14 октября Госдума приняла во втором и третьем чтениях законопроект № 404786-8, который вводит новые правила для IT-аутсорсинга и использования облачных сервисов на финансовом рынке. Этот объемный документ, состоящий из 159 страниц, содержит множество изменений, касающихся как банков, так и IT-компаний, работающих с финансовыми организациями или планирующих выйти на этот рынок.

Основные изменения в правилах

Одним из ключевых изменений является возможность для банков передавать сторонним исполнителям обработку информации ограниченного доступа, включая банковскую тайну и персональные данные клиентов. В определенных случаях отдельное согласие клиентов на такую передачу и обработку не потребуется. Это касается не только хранения информации, но и ее сбора, систематизации, обновления, использования и передачи. Исключение составляют сведения, относящиеся к государственной тайне.

Требования к исполнителям

Законопроект вводит строгие требования к подрядчикам, которые могут работать с банковскими данными. Основными исполнителями для банков смогут стать аккредитованные российские IT-компании и банки с универсальной лицензией, соответствующие установленным требованиям. Однако одной аккредитации будет недостаточно. Предусмотрены ограничения по структуре собственности и контролю над исполнителем. В частности, более 50% голосов должны контролироваться государством, муниципальными образованиями или гражданами России, не имеющими другого гражданства.

Кроме того, информационные системы и их компоненты, используемые для обработки данных, должны находиться на территории России. Законопроект также предусматривает специальный порядок привлечения иностранных банков для отдельных российских банков, находящихся под иностранным контролем.

Процедура уведомления и аудита

Финансовая организация должна предварительно уведомить Банк России и представить необходимые документы, включая заключение об операционном аудите исполнителя. Передача данных может начаться только после истечения 60-дневного срока с момента уведомления, если Банк России не запретит привлечение подрядчика.

Каждый подрядчик обязан проходить ежегодный операционный аудит, а его результаты должны предоставляться как заказчику, так и Банку России. В договорах потребуется предусмотреть ежеквартальное информирование заказчика о соблюдении целевых показателей защиты информации и операционной надежности.

Инциденты информационной безопасности

Законопроект уделяет особое внимание инцидентам информационной безопасности и операционной надежности. Подрядчик обязан оперативно уведомлять финансовую организацию о любых инцидентах, в том числе в течение двух часов после их выявления. Банк России получит дополнительные полномочия, позволяющие ему запретить привлечение конкретного исполнителя еще до начала обработки информации, а также ограничить дальнейшую обработку данных при наличии оснований.

Влияние на рынок

Новые правила затронут не только банки, но и страховщиков, микрофинансовые организации, негосударственные пенсионные фонды, бюро кредитных историй и других участников финансового рынка. Для различных категорий участников предусмотрены свои особенности и требования к исполнителям.

Важно отметить, что не каждый договор на разработку программного обеспечения или техническую поддержку подпадает под новые требования. Значение имеют характер услуг, состав информации, доступ к ней и фактические операции подрядчика с данными. Это может привести к дополнительным расходам для IT-компаний на аудит, информационную безопасность и внутренние процедуры.

Перспективы для IT-компаний

Для крупных поставщиков такие требования, вероятно, станут частью обычных бизнес-процессов. Однако для небольших технологических компаний они могут стать серьезным препятствием для работы с финансовым сектором. Новые правила вступят в силу через год после официального опубликования закона, а для приведения ранее заключенных договоров в соответствие с новыми требованиями предусмотрено 180 дней.

Таким образом, передача данных сторонним IT-компаниям станет возможной, но только после тщательной проверки их надежности, что потребует от банков и их подрядчиков адаптации к новым условиям. Интересно, сколько IT-компаний решат продолжать сотрудничество с банками после ознакомления с новыми требованиями.