Законопроект, который рассматривали в первом чтении еще в 2023 году, должен вступить в силу по истечении года после дня его официального опубликования. Привлекать финансовые организации (не только банки, но и страховщики, негосударственные пенсионные фонды, бюро кредитных историй) смогут не любых подрядчиков, а только аккредитованные ИТ-компании и банки с государственным участием и с универсальной лицензией.
Для "дочек" иностранных банков предусмотрено исключение. Они смогут поручать обработку данных иностранной кредитной организации. Но для этого потребуется согласование ЦБ, ФСБ и Росфинмониторинга, а также выполнение условий о стаже иностранного банка и соглашение между регуляторами, отмечает партнер Kept, руководитель группы по оказанию услуг в области кибербезопасности Илья Шаленков.
Перечень действий с банковской тайной и персональными данными, которые финансовая организация может передать на аутсорс третьему лицу, должен соответствовать ее правам и обязанностям.
Банк, если привлечет на аутсорс третье лицо для обработки информации ограниченного доступа, должен будет уведомить ЦБ, приложить заключение об операционном аудите исполнителя, проведенном организацией с лицензией ФСТЭК или ФСБ. Передача данных при этом будет возможна только через 60 дней, если регулятор ее не запретит.
В свою очередь для исполнителей в законе тоже предусмотрен ряд требований. Серверы должны находиться в России, компания обязана ежегодно проходить аудит и сообщать, по словам Шаленкова, об инцидентах в кибербезопасности в течение двух часов.
Новые правила, как отмечают участники рынка, увеличат скорость развития услуг и технологий за счет оперативного привлечения аутсорсинга под актуальную потребность. Финансовые организации также получат возможность использовать более экономически выгодные и гибкие облачные технологии.
Как сообщил "РГ" источник на рынке, для небольших компаний такая работа обходится дороже в расчете на масштаб инфраструктуры, поэтому облачный провайдер позволяет сократить затраты при сопоставимом уровне защиты.
Независимый эксперт по стратегическому развитию и цифровой трансформации финансового сектора и ретейла Ольга Бледнова отметила, что новые меры нужны для легализации ИТ-аутсорсинга и облачных сервисов, которыми банки фактически пользуются, но раньше были вынуждены делать это в "серой" зоне из-за формального запрета на передачу банковской тайны третьим лицам.
"Если раньше для работы с данными мы могли использовать только собственный штат и собственную физическую ИТ-инфраструктуру, то теперь у нас появляется больше пространства для роста и развития", - уточнил вице-президент по информационной безопасности Банка ДОМ.РФ Дмитрий Никишов.
Закон может стать одним из инструментов повышения устойчивости финансового сектора: банки получат больше возможностей для распределения нагрузок, резервирования и размещения систем у внешних провайдеров, согласен исполнительный директор Ассоциации облачных и технологических провайдеров (АОТП) Антон Салов. Но проблему дефицита мощностей, по его словам, он не решает. Более того, в долгосрочной перспективе расширение спроса со стороны финансового сектора может дополнительно усилить нагрузку на рынок коммерческих центров обработки данных.
"Речь идет о расширении внутреннего рынка ИТ- аутсорсинга, а не о свободной трансграничной передаче данных или возможности использовать зарубежные облачные платформы", - уточнил эксперт.
При этом связывать принятие закона с ударами по ЦОДам некорректно: вопрос, как отметил собеседник "РГ", обсуждался давно, а второе чтение планировалось еще на конец июля. Вероятно, рассмотрение перенесли из-за большого числа других законопроектов в повестке.
При этом банковская тайна (данные о клиенте, его счетах, операциях), как отмечают эксперты, останется информацией ограниченного доступа, но ее обработка может быть передана внешнему исполнителю без согласия клиента при соблюдении требований (но договор с клиентом должен соответствовать закону о персональных данных).
Для защиты информации ограниченного доступа в законе предусмотрены механизмы контроля исполнителей: аудит, требования к информационной безопасности, уведомление об инцидентах и право ЦБ запретить обработку при нарушениях.
"Тайна от этого не перестанет быть таковой - данные по-прежнему должны храниться в России, а требования законопроекта, наш внутренний риск-аппетит и требования информационной безопасности будут применяться к таким поставщикам со всей строгостью, как к собственным ресурсам", - уточнил Никишов.
Далеко не каждый поставщик, по его словам, сможет получить доступ к чувствительной информации. Регулятор тоже не оставит это без контроля: ответственность за сохранность данных будет нести каждый, кто имеет доступ.