Есть ли стандарт, регламентирующие обязательные требования для обеспечения безопасности web приложений (сайтов)

PCI DSS, я предложил в качестве стандарта защиты в целом, а не конкретно веб-приложения, поэтому он применим почти весь, а не только п.6.6.