Обзор изменений законодательства в части контроля аутсорсинга в финансовой сфере
Содержание данной статьи проверено и подтверждено:
Гончаров Андрей Михайлович
Юрист в области информационной безопасности28.10 был одобрен Проект Федерального закона о внесении изменений в отдельные законодательные акты Российской Федерации в части осуществления аутсорсинга в сферах финансового рынка.
Планируемая дата вступления в силу нормативного документа – спустя год после официального утверждения.
Какие организации финансового сектора подпадут под новые требования к ИТ-аутсорсингу
Изменения распространяются на следующие организации:
- Все организации, подпадающие под область действия ФЗ № 39 «О рынке ценных бумаг»
- Негосударственные пенсионные фонды в соответствии с ФЗ № 75 «О негосударственных пенсионных фондах»
- Кредитные рейтинговые агентства в соответствии с ФЗ № 222
- Банки в соответствии с ФЗ № 395-1 «О банках и банковской деятельности»
- Организации, предоставляющие услуги по страхованию (страховщики, общества взаимного страхования, СРО и профессиональные объединения страховщиков (кроме иностранных страховых организаций) в соответствии с ФЗ № 4015-1 «Об организации страхового дела в Российской Федерации»
- Бюро кредитных историй в соответствии с ФЗ № 218 «О кредитных историях»
- Ломбарды в соответствии с ФЗ № 196 «О ломбардах»
- МФО в соответствии с ФЗ № 151 «О микрофинансовой деятельности и микрофинансовых организациях»
Новые требования к ИТ-аутсорсингу и облачным услугам на финансовом рынке
Общие требования для организаций, подпадающих под регулирование:
1. Устанавливается терминология для целей регулирования участников рынка ценных бумаг, в том числе:
Поставщик услуг аутсорсинга информационных технологий и облачных услуг – любые лица, обладающие лицензией на ТЗКИ1 и реализующие деятельность в соответствии с договорами (или привлекаемые в качестве субподрядчика) на ИТ-аутсорсинг и (или) предоставление облачных услуг;
Услуги аутсорсинга ИТ – деятельность третьего лица по сопровождению информационных систем на стадиях их жизненного цикла или деятельность по обработке защищаемой информации третьим лицом в информационных системах заказчика аутсорсинга или в собственной инфраструктуре поставщика услуг;
Облачные услуги – услуги по предоставлению вычислительных мощностей по обработке информации в информационных системах третьего лица.
1 Лицензия на ТЗКИ может отсутствовать у организации, если она входит в ту же банковскую группу, что и организация, заключающая договор на предоставление услуг по аутсорсингу
2. Устанавливается возможность использования услуг аутсорсинга по обработке защищаемой информации для заказчиков услуг аутсорсинга без получения согласия клиентов на обработку информации о них (за исключением информации, отнесенной к государственной тайне)
3. Запрещается аутсорсинг деятельности, направленной на противодействие легализации доходов, полученных преступным путем и финансирования терроризма
4. Устанавливается ответственность для поставщиков услуг аутсорсинга по соблюдению требований по защите передаваемой для обработки информации в соответствии с устанавливаемыми для указанной информации режимами защиты. Режимы защиты информации устанавливаются в соответствии с нормативными требованиями, а также договорными отношениями
Дополнительные уточнения
5. Банк России наделяется полномочиями по согласованию с ФСБ России, ФСТЭК России и Минцифры России устанавливать требования к порядку привлечения и взаимодействия поставщиков ИТ-аутсорсинга и облачных услуг, включая требования к информационным системам поставщиков для обеспечения защиты информации и операционной надежности.
6. Уточняется, что аудиторская деятельность может включать ИТ-аутсорсинг и облачные услуги, если это предусмотрено федеральным законом.
Что изменит закон об ИТ-аутсорсинге для финансового сектора
Законопроект формирует единый правовой режим использования ИТ-аутсорсинга и облачных услуг в финансовом секторе, в том числе устанавливает состав информации допустимой для обработки в рамках аутсорсинга и недопустимой в явном виде.
Также документ, устанавливает ответственность для лиц, предоставляющих услуги в рамках аутсорсинга, и наделяет Банк России полномочиями по контролю осуществления ИТ-аутсорсинга.
Как подготовиться к новым требованиям по ИТ-аутсорсингу в финансовой сфере
В целях обеспечения соответствия требованиям законодательства по соблюдению требований к аутсорсингу в финансовой сфере, необходимо провести следующие работы:
1. Определить статус организации в рамках аутсорсинга
2. Получить лицензию на ТЗКИ, в том числе провести аттестацию информационных систем
3. Определить перечень контрагентов, для которых осуществляется предоставление услуг в рамках ИТ-аутсорсинга.
4. Обеспечить реализацию требований, которые реализуют контрагенты в финансовом секторе, в том числе:
Подписывайтесь на канал ИТ. Право. Безопасность в Telegram
