Совет Федерации одобрил закон, который устанавливает требования по информационной безопасности к поставщикам ИТ-аутсорсинга и облачных сервисов для финансовых организаций, сообщил Банк России. Нововведения позволят банкам эффективнее противостоять кибератакам, которые совершаются через инфраструктуру поставщиков, и снизят вероятность утечек данных клиентов на стороне привлекаемых организаций.
Новые правила вступят в силу через год после официального опубликования. Банки, страховые компании и другие поднадзорные регулятору организации должны будут уведомлять ЦБ о намерении привлечь аутсорсинговые компании. Использование таких компаний станет легальным инструментом для оптимизации и повышения эффективности финансовых организаций, что повлечет развитие обоих секторов.
Между сторонами будет заключаться договор, содержание которого также регулирует новый закон. Кроме того, поставщики информационных технологий должны будут ежегодно проводить внешний аудит с привлечением организаций, у которых есть лицензия ФСБ России или ФСТЭК России. Ответственность за разглашение информации будут нести как финансовые организации, так и аутсорсинговые компании.
В августе 2025 г. Банк России рекомендовал кредитным организациям не передавать на аутсорсинг критически важные процессы – бухгалтерский учет, составление отчетности, управление рисками и др. Функции служб управления рисками, внутреннего контроля и аудита тоже не должны переходить третьим лицам, за исключением передачи между кредитными организациями одной группы.