Регуляторный контекст
Совет CCSA — частная инициатива, не государственный регулятор. Стандарт встраивается под регулирование (ЦБ, ФСТЭК, ГОСТ), а не поверх него.
Правовая природа
Совет CCSA — частная инициатива, не государственный регулятор. Юридически: ООО по российскому праву; стандарт — объект авторского права (ст. 1259 ГК РФ); товарные знаки в Роспатенте и Евразийском патентном ведомстве.
Государственным органом.
Саморегулируемой организацией (СРО) в смысле ФЗ-315.
Лицензируемой деятельностью.
Черновик v0.2 -> v1.0. Может измениться до 2027-01-01.
Как CCSA встраивается в регулирование РФ
Цель — стать признанной методикой оценки соответствия техническим требованиям, делегированным Банку России в рамках закона о цифровой валюте (законопроект № 1194918-8, 5 ролей участников рынка). Модель: как Положение ЦБ 779-П ссылается на ГОСТ 57580.
ЦБ РФ
| Норма / орган | Как CCSA встраивается |
|---|---|
ЦБ РФ | Цель — стать признанной методикой оценки соответствия техническим требованиям, делегированным Банку России в рамках закона о цифровой валюте (законопроект № 1194918-8, 5 ролей участников рынка). Модель: как Положение ЦБ 779-П ссылается на ГОСТ 57580. |
ФСТЭК | Предусмотрена заявка на включение CCSA в реестр методик оценки. Для собственных ИСПДн Совета CCSA применяется приказ ФСТЭК № 21. |
ГОСТ Р 57580.1/.3 | Базовый стандарт для российских клиентов через сопоставление по разделу A.2. Особые условия России: сертифицированные ФСБ СКЗИ, алгоритмы ГОСТ для ЦФА и подключение к ФинЦЕРТ. |
ФЗ-152 (персональные данные) | Для российских клиентов персональные данные локализуются на территории России; сессионные токены категории D подпадают под защиту. |
ФЗ-149 (информация) | Распространение стандарта в открытом доступе соответствует общим требованиям закона. |
ФЗ-161 (НПС) | Учитывается для криптобирж, интегрированных с эквайерами НПС, при сопоставлении по разделу A.2. |
ФЗ-187 (КИИ) | Сертифицированные ОИС ЦФА часто сами являются ЗОКИИ; это учитывается при сопоставлении. |
Находится вне области CCSA. Совет CCSA не дублирует функции Росфинмониторинга.
Регистрация CCSA в Росстандарте как СТО (стандарт организации) даст официальный статус без обязательности.
Пути признания в СНГ
АРРФР и AIFC в Астане с применением английского права. В 2027 году планируются открытие ТОО в Алматы и регистрация товарного знака в Казпатенте; цель — статус одобренной методологии через администрацию AIFC.
ПВТ (Декрет № 8). CCSA как «допустимый стандарт» для крипто-резидентов; ТМ через BY-патент.
НАПП — наиболее реалистичный путь быстрого формального признания; ТМ через узбекский патент.
Армения, Кыргызстан и Таджикистан — ниже приоритет, фаза 3.
ЕС и MiCA: где CCSA дополняет регулирование
MiCA (Регламент (ЕС) 2023/1114) и связанный с ним режим управления ИКТ-рисками DORA (Регламент (ЕС) 2022/2554) задают для поставщиков услуг по криптоактивам (CASP) ожидания в части безопасности, хранения и устойчивости ИКТ. CCSA предлагает детальную методику технической оценки криптографической защиты ключей и кошельков, которой эти режимы не содержат на уровне контролей. CCSA дополняет MiCA, но не заменяет её.
CCSA не является признанной в ЕС схемой сертификации и не входит в перечни ESMA, EBA или национальных компетентных органов. Сертификация CCSA не освобождает CASP от обязанности соответствовать MiCA и DORA и не подменяет авторизацию по MiCA. Это референсная методика, на которую можно ссылаться добровольно.
| Ожидание MiCA / DORA | Домен CCSA | Отношение | Как CCSA дополняет |
|---|---|---|---|
Сохранность активов клиентов (MiCA, ст. 75) | B.3 | Дополняет | B.3 «Хранение криптоматериала» задаёт инженерные требования к холодному хранению, разделению ключей и защите от единой точки отказа, на которые опирается обязанность по сохранности. |
Управление ИКТ-рисками (DORA, ст. 5–15) | B.6 | Дополняет | B.6 «Архитектура кошелька» описывает контуры доверия, изоляцию подписи и устойчивость к компрометации компонента — техническое наполнение требований к управлению ИКТ-рисками. |
Генерация и защита ключей (DORA, ст. 9) | B.2 | Дополняет | B.2 «Генерация криптоматериала» предъявляет требования к источникам энтропии, церемониям и доверенной среде генерации, которых режимы не детализируют. |
Управление ИКТ-инцидентами (DORA, ст. 17–23) | B.7 | Частично | B.7 «Обнаружение компрометации и мониторинг» покрывает техническую часть; уведомление регулятора и сроки отчётности остаются обязанностью по DORA. |
Контроль доступа и персонал (DORA, ст. 9) | B.8 | Дополняет | B.8 «Персонал и контроль доступа» задаёт разделение обязанностей, принцип двух лиц и контроль привилегий для операций с криптоматериалом. |
Корпоративное управление и капитал (MiCA, ст. 68, 67) | Передаётся режиму | Требования к органам управления, пруденциальным гарантиям и капиталу CASP остаются за MiCA; CCSA их не оценивает. | |
ПОД/ФТ (AMLD / TFR) | Передаётся режиму | Противодействие отмыванию и Travel Rule находятся вне области CCSA и регулируются отдельными режимами ЕС. |
Отношение: «дополняет» (＋) — CCSA переводит ожидание в технические контроли; «частично» (◐) — пересечение неполное, режим идёт дальше или устроен иначе; «передаётся режиму» (–) — область остаётся за MiCA или DORA и находится вне CCSA.
Практически CASP проходит авторизацию и надзор по MiCA, а CCSA использует как внутренний инженерный ориентир и как доказательную базу при подготовке к надзорным проверкам ИКТ-рисков: единый словарь контролей B.1–B.8, уровни L1–L3 и формат AOC облегчают диалог с аудитором и регулятором.
США: штатные режимы и рамки NIST
В США нет единого федерального режима хранения криптоактивов: надзор распределён между штатными лицензиями денежных переводчиков, трастовыми чартерами и федеральными разъяснениями. CCSA можно использовать как частную методику, которую можно соотнести с признанными словарями контролей — прежде всего NIST. Признание ни одним органом не подразумевается.
CCSA не одобрена и не признана ни одним федеральным или штатным органом США (включая NYDFS, OCC, SEC и NIST) и не заменяет лицензию, чартер или иные обязательные требования. Это добровольная референсная методика.
Хранение и обращение криптоактивов регулируются по-разному в зависимости от штата и вида деятельности; единого «золотого стандарта» хранения нет. CCSA даёт единый технический словарь поверх этой фрагментации.
Режим штата Нью-Йорк предъявляет требования к кибербезопасности и хранению. Контроли CCSA B.3 и B.6 можно представлять как доказательную базу при подготовке к надзорным проверкам — но не как соответствие самому режиму.
Кастодианы с трастовым чартером (на уровне штата или OCC) несут фидуциарные обязанности по сохранности. CCSA структурирует техническую часть этих обязанностей, не подменяя надзор.
Домены CCSA соотносятся со словарём NIST по управлению ключами и киберустойчивости, что облегчает диалог с американскими аудиторами, привыкшими к NIST.
Многие контрагенты в США опираются на отчёты SOC 2. CCSA дополняет их специализированной оценкой криптографических контролей, которую общий аудит не покрывает; см. сопоставление в разделе A.2.
Как опираться на сертификацию CCSA
Раздел адресован банкам, страховщикам и регуляторам, которые рассматривают наличие сертификата CCSA у контрагента как фактор снижения риска. Ниже — как закрепить требование в договоре, как читать AOC, что уровень означает на практике и каковы пределы доверия.
- 01
Закрепить требование в договоре
Закрепите в условиях начала работы или договорных обязательствах требование о действующей сертификации CCSA нужного сегмента C.1–C.4 и не ниже целевого уровня. Обяжите контрагента поддерживать статус и уведомлять о его изменении.
- 02
Проверить статус в реестре
Сверьте сертификат с публичным реестром LVCS: статус «действует», совпадение продукта и сегмента, срок действия не истёк. Бумажный AOC без записи в реестре доказательной силы не имеет.
- 03
Прочитать AOC по существу
Изучите область оценки, исключения и зафиксированные отклонения с компенсирующими контролями: AOC подтверждает соответствие именно описанной системы, а не всей деятельности контрагента.
- 04
Соотнести уровень с риском
Выбирайте минимально допустимый уровень исходя из риска отношений: для значимых объёмов или фидуциарного хранения ориентируйтесь на L2–L3, а не на L1.
- 05
Контролировать на протяжении срока
Сертификация привязана к моменту оценки. Настройте периодическую перепроверку реестра и реакцию на приостановку, истечение или флаги инцидентов в течение срока действия договора.
Что это значит для разных сторон
Для банка сертификация CCSA — один из входных фильтров при подключении криптокастодиана или эмитента. Она структурирует комплексную проверку технической безопасности ключей, но не заменяет собственную оценку рисков, проверку ПОД/ФТ и финансовой устойчивости контрагента.
Для страховщика по полисам преступных рисков или хранения цифровых активов уровень CCSA и границы AOC дают понятную основу для оценки контролей хранения и формулирования условий и исключений. Сертификат — начало диалога, а не гарантия отсутствия убытка.
Для регулятора или надзорного органа CCSA — добровольная референсная методика с единым словарём контролей и форматом отчётности, на которую можно ссылаться в рекомендациях. Она не отменяет надзорные полномочия и не является официально признанной схемой.
Как читать AOC
AOC — итоговая декларация о соответствии. Перед тем как опираться на неё, проверьте следующие поля.
| Поле AOC | На что смотреть |
|---|---|
Кто прошёл оценку | Точное юридическое лицо и продукт. Убедитесь, что это именно ваш контрагент, а не аффилированная структура или иной продукт. |
Границы оценки | Какие системы, среды и процессы вошли в оценку и что прямо исключено. Полагаться можно только на то, что в границах. |
Сегмент (C.1–C.4) | Соответствует ли сегмент роли контрагента (кастоди, кошелёк, биржа, эмитент). Несовпадение сегмента обесценивает вывод для вашего сценария. |
Уровень (L1–L3) | Достигнутый уровень и его пороги. Сопоставьте с минимально допустимым уровнем риска вашего отношения. |
Кто проводил оценку | Аккредитованная фирма CCSAC или квалифицированный специалист CCSA-QSA. Самодекларация (SAQ) и независимая оценка (ROC) имеют разный вес. |
Срок действия и дата | Дата оценки и срок действия. Просроченный или близкий к истечению AOC требует повторной проверки в реестре. |
CC-отклонения (компенсирующие контроли) | Перечень зафиксированных отклонений и компенсирующих мер. Оцените, приемлемы ли они для вашего риск-аппетита. |
Что уровень означает на практике
| Уровень | Операционный смысл | Кому обычно достаточно |
|---|---|---|
| L1 | Базовое соответствие: не менее 90% контролей в наличии, до 10% через компенсирующие меры, ни одного «не выполнено» по критическим требованиям. | Низкорисковые или начинающие контрагенты, ограниченные объёмы, пилотные интеграции. |
| L2 | Повышенное соответствие: не менее 95% контролей в наличии, до 5% CC, выполнены все критические требования. | Контрагенты с существенными объёмами, регулярное фидуциарное хранение, корпоративные отношения. |
| L3 | Максимальное соответствие: 100% контролей в наличии, CC до 2,5%, полное покрытие критических требований. | Системно значимое хранение, крупные институциональные объёмы, повышенные требования страховщика или регулятора. |
Сертификация фиксирует состояние на момент оценки и не гарантирует, что контроли остаются в силе непрерывно.
Вывод действует только в границах оценки; процессы и системы за их пределами не покрыты.
CCSA не является официально признанной схемой ни в одной юрисдикции; сертификат не заменяет обязательные лицензии, авторизации и надзор.
Сертификация снижает риск, но не устраняет его и не является гарантией от компрометации или убытка.
Полагаться следует только после проверки действительности AOC в реестре LVCS; запись в реестре имеет приоритет над бумажным документом.
Интеллектуальная собственность и товарные знаки
Планируются к регистрации: словесное обозначение и логотип CCSA, Совет CCSA, CCSA-QSA, CCSAC, LVCS и знак CCSA Listed — в России и Евразийском патентном ведомстве; CCSA-QSA также в ЕС и США.
Лицензионная политика: бесплатно — чтение, цитирование и образовательное использование; платно — производные стандарты, коммерческое распространение текста и использование бренда CCSAC/LVCS.
Антимонопольная позиция
CCSA — частная организация по стандартизации. Риски снижают открытый текст стандарта, прозрачные критерии аккредитации CCSAC, право обжаловать отказ и отсутствие препятствий для альтернативных стандартов: клиент сам решает, использовать CCSA или нет.
Юрисдикция: ФАС России для российских операций; локальные антимонопольные органы — для СНГ.
Раздел носит информационный характер и не является юридической консультацией. Конкретные пути признания зависят от итогового текста закона о цифровой валюте и решений регуляторов.
Правовая природа
Совет CCSA — частная инициатива, не государственный регулятор. Стандарт встраивается под регулирование (ЦБ, ФСТЭК, ГОСТ), а не поверх него.