Банкам, страховым компаниям и другим финансовым организациям придётся уведомлять Банк России о каждом подрядчике, которому они передают данные, а сами подрядчики — проходить ежегодный внешний аудит и нести ответственность за утечки наравне с заказчиками. Закон, одобренный Советом Федерации, вступит в силу через год, но уже сейчас ясно: рынок аутсорсинга информационных технологий для финансов ждёт консолидация и рост издержек.
Как следует из закона, одобренного Советом Федерации, вводится регулирование аутсорсинга информационных технологий и облачных сервисов для финансовых организаций. Банки, страховые компании и другие поднадзорные регулятору организации должны уведомлять Банк России о намерении привлечь подрядчика. Поставщики услуг, в свою очередь, наряду с финансовыми организациями будут нести ответственность за разглашение полученной информации.
Кого коснётся
Закон распространяется на кредитные организации, страховые компании, негосударственные пенсионные фонды, микрофинансовые организации, клиринговые организации, организаторов торговли и других участников финансового рынка. Все они получают право передавать обработку информации ограниченного доступа подрядчикам, но с условиями: уведомление регулятора, соответствие подрядчика требованиям и ежегодный внешний аудит. То есть речь не о запрете аутсорсинга, а о его контролируемом использовании.
Что должен сделать подрядчик
Привлекаемая организация обязана обеспечить защиту полученной информации, включая контроль за отсутствием несанкционированного доступа, и в случае разглашения нести ответственность в соответствии с законодательством и договором. Кроме того, подрядчик ежегодно проводит операционный аудит с привлечением проверяющей организации, у которой есть лицензия ФСБ России или ФСТЭК России. Заключение и отчёт направляются заказчику и в Банк России. Это означает, что подрядчик должен не только соответствовать требованиям, но и регулярно подтверждать соответствие независимой проверкой.
Что должно быть в договоре
Договор между финансовой организацией и подрядчиком должен предусматривать порядок направления информации о соблюдении целевых показателей оказания услуг, формы и порядок сообщения об инцидентах — в течение двух часов с момента выявления, ответственность за разглашение и порядок уведомления о расторжении. Подрядчик обязан предупредить заказчика о намерении расторгнуть договор не позднее чем за шесть месяцев и обеспечить сохранность информации до её передачи. То есть договор становится не просто рамочным, а операционным документом с чёткими сроками и обязанностями.
Сроки
Закон вступает в силу через год после официального опубликования. Действующие договоры с подрядчиками нужно привести в соответствие с новыми требованиями в течение 180 дней со дня вступления в силу. Подрядчики, которые уже работают с финансовыми организациями, должны в течение года провести операционный аудит и направить заключение и отчёт заказчикам и в Банк России. То есть переходный период есть, но он ограничен.
Зачем это делается
Нововведения, как указано в сопроводительных материалах, позволят финансовым организациям эффективнее противостоять кибератакам, которые совершаются через инфраструктуру поставщиков, а также снизить вероятность утечек данных клиентов на стороне привлекаемых организаций. Иными словами, регулятор закрывает разрыв, когда данные утекают не из банка, а из его подрядчика, а ответственность до сих пор был размыта.
Коротко: главное
-
Что вводится? — Регулирование аутсорсинга информационных технологий для финансовых организаций.
-
Кого коснётся? — Банков, страховых компаний, пенсионных фондов, микрофинансовых организаций и других участников рынка.
-
Что должны делать финансовые организации? — Уведомлять Банк России о привлечении подрядчика.
-
Что должен делать подрядчик? — Проходить ежегодный внешний аудит и нести ответственность за утечки.
-
Когда закон вступит в силу? — Через год после официального опубликования.
Резюме
-
Совет Федерации одобрил закон о регулировании аутсорсинга информационных технологий и облачных сервисов для финансовых организаций.
-
Финансовые организации обязаны уведомлять Банк России о намерении привлечь подрядчика.
-
Подрядчики несут ответственность за разглашение информации наравне с заказчиками и проходят ежегодный внешний аудит с привлечением организаций с лицензией ФСБ или ФСТЭК.
-
Договоры должны предусматривать порядок сообщения об инцидентах в течение двух часов и уведомление о расторжении за шесть месяцев.
-
Закон вступает в силу через год; действующие договоры приводят в соответствие за 180 дней.
Материал подготовлен изданием «Техносуверен» (technosuveren.ru). Дата публикации: 29 октября 2026 года.
