СФ одобрил закон о требованиях к ИТ-аутсорсингу и облачным сервисам для финсектора

Совфед одобрил законопроект, который направлен на обеспечение стабильности и непрерывности работы финансового сектора в условиях глобальных сбоев в цепочках поставок оборудования. Инициатива предлагает снять правовые ограничения на использование кредитными и некредитными финансовыми организациями, а также профессиональными участниками рынка услуг аутсорсинга информационных технологий и облачных вычислений.

Авторы подчеркивают, что привлечение сторонних ИТ-провайдеров является объективной необходимостью и общепринятой практикой. Это позволит финансовым организациям оптимизировать затраты на создание и поддержку собственной инфраструктуры, а также сохранить конкурентоспособность и киберустойчивость в условиях, когда наращивание внутренних компетенций в сфере информационной безопасности затруднено или невозможно.

Законопроект вводит в правовое поле новый субъект — поставщика услуг аутсорсинга ИТ и облачных услуг. На такие компании будет распространяться юридическая ответственность за разглашение банковской тайны и иных видов охраняемой законом тайны.

Регулированием этой сферы будет заниматься Банк России. Он совместно с уполномоченными федеральными органами исполнительной власти получит право устанавливать обязательные для финансового сектора требования к порядку взаимодействия с такими аутсорсинговыми компаниями. Эти нормы будут включать стандарты защиты информации и операционной надежности информационных систем поставщиков, а также определять механизмы контроля за их соблюдением.

Кредитные организации смогут передавать данные на обработку строго аккредитованным ИТ-компаниям или банкам, которые имеют универсальную лицензию, а их контрольный пакет акций прямо или косвенно принадлежит государству, регионам, муниципалитетам или гражданам России без иностранного гражданства. Если финансовая организация хочет обратиться к услугам ИТ-аутсорсинга, то она должна заранее направить уведомление об этом в ЦБ.

Согласие клиентов на передачу их персональных данных не нужно, но договор с подрядчиком должен строго соответствовать требованиям закона о персональных данных. Исполнитель в соответствии с законопроектом должен ежегодно проходить операционный аудит и направлять его результаты как заказчику, так и в ЦБ.

В штате поставщика ИТ-аутсорсинга и облачных услуг должны быть сотрудники, ответственные за информационную безопасность. Руководитель компании не должен иметь неснятой или непогашенной судимости за преступления в сфере экономики или компьютерной информации. Кроме того, ни сама организация, ни ее руководитель не должны находиться в перечне «блокируемых лиц» в рамках закона о специальных экономических мерах.

Законопроект № 404786-8 «О внесении изменений в отдельные законодательные акты Российской Федерации (в части совершенствования правовых основ для аутсорсинга информационных технологий и использования облачных услуг финансовыми организациями)»