Финансовые организации получили правовую основу для передачи ИТ-функций подрядчикам и использования облачных сервисов — вместе с жёсткими требованиями к самим поставщикам. 28 октября 2026 года Совет Федерации одобрил закон об аутсорсинге информационных технологий и облачных услугах в финансовом секторе, сообщает Банк России. Разбираем, что меняется для банков, МФО и компаний, которые поставляют им программное обеспечение и инфраструктуру.

Что предусматривает закон

Речь о законопроекте № 404786-8, внесённом ещё в 2023 году. По данным регулятора и Совета Федерации, закон:

  • Вводит уведомление ЦБ. Банки, страховщики и другие поднадзорные организации должны заранее сообщать регулятору о намерении привлечь аутсорсинговую компанию.
  • Устанавливает требования к поставщикам по информационной безопасности, в том числе по защите информации ограниченного доступа. Поставщиками могут быть финансовые организации или ИТ-компании, аккредитованные Минцифры и контролируемые российскими лицами.
  • Обязывает к ежегодному внешнему аудиту. Поставщики ИТ и облачных сервисов должны раз в год проверять соответствие требованиям с привлечением организаций, у которых есть лицензия ФСБ или ФСТЭК.
  • Распределяет ответственность. За разглашение полученной информации отвечают и финансовая организация, и подрядчик.
  • Задаёт требования к договору между финансовой организацией и поставщиком услуг.
  • Требует инфраструктуру в России: по данным Право.ру, использовать можно только информационные системы, которые принадлежат организации на законном основании и находятся на территории страны.

Закон начнёт действовать через год после официального опубликования. Детали Банк России пропишет в подзаконных актах.

Зачем это нужно

Атаки на финансовые организации всё чаще идут не напрямую, а через подрядчиков — разработчиков, хостинг-провайдеров, сервисы обработки данных. Регулятор рассчитывает, что общие требования к поставщикам снизят риск таких атак и утечек данных клиентов на стороне привлекаемых компаний.

Что это значит для заказчика — банка или МФО

  • Реестр подрядчиков. Кто из поставщиков обрабатывает данные клиентов, где размещена инфраструктура, по какому договору.
  • Пересмотр договоров под новые требования: обязанности по защите информации, аудит, порядок действий при инциденте.
  • Уведомление ЦБ — новый шаг в процессе выбора подрядчика, который нужно заложить в сроки проектов.
  • Запрос подтверждений. Результаты ежегодного аудита поставщика становятся обязательным документом при выборе и продлении договора.

Что это значит для поставщика ПО и облака

  • Аккредитация и российская инфраструктура — входной билет на рынок финансовых заказчиков.
  • Ежегодный аудит по требованиям регулятора с лицензированной организацией.
  • Разграничение доступа и журналирование: кто из сотрудников поставщика и к каким данным заказчика имеет доступ, — всё это придётся показывать аудиторам.
  • Вариант размещения у заказчика. Возможность развернуть систему в контуре банка или МФО снимает часть вопросов, если заказчик не готов передавать данные наружу.

Ранее мы разбирали требования ЦБ к информационной безопасности МФО: новый закон дополняет их правилами для всей цепочки подрядчиков.

Как это делает SPTNK

Размещение на инфраструктуре заказчика или в облаке, роли с ограниченными правами и журнал всех действий пользователей даёт платформа «SPTNK» для автоматизации кредитования. Эти возможности есть в решениях для банковского кредитования, микрофинансовых организаций и кредитования бизнеса, а доработки под требования конкретного заказчика выполняются как индивидуальная разработка.