Есть ли стандарт, регламентирующие обязательные требования для обеспечения  безопасности  web приложений (сайтов)
Как говорится, у NIST-а есть всё:

csrc.nist.gov/publications/nistpubs/800-95/SP800-95.pdf
Возможно будет полезным приказ ФСТЭК «ОБ УТВЕРЖДЕНИИ ПОЛОЖЕНИЯ О МЕТОДАХ И СПОСОБАХ ЗАЩИТЫ ИНФОРМАЦИИ В ИНФОРМАЦИОННЫХ СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ»

ispdn.ru/law/5821/#text