14 октября Госдума приняла во втором и третьем чтениях законопроект № 404786-8, который устанавливает новые правила IT-аутсорсинга и использования облачных сервисов на финансовом рынке.

Документ объемный - 159 страниц. И в нем немало интересного не только для банков, но и для IT-компаний, которые уже работают с финансовыми организациями или планируют выйти на этот рынок.

Главное изменение - банки смогут передавать сторонним исполнителям обработку информации ограниченного доступа, включая банковскую тайну и персональные данные клиентов. В предусмотренных законом случаях отдельное согласие клиентов на такую передачу и обработку не потребуется.

Речь не только о хранении информации. Подрядчикам смогут поручать ее сбор, систематизацию, обновление, использование, передачу и другие операции. При этом сведения, составляющие государственную тайну, исключены.

Но одновременно вводятся довольно жесткие требования к самим исполнителям.

Для банков основными подрядчиками смогут стать аккредитованные российские IT-компании и банки с универсальной лицензией, отвечающие установленным требованиям.

При этом одной IT-аккредитации будет недостаточно.

Предусмотрены ограничения по структуре собственности и контролю над исполнителем. В частности, более 50% голосов должны прямо или косвенно контролироваться государством, муниципальными образованиями либо гражданами РФ, не имеющими другого гражданства.

Информационные системы и их компоненты, используемые для обработки переданных данных, должны находиться на территории РФ.

Вместе с тем законопроект предусматривает специальный порядок привлечения иностранных банков для отдельных российских банков, находящихся под иностранным контролем.

Просто заключить договор с подходящим подрядчиком тоже не получится.

Финансовая организация должна предварительно уведомить Банк России и представить предусмотренные документы, включая заключение об операционном аудите исполнителя.

По общему правилу начать передачу данных можно будет после истечения 60-дневного срока с момента уведомления, если Банк России не запретит привлечение подрядчика.

И на этом проверки не заканчиваются.

Подрядчику придется ежегодно проходить операционный аудит, а его результаты предоставлять заказчику и Банку России.

В договоре потребуется предусмотреть ежеквартальное информирование заказчика о соблюдении целевых показателей защиты информации и операционной надежности.

Предусмотрены также специальные требования к информационной безопасности, персоналу IT-компаний и организации обработки данных.

Отдельное внимание уделено инцидентам информационной безопасности и операционной надежности. Законопроект предусматривает оперативное уведомление финансовой организации, в том числе в течение двух часов после выявления соответствующего инцидента.

У Банка России появятся дополнительные полномочия.

Регулятор сможет запретить привлечение конкретного исполнителя еще до начала обработки информации, а при наличии предусмотренных законом оснований - ограничить дальнейшую обработку данных с использованием систем подрядчика.

Это уже серьезный риск не только для IT-компании, но и для ее заказчика. Особенно если на инфраструктуре подрядчика завязаны важные банковские процессы.

Новые правила затронут также страховщиков, МФО, НПФ, бюро кредитных историй, ряд профессиональных участников рынка ценных бумаг и другие финансовые организации. При этом для разных категорий участников рынка предусмотрены свои особенности и требования к исполнителям.

Важно и другое: не каждый договор на разработку ПО или техническую поддержку автоматически подпадает под новые требования. Значение имеют характер услуг, состав информации, доступ к ней и фактические операции подрядчика с данными.

Для IT-компаний это означает дополнительные расходы на аудит, информационную безопасность, персонал и внутренние процедуры. Причем расходы не разовые, при заключении договора, а постоянные.

Для крупных поставщиков такие требования, вероятно, станут частью обычных бизнес-процессов. А вот для небольших технологических компаний могут оказаться серьезным препятствием для работы с финансовым сектором.

Новые правила должны вступить в силу через год после официального опубликования закона. Для приведения ранее заключенных договоров в соответствие с новыми требованиями предусмотрено 180 календарных дней после вступления закона в силу. А для проведения операционного аудита действующих подрядчиков установлен отдельный годичный срок.

Получается интересно: передавать данные сторонним IT-компаниям разрешат, но сначала придется доказать, что этим компаниям вообще можно доверять, причем не только банку, но и Банку России. Банки давно привыкли тщательно проверять своих клиентов, а теперь и их подрядчикам придется привыкать к повышенному вниманию.

Интересно, сколько IT-компаний после знакомства со всеми требованиями еще захотят работать с банками?

В следующей публикации отдельно разберу договорные риски IT-подрядчиков: ответственность за инциденты, условия аудита и проверок, распределение рисков между заказчиком и исполнителем, а также последствия запрета Банка России на обработку данных.

Законопроект № 404786-8