ЦБ РФ установит требования к поставщикам IT-аутсорсинга и облачных сервисов для финансовых организаций

28 октября 2026 года Совет Федерации одобрил федеральный закон, который устанавливает требования к поставщикам IT-аутсорсинга и облачных сервисов для финансовых организаций. Законопроект № 404786-8 прошел второе и третье чтения в Госдуме 14 октября 2026 года и теперь направлен на подпись президенту.

Документ разрешает финансовым организациям передавать обработку ограниченного доступа информации, включая персональные данные и банковскую тайну, квалифицированным поставщикам без согласия клиентов. Обработка может начинаться через 60 дней после уведомления ЦБ РФ о заключении договора.

Кто сможет оказывать услуги по новому закону

Поставщиками смогут выступать IT-компании, аккредитованные Минцифры, или российские банки с универсальной лицензией, где более 50 процентов голосующих акций контролируется государством, регионами, муниципалитетами или гражданами РФ без иностранного гражданства. Все системы и компоненты должны находиться в России и принадлежать российским юридическим лицам.

Финансовые организации обязаны заранее уведомлять ЦБ РФ о привлечении такого поставщика. Договоры должны соответствовать специальным требованиям, а обе стороны несут ответственность за несанкционированное раскрытие информации.

Обязанности поставщиков и роль ЦБ РФ

Поставщики должны иметь штатных специалистов по информационной безопасности и назначенных ответственных за защиту данных ограниченного доступа. Ежегодно они проходят внешний аудит операционной деятельности у организаций, имеющих лицензии ФСБ или ФСТЭК. Инциденты требуется сообщать в регулятор в установленные сроки.

ЦБ РФ совместно с ФСБ, ФСТЭК, Минцифры и Росфинмониторингом разработает около девяти подзаконных актов, которые определят требования к системам, защите информации, операционной надежности и внутреннему контролю. Нарушения могут повлечь запрет на обработку данных через инфраструктуру поставщика сроком до шести месяцев.

Закон вступает в силу через год после официального опубликования. Существующие договоры нужно привести в соответствие в течение 180 дней. Ранее, в августе 2025 года, ЦБ рекомендовал воздерживаться от аутсорсинга критических процессов; новый закон создает регулируемую схему для некритических операций.