Банковскую тайну в России разрешили передавать ИТ-подрядчикам под контролем ЦБ

Президент Владимир Путин 2 ноября 2026 года подписал Федеральный закон № 350-ФЗ, который разрешает банкам, страховщикам и другим участникам финансового рынка поручать внешним ИТ-компаниям обработку банковской тайны, персональных данных и иных сведений ограниченного доступа. Выбор исполнителей жёстко ограничили требованиями к владельцам, расположению серверов и аудиту, а Банк России получил право запретить конкретного подрядчика. Закон вступит в силу 3 ноября 2027 года.

Раньше чужую инфраструктуру для закрытых данных использовать почти не удавалось, и это тормозило облачные сервисы и аутсорсинг в финансовой отрасли. Теперь банк сможет передать исполнителю любые сведения ограниченного доступа, кроме государственной тайны, и поручить ему:

• сбор, запись и систематизацию данных;
• хранение, уточнение и изменение;
• использование, передачу и предоставление доступа;
• удаление и уничтожение.

Персональные данные клиентов в перечень тоже входят, причём отдельного согласия человека на передачу подрядчику не потребуется. Для обычного вкладчика это означает, что его сведения могут оказаться на серверах компании, с которой он никогда не заключал договор. Банковская тайна формально сохраняется, и подрядчик не вправе использовать данные в своих целях или отдавать их дальше.

Кредитные организации смогут поручать обработку только аккредитованным ИТ-компаниям и банкам с универсальной лицензией под российским контролем, то есть под контролем государства, региона, муниципалитета или гражданина России без второго гражданства. Для банков-исполнителей порог составляет более 50% голосов, поэтому одной регистрации в России мало, а проверять придётся конечных владельцев.

Информационные системы исполнителя и их компоненты должны находиться в России и принадлежать ему на законном основании, поэтому российское юрлицо с зарубежными мощностями не подойдёт. Исключение сделали для российских банков под контролем иностранного банка. Они смогут поручать обработку своему владельцу на его системах, но только с согласия Банка России, ФСБ и Росфинмониторинга.

Перед началом работы финансовая организация обязана уведомить Банк России и приложить заключение об операционном аудите исполнителя от компании с лицензией ФСТЭК и (или) ФСБ. Если за 60 дней регулятор не запретит сотрудничество, обработку можно начинать. Формально это уведомление, по сути регулятор получает право вето. Исполнитель остаётся под наблюдением весь срок договора и должен:

• проходить операционный аудит каждый год и отправлять результаты заказчику и ЦБ;
• раз в квартал отчитываться о показателях защиты данных и операционной устойчивости;
• сообщать об инциденте информационной безопасности в двухчасовой срок после выявления;
• держать в штате сотрудников, отвечающих за защиту информации.

За нарушения регулятор сможет запретить обработку данных на системах подрядчика на срок до полугода, и для компании, которая обслуживает сразу несколько банков, это грозит срочным переносом систем и пересмотром договоров. К руководителю тоже предъявлены требования, в частности отсутствие непогашенной судимости за экономические и компьютерные преступления.

Закон затрагивает не только банки, при этом ломбарды и кредитные рейтинговые агентства из окончательной версии исключили. Право привлекать внешних исполнителей получили:

• страховые компании и негосударственные пенсионные фонды;
• микрофинансовые организации и кредитные бюро;
• клиринговые организации, центральные контрагенты и организаторы торговли;
• депозитарии, регистраторы и трансфер-агенты.

Законодателей подтолкнули атаки через подрядчиков, и заместитель председателя Банка России Герман Зубарев сообщил, что в 2025 году шифровальщики поразили 10 финансовых организаций, и в большинстве случаев вирус проник через внешних исполнителей. Один подрядчик обслуживает сразу нескольких заказчиков, поэтому взлом его инфраструктуры бьёт по всей цепочке клиентов, а защита у небольшого поставщика нередко слабее, чем у крупного банка. Общий ущерб от мошенничества в 2025 году вырос на 6,4% и достиг 29,3 млрд рублей, хотя антифрод-системы остановили 134,2 млн операций.

Банки и без закона начали возвращать часть ИТ- и ИБ-функций внутрь организаций. По оценке «Информзащиты», доля процессов на аутсорсинге в 2025 году составила:

• у крупных банков от 25 до 35% против от 32 до 42% годом ранее;
• у средних от 35 до 45% против от 42 до 52%;
• у небольших от 48 до 62% против от 52 до 67%.

Для действующих договоров предусмотрен переходный период, и финансовым организациям дали 180 дней после вступления закона в силу, а подрядчикам год на проведение операционного аудита. Подзаконные требования Банк России должен установить до этого срока, согласовав их с ФСБ, ФСТЭК, Минцифры и Росфинмониторингом. Это оставляет банкам и подрядчикам время на инвентаризацию действующих договоров.

Эксперты CISOCLUB отметили, что российская собственность и серверы в стране снижают юридические риски, но от взлома подрядчика сами по себе не защищают. Шифровальщик одинаково легко проникает и в российское облако, и в зарубежное, поэтому основную нагрузку примут на себя аудит, журналирование и контроль доступа. Двухчасовой срок уведомления жёсткий, и подрядчикам придётся заранее отработать регламенты реагирования.

Мелкие поставщики рискуют уйти с рынка из-за затрат на аудит, а данные сосредоточатся у нескольких крупных провайдеров, и сбой у одного из них заденет сразу много банков. Клиентам банков стоит ожидать, что их сведения окажутся у большего числа компаний, чем раньше, а отказаться от этого закон не позволяет. Банкам имеет смысл уже сейчас составить карту подрядчиков и субподрядчиков и выяснить, кто и где хранит резервные копии.

Ранее сообщалось, что президент Владимир Путин подписал указ № 802, временно допускающий использование вычислительных ресурсов зарубежных дата-центров для обеспечения работы российских информационных систем. Компании не смогут самостоятельно размещать там свои системы: решение о привлечении иностранных площадок будет принимать правительственная подкомиссия по согласованию с ФСБ. Кроме того, владельцы частных российских ЦОДов должны зарезервировать 10% своих площадей и вычислительных мощностей и по требованию государства предоставить их в течение суток.