监管背景
CCSA 理事会是私人倡议，而不是国家监管机构。该标准符合法规（ЦБ、ФСТЭК、ГОСТ），而不是高于法规。
法律性质
CCSA 理事会是私人倡议，而不是国家监管机构。法律上：俄罗斯法律规定的有限公司；该标准受版权保护（《民法典》第 1259 条）； Rospatent 和欧亚专利局的商标。
国家机构。
联邦法 315 含义内的自律组织 (SRO)。
获得许可的活动。
草案 v0.2 -> v1.0。在 2027-01-01 之前可能会有更改。
CCSA 如何适应 RF 规则
目标是成为一种公认的方法，用于评估是否符合数字货币法下委托给俄罗斯银行的技术要求（法案编号 1194918-8、5 市场参与者角色）。型号：俄罗斯银行法规 779-P 参考 ГОСТ 57580。
俄罗斯银行
| 规范/权威 | CCSA 如何融入 |
|---|---|
俄罗斯银行 | 目标是成为一种公认的方法，用于评估是否符合数字货币法下委托给俄罗斯银行的技术要求（法案编号 1194918-8、5 市场参与者角色）。型号：俄罗斯银行法规 779-P 参考 ГОСТ 57580。 |
FSTEC | 将CCSA纳入评估方法登记册的申请； FSTEC 为理事会自己的个人数据系统订购 21。 |
ГОСТ Р 57580.1/.3 | 通过映射为 RF 客户端提供基线（A.2 节）。 RF 细节：FSB 认证的 СКЗИ、ГОСТ ЦФА 算法、与 FinCERT 的连接。 |
联邦法律 152（个人数据） | 为俄罗斯客户提供 RF 内的个人数据本地化； D 类会话令牌受到保护。 |
联邦法律 149（信息） | 标准的公开分发符合法律的一般要求。 |
联邦法 161（国家支付系统） | 计入与 NPS 收单机构集成的加密货币交易所（A.2 映射）。 |
联邦法 187（关键基础设施） | 经过认证的 ЦФА 系统本身通常就是重要的关键基础设施对象；在映射中考虑。 |
明确超出 CCSA 范围。该委员会不会重复 Rosfinmonitoring 的职能。
在Rosstandart 注册CCSA 作为STO（组织标准）将获得官方地位，而不是强制的。
CIS 中的识别路径
АРРФР 和 AIFC（英国法律，阿斯塔纳）。 TOO 在阿拉木图开业 (2027)； Kazpatent 的商标；目标——经过 AIFC 管理局“批准的方法”。
高新技术园区（法令编号：8）。 CCSA 作为加密货币居民的“可接受标准”；通过 BY 专利获得商标。
NAPP — 快速正式认可的最现实途径；通过乌兹别克斯坦专利获得的商标。
亚美尼亚、吉尔吉斯斯坦和塔吉克斯坦 — 优先级较低，3 阶段。
EU 和 MiCA：其中 CCSA 补充监管
MiCA（法规（EU）2023/1114）和相关的 DORA ICT 风险管理制度（法规（EU）2022/2554）为加密资产服务提供商（CASP）设定了安全性、保护和 ICT 弹性期望。 CCSA 提供了详细的技术方法来评估这些制度在控制级别未指定的密钥和钱包的加密保护。 CCSA 与 MiCA 互补；它不会取代它。
CCSA 不是 EU 认可的认证方案，并且未出现在任何 ESMA、EBA 或国家主管机构列表中。 CCSA 认证并不免除 CASP 遵守 MiCA 和 DORA 的义务，并且不能替代 MiCA 授权。这是一种可参考的方法，是自愿采用的。
| MiCA / DORA 期望 | CCSA 域 | 关系 | CCSA 如何补充 |
|---|---|---|---|
保护客户资产（MiCA Art. 75） | B.3 | 补充 | B.3 “密码材料的存储”规定了保护义务所依赖的冷存储、密钥分离和单点故障保护的工程要求。 |
ICT 风险管理（DORA 艺术. 5–15） | B.6 | 补充 | B.6 “钱包架构”描述了信任边界、签名隔离和组件泄露恢复能力——ICT 风险管理要求的技术实质。 |
密钥生成和保护（DORA Art. 9） | B.2 | 补充 | B.2 “密码材料的生成”设定了对熵源、仪式和可信生成环境的要求，但各政权并未具体说明。 |
ICT 事件管理（DORA 艺术。17–23） | B.7 | 部分 | B.7 “失陷检测和监控”涵盖了技术部分；监管机构通知和报告时间表仍然是 DORA 的义务。 |
访问控制和人员（DORA 艺术. 9） | B.8 | 补充 | B.8 “人员和访问控制”设置了对密码材料操作的职责分离、两人规则和权限控制。 |
治理与资本（MiCA Art. 68、67） | 服从政权 | 管理机构、审慎保障和 CASP 自有资金的要求仍由 MiCA 负责； CCSA 不评估它们。 | |
AML/CFT (AMLD / TFR) | 服从政权 | 反洗钱和旅行规则不在CCSA范围内，并受单独的EU制度管辖。 |
关系：“补”（＋）——CCSA 在技控层面实现期望； “部分”（◐）——重叠不完整，制度进一步或不同； “服从政权”(-) — 该区域仍属于 MiCA / DORA，位于 CCSA 范围之外。
实际上，CASP 是在 MiCA 下授权和监管的，而 CCSA 作为内部工程基准，并在准备 ICT 风险监管审查时作为支持证据：共享的 B.1–B.8 控制词汇、L1–L3 级别和 AOC 格式易用性与评估者和监管者的对话。
US：国家政权和NIST框架
US 没有单一的联邦加密货币托管制度：监管分为州货币转账许可证、信托章程和联邦指导。 CCSA 可以用作映射到公认的控制词汇表（主要是 NIST）的私有方法。并不暗示任何权威机构的认可。
CCSA 未得到任何 US 联邦或州当局（包括 NYDFS、OCC、SEC 和 NIST）的认可或认可，并且不能替代许可证、章程或任何强制性要求。这是一种自愿的、可参考的方法。
加密资产的保管和处理因国家和活动而受到不同的监管；监护权没有单一的“黄金标准”。 CCSA 在该碎片之上提供了通用技术词汇。
纽约政权制定了网络安全和托管要求。在准备监督审查时，CCSA B.3 和 B.6 控制措施可以作为支持证据，但不能作为对制度本身的遵守。
持有信托章程（国家或OCC级别）的托管人承担信托保护义务。 CCSA 构建了这些职责的技术部分，但不取代监督。
CCSA 域映射到 NIST 的密钥管理和网络弹性词汇表，这简化了与习惯于 NIST 的 US 评估人员的对话。
许多 US 交易对手依赖 SOC 2 报告。 CCSA 通过对加密控制的专门评估来补充它们，这是一般审计未涵盖的（请参阅映射，A.2 部分）。
如何信赖 CCSA 认证
本节适用于将交易对手的 CCSA 认证视为风险降低因素的银行、保险公司和监管机构。它解释了如何将要求写入合同、如何阅读 AOC、级别在实践中的含义以及依赖的限制。
- 01
将要求写入合同
做出有效的 CCSA 认证 - 在相关领域 (C.1–C.4) 且不低于目标级别 - 作为入职条件或合同契约，交易对手有义务维持其状态并通知您任何变更。
- 02
验证注册表中的状态
根据公共 LVCS 注册表检查证书：状态“有效”，产品和细分市场匹配，有效期未过期。没有注册表项的纸质 AOC 没有证据价值。
- 03
阅读 AOC 的优点
研究评估范围、排除情况和任何记录的 CC 偏差：AOC 证明所描述系统的合规性，而不是交易对手整个业务的合规性。
- 04
将级别与风险相匹配
从关系风险中选择最低可接受水平：对于材料量或信托保管，目标为 L2–L3 而不是 L1。
- 05
通过术语进行监控
认证是时间点的。设置定期注册表重新检查以及对合同有效期内的暂停、到期或事件标记的响应。
这对各方意味着什么
如何读取 AOC
AOC（合规证明）是评估的最终证明。在依赖它之前，请检查以下字段。
| AOC 字段 | 寻找什么 |
|---|---|
谁被评估 | 确切的法人实体和产品。确认它是您的交易对手，而不是附属公司或不同的产品。 |
评估范围 | 评估了哪些系统、环境和流程以及明确排除了什么。您可以仅依赖范围内的内容。 |
段 (C.1–C.4) | 该段是否与交易对手角色匹配（托管、钱包、交易所、发行人）。段不匹配会使场景的结论无效。 |
级别（L1–L3） | 达到的级别及其阈值。将其与你们关系风险的最低可接受水平进行比较。 |
谁进行了评估 | 经认可的 CCSAC 公司或合格的 CCSA-QSA。自我声明（SAQ）和独立评估（ROC）具有不同的权重。 |
有效期和日期 | 评估日期及有效期。过期或接近过期的 AOC 需要重新进行注册表检查。 |
CC 偏差（补偿控制） | 记录的偏差和补偿措施清单。判断它们是否适合您的风险偏好。 |
级别在实践中意味着什么
| 等级 | 操作意义 | 通常足以 |
|---|---|---|
| L1 | 基线合规性：至少 90% 的控制落实，通过补偿措施高达 10%，任何关键要求都没有“未落实”。 | 风险较低或处于早期阶段的交易对手、数量有限、试点集成。 |
| L2 | 增强合规性：至少实施 95% 的控制，最多达到 5% CC，满足所有关键要求。 | 具有实质性数量、定期信托托管、公司关系的交易对手。 |
| L3 | 最大合规性：100% 的控制落实，CC 高达 2.5%，完全覆盖关键要求。 | 具有系统重要性的托管、机构数量庞大、保险公司或监管机构要求提高。 |
认证反映了评估时的状态，并不保证控制措施持续有效。
该结论仅在评估范围内成立；不包括范围之外的流程和系统。
CCSA 不是任何司法管辖区官方认可的方案；证书不能取代强制性许可、授权或监督。
认证可以降低风险，但不能消除风险，也不能保证不会受到损害或损失。
只有在LVCS注册表中验证AOC的有效性后才依赖它；注册表项优先于纸质文档。
知识产权和商标
待注册：CCSA（文字+徽标）、CCSA Council、CCSA-QSA、CCSAC、LVCS、CCSA 列名徽标 — RF 和欧亚专利（另外还有 CCSA-QSA） EU/USA）。
许可政策：免费——阅读、引用和教育用途；付费 — 衍生标准、文本的商业分发以及 CCSAC/LVCS 品牌的使用。
反垄断姿态
CCSA 是一个私有标准化器。风险缓解：开放的标准文本、透明的CCSAC认证标准、拒绝上诉的权利以及不阻碍替代标准——客户可以自由地使用或不使用CCSA。
管辖范围：俄罗斯FAS，针对俄罗斯业务；当地反垄断机构为CIS。
本节仅供参考，并非法律建议。具体的认可路径取决于数字货币法的最终文本和监管机构的决定。
法律性质
CCSA 理事会是私人倡议，而不是国家监管机构。该标准符合法规（ЦБ、ФСТЭК、ГОСТ），而不是高于法规。