обратиться к Оператору с жалобой в случае: 1) неисполнения или ненадлежащего исполнения Оператором обязательств по оказанию услуг; 2) задержки в проведении операции; 3) ошибочного списания или зачисления денег и (или) цифровых активов; 4) технического сбоя в работе интернет-ресурса, мобильного приложения, кошелька цифровых активов, физического отделения или пункта самообслуживания; 5) отказа в проведении операции; 6) несогласия с размером комиссии, тарифом, расчетом результата операции либо иным действием Оператора; 7) причинения имущественного ущерба при оказании услуг.

  3. Жалоба подается клиентом в письменной форме и (или) в электронной форме через интернет-ресурс, мобильное приложение, личный кабинет, электронную почту либо иные каналы связи, определенные Оператором.

  4. Жалоба должна содержать: 1) фамилию, имя, отчество (при наличии) либо наименование клиента; 2) индивидуальный идентификационный номер либо бизнес-идентификационный номер; 3) контактные данные; 4) описание обстоятельств, послуживших основанием для обращения; 5) дату и время совершения операции, к которой относится жалоба; 6) требования клиента; 7) сведения о сумме денег и (или) количестве цифровых активов, в отношении которых заявлен спор; 8) иные документы и сведения, подтверждающие доводы клиента.

  5. Оператор обязан обеспечить регистрацию жалобы в день ее поступления и присвоение ей уникального регистрационного номера.

  6. Жалоба рассматривается уполномоченным подразделением или должностным лицом Оператора с соблюдением принципов всесторонности, объективности, добросовестности и конфиденциальности.

  7. Оператор вправе запрашивать у клиента дополнительные сведения и документы, необходимые для рассмотрения жалобы, а также использовать сведения внутренних учетных систем, журналов операций, данных системы анализа и контроля операций и иных законных источников.

  8. Срок рассмотрения жалобы устанавливается внутренними документами Оператора, но не может превышать 15 (пятнадцати) календарных дней со дня ее регистрации, если иной срок не предусмотрен законодательством Республики Казахстан.

  9. По результатам рассмотрения жалобы Оператор принимает одно из следующих решений: 1) удовлетворить жалобу полностью; 2) удовлетворить жалобу частично; 3) отказать в удовлетворении жалобы; 4) предложить клиенту урегулирование спора путем возврата денег и (или) цифровых активов, перерасчета операции либо иного способа, не противоречащего законодательству Республики Казахстан.

  10. О принятом решении клиент уведомляется в письменной форме и (или) в электронной форме с указанием мотивов принятого решения, порядка и сроков его исполнения, а также, при необходимости, порядка дальнейшего обжалования.

  11. В случае причинения клиенту ущерба по вине Оператора при оказании услуг размер компенсации определяется исходя из фактически причиненного клиенту ущерба (абзац тринадцатый пункта 23 Постановления № 45).

  12. Под фактически причиненным ущербом понимаются: 1) утраченные деньги; 2) утраченные цифровые активы; 3) стоимость неполученных денег и (или) цифровых активов, если их возврат в натуре невозможен; 4) иные документально подтвержденные имущественные потери клиента, непосредственно возникшие вследствие действий или бездействия Оператора.

  13. Компенсация не подлежит возмещению в части ущерба, возникшего вследствие: 1) предоставления клиентом недостоверных, неполных или неактуальных сведений; 2) нарушения клиентом требований безопасности, установленных настоящими Правилами, договором и внутренними документами Оператора; 3) действий третьих лиц, если Оператор принял все разумные и предусмотренные законодательством меры защиты; 4) обстоятельств непреодолимой силы; 5) иных оснований, исключающих вину Оператора в соответствии с законодательством Республики Казахстан.

  14. Размер компенсации определяется по состоянию на дату рассмотрения жалобы, если иное не следует из характера обязательства, условий договора или требований законодательства Республики Казахстан.

  15. Если спор связан с необеспеченными цифровыми активами, возврат цифровых активов осуществляется в натуре, если это технически возможно и если возврат в натуре не противоречит законодательству Республики Казахстан и договору.

  16. Если возврат цифровых активов в натуре невозможен, компенсация осуществляется в денежном эквиваленте по рыночной стоимости цифрового актива на момент, определенный внутренними документами Оператора с учетом характера нарушения и фактических обстоятельств дела.

  17. При возврате денег Оператор осуществляет перевод на банковский счет клиента, с которого поступили деньги, либо на иной банковский счет, указанный клиентом, если это не нарушает требования законодательства Республики Казахстан.

  18. При возврате цифровых активов Оператор осуществляет перечисление цифровых активов на кошелек цифровых активов клиента, реквизиты которого подтверждены клиентом и верифицированы Оператором.

  19. Возврат денег и (или) цифровых активов осуществляется в срок, установленный решением Оператора, но не позднее срока, предусмотренного законодательством Республики Казахстан или договором, если такой срок установлен.

  20. При частичном удовлетворении жалобы Оператор указывает, в какой части требования клиента признаны обоснованными, а в какой части подлежат отклонению, с отражением расчета суммы компенсации и порядка ее выплаты.

  21. В случае выявления ошибки при совершении операции, допущенной по вине Оператора, Оператор обязан принять меры по восстановлению положения клиента, существовавшего до нарушения, включая возврат денег и (или) цифровых активов, если это возможно.

  22. Если ошибка вызвана техническим сбоем, Оператор обязан незамедлительно принять меры по восстановлению работоспособности систем, фиксации инцидента и устранению последствий для клиента.

  23. Оператор ведет учет всех жалоб, обращений, претензий и решений по ним, а также хранит материалы по жалобам в течение срока, установленного законодательством Республики Казахстан и внутренними документами Оператора.

  24. Если спор не урегулирован в досудебном порядке, клиент вправе обратиться в суд или иные органы в порядке, установленном законодательством Республики Казахстан.

  25. Подача жалобы Оператору не лишает клиента права на обращение в уполномоченные органы, суд или иные предусмотренные законодательством инстанции.

  26. Порядок приема, регистрации, рассмотрения и исполнения решений по жалобам, а также методика расчета компенсации, порядок возврата денег и цифровых активов, перечень ответственных работников и сроки контроля исполнения определяются внутренними документами Оператора.

  27. Настоящая Глава применяется с учетом законодательства Республики Казахстан, условий договора с клиентом и внутренних документов Оператора.

Глава 14. Ограничения и лимиты по операциям клиентов

  1. Оператор не устанавливает деловые отношения с: 1) физическими лицами, не достигшими 18 (восемнадцати) лет; 2) лицами, включенными в перечень организаций и лиц, связанных с финансированием терроризма и экстремизма, а также в перечень организаций и лиц, связанных с финансированием распространения оружия массового уничтожения, в соответствии с Законом о ПОД/ФТ/ФРОМУ (пункт 52 Постановления № 45).

  2. Оператор обслуживает операции клиентов, имеющих достаточную квалификацию, без применения ограничений и лимитов, предусмотренных настоящим пунктом. В отношении клиентов с недостаточной квалификацией Оператор применяет следующие лимиты и ограничения по операциям (пункт 56 Постановления № 45): 1) по покупке необеспеченных цифровых активов — до 7 000 000 (семи миллионов) тенге в сутки; 2) по продаже необеспеченных цифровых активов — до 7 000 000 (семи миллионов) тенге в сутки. Лимиты, указанные в части второй настоящего пункта, применяются раздельно к операциям покупки и продажи в пределах календарных суток.

  3. Оператор обслуживает операции по покупке и (или) продаже исключительно видов необеспеченных цифровых активов, предусмотренных пунктом 57 Правил осуществления деятельности операторов обмена необеспеченных цифровых активов, утвержденных постановлением Правления Национального Банка Республики Казахстан от 29 апреля 2026 года № 45 (зарегистрировано в Министерстве юстиции Республики Казахстан 30 апреля 2026 года № 38622). Перечень обслуживаемых Оператором необеспеченных цифровых активов приведен в Приложении 2 к настоящим Правилам и актуализируется при изменении указанного постановления.

  4. Оператор отказывает клиенту в проведении операции с необеспеченным цифровым активом, не предусмотренным пунктом 179 настоящих Правил (пункт 58 Постановления № 45).

  5. До совершения первой операции с необеспеченными цифровыми активами клиент подтверждает осознание и принятие риска исключения необеспеченного цифрового актива из перечня необеспеченных цифровых активов, обслуживаемых Оператором (подпункт 9) пункта 54 Постановления № 45). Подтверждение фиксируется Оператором в электронном и (или) бумажном виде и хранится в течение срока, установленного пунктом 31 настоящих Правил. В случае исключения необеспеченного цифрового актива из перечня, указанного в пункте 179 настоящих Правил, Оператор: 1) уведомляет клиентов об исключении актива способами, предусмотренными договором и настоящими Правилами; 2) прекращает операции покупки и продажи исключенного необеспеченного цифрового актива с даты введения в действие соответствующих изменений; 3) определяет порядок распоряжения остатками исключенного необеспеченного цифрового актива на кошельках клиентов в соответствии с договором с клиентом и законодательством Республики Казахстан.

УТОЧНИТЬ (запрос в НБ, вопрос В5): порядок и периодичность пересмотра перечня пункта 57 Постановления № 45, а также обязательный порядок действий оператора с остатками активов клиентов при делистинге нормативно не установлены.

  1. При совершении перевода необеспеченных цифровых активов Оператор обеспечивает получение и фиксацию сведений об отправителе и получателе перевода в объеме, установленном законодательством Республики Казахстан и Правилами внутреннего контроля Оператора. При непредставлении либо неполноте сведений об отправителе и (или) получателе перевода операция приостанавливается на срок не менее 48 (сорока восьми) часов до получения недостающих сведений; при непредставлении недостающих сведений Оператор отказывает в проведении операции (пункты 8 и 9 статьи 12-1 Закона о цифровых активах; подпункты 13) и 14) пункта 29 Требований к правилам внутреннего контроля, утвержденных постановлением Правления Национального Банка Республики Казахстан от 10 апреля 2026 года № 33).

Приложение 1 к Правилам. Перечень адресов кошельков цифровых активов Оператора

(является неотъемлемой частью Правил; абзац одиннадцатый пункта 23 Постановления № 45 — Правила содержат сами адреса кошельков с указанием названия сети блокчейн)

№ Наименование цифрового актива Адрес кошелька цифрового актива Название сети блокчейн Тип кошелька (холодный/горячий) Назначение кошелька
1 [BTC] [заполнить при выпуске кошельков] [Bitcoin] [холодный/горячий] [операционный/накопительный/ликвидность]
2 [ETH] [заполнить при выпуске кошельков] [Ethereum] [холодный/горячий] [___]
3 [USDT] [заполнить при выпуске кошельков] [Ethereum (ERC-20) / Tron (TRC-20) — отдельная строка на каждую сеть, пункт 112 Правил] [холодный/горячий] [___]
… [по каждому активу стартового списка — не менее одного адреса с указанием сети] [заполнить при выпуске кошельков] [___] [___] [___]

⚠️ Блокер подачи: Приложение 1 заполняется реальными адресами боевых кошельков ДО подачи лицензионного пакета (генерация кошельков — Фаза 2/3, риск № 3 ТЗ; каждый адрес проверяется тестовой транзакцией). Служебные сведения (ответственные, даты, статусы) ведутся во внутреннем реестре по пункту 107 Правил и в Приложение 1 не включаются.

Приложение 2 к Правилам. Перечень необеспеченных цифровых активов, обслуживаемых Оператором

(закрытый перечень по пункту 57 Постановления № 45 — 73 необеспеченных цифровых актива; по активам вне перечня — отказ в проведении операции согласно пункту 180 Правил и пункту 58 Постановления № 45)

  1. BTC; 2. ETH; 3. USDT; 4. XRP; 5. BNB; 6. SOL; 7. USDC; 8. TRX; 9. DOGE; 10. ADA; 11. BCH; 12. LINK; 13. LEO; 14. XLM; 15. SUI; 16. LTC; 17. AVAX; 18. DAI; 19. HBAR; 20. SHIB; 21. TON; 22. CRO; 23. DOT; 24. UNI; 25. MNT; 26. TAO; 27. PEPE; 28. AAVE; 29. BGB; 30. OKB; 31. NEAR; 32. ETC; 33. USDE; 34. ASTER; 35. ICP; 36. WLD; 37. KCS; 38. SKY; 39. POL; 40. APT; 41. ONDO; 42. KAS; 43. RLUSD; 44. PYUSD; 45. ATOM; 46. ARB; 47. ALGO; 48. RENDER; 49. FIL; 50. VET; 51. FLR; 52. BONK; 53. XDC; 54. QNT; 55. PUMP; 56. GT; 57. SEI; 58. STX; 59. CAKE; 60. FET; 61. NEXO; 62. OP; 63. XTZ; 64. CRV; 65. CHZ; 66. IMX; 67. LDO; 68. AERO; 69. INJ; 70. TUSD; 71. GRT; 72. TIA; 73. EURC.

Примечание: перечень воспроизводит пункт 57 Постановления № 45 и подлежит актуализации при изменении указанного постановления (пункт 179 Правил). Фактический стартовый список активов, обслуживаемых Оператором, может быть уже перечня (подмножество) — определяется внутренним документом Оператора о листинге без расширения настоящего перечня.

Утверждено: единственный участник [дата] [номер] [подпись, должность, ФИО]