Проект о правилах ИТ-аутсорсинга на финансовом рынке принят в окончательном чтении

Планируют закрепить, что банки вправе делегировать [1] другим организациям работу с информацией ограниченного доступа (кроме гостайны). Речь идет о сборе, записи, систематизации, хранении, обновлении, использовании, передаче сведений и т.д. (с. 3 и 4 проекта).

В большинстве случаев к взаимодействию станут предъявлять, в частности, такие требования (с 4, 7 - 10 и 72 - 76 проекта):

• привлечь к обработке данных можно аккредитованную ИТ-компанию или банк с универсальной лицензией, который находится под контролем, например, лица только с российским гражданством;
• упомянутые операции с данными нужно проводить с помощью систем и их компонентов, которые принадлежат организации и находятся в РФ;
• в договор надо включить порядок ежеквартального информирования банка о том, соблюдает ли организация целевые показатели защиты информации и операционной надежности;
• организация должна ежегодно проводить по спецправилам операционный аудит и сообщать о его результатах банку и ЦБ РФ.

Планируется, что новшества вступят в силу через год после опубликования закона. Когда он заработает, у банков будет 180 календарных дней, чтобы привести заключенные договоры в соответствие с новыми правилами. Организации должны в течение года с того же момента провести операционный аудит и направить заключение или отчет по его результатам банку и ЦБ РФ (с. 153 - 159 проекта).

Сходные изменения затронут МФО, страховщиков, ряд профучастников РЦБ и прочие финкомпании (с. 26, 40 и 112 проекта).

Источник: КонсультантПлюс [2]