Российские банки будут уведомлять ЦБ РФ о каждом ИТ-подрядчике с доступом к клиентским персональными данным

Федеральный закон № 350-ФЗ разрешает банкам, страховщикам, МФО и другим финансовым организациям поручать внешним ИТ-компаниям и облачным провайдерам обработку банковской тайны и персональных данных клиентов, но только исполнителям из перечня, который определил законодатель. Перед запуском схемы организация обязана уведомить Банк России и приложить заключение об операционном аудите подрядчика, после чего у регулятора есть 60 дней на запрет. Закон подписан 2 ноября 2026 года и вступит в силу 3 ноября 2027 года.

Круг исполнителей ограничен

Для МФО, БКИ, клиринговых организаций и депозитариев закон предусмотрел собственные перечни исполнителей, а кредитные организации смогут поручать обработку данных следующим исполнителям:

• аккредитованным российским ИТ-компаниям;
• банкам с универсальной лицензией, у которых более 50% голосов в капитале прямо или косвенно принадлежат государству, регионам, муниципалитетам либо гражданам России без другого гражданства;
• иностранному банку, который работает не менее 3 лет, если российский банк находится под его контролем, и после согласования с Банком России, ФСБ и Росфинмониторингом.

Ежегодный аудит подрядчиков

Поставщики будут ежегодно проходить операционный аудит, а проводить его вправе только организация с лицензией ФСБ и (или) ФСТЭК. Лицензия нужна аудитору, а не самому облачному провайдеру. Итоги проверки получат заказчик и Банк России. В проверку войдут:

• защита информации ограниченного доступа от просмотра, копирования, изменения и уничтожения;
• контроль учётных записей сотрудников и подрядчиков с доступом к инфраструктуре заказчика;
• управление привилегированным доступом к серверам, базам данных и облачным платформам;
• готовность к восстановлению после аварий и кибератак.

Два часа на сообщение об инциденте

Подрядчик обязан сообщить заказчику о выявленном инциденте в течение 2 часов с момента обнаружения. За это время банк успеет проверить свои системы, ограничить доступ исполнителя и заблокировать подозрительные подключения. Раз в квартал поставщик будет отчитываться о выполнении целевых показателей защиты информации. За разглашение данных исполнитель отвечает наравне с банком.

Если Банк России выявит несоответствие требованиям, он сможет запретить использовать инфраструктуру исполнителя, а при нарушениях получит право остановить обработку данных в его системах на срок до 6 месяцев. Информацию в предусмотренных законом случаях разрешено обрабатывать только на системах и компонентах, которые принадлежат привлекаемой организации и находятся на территории России, поэтому поставщикам с зарубежными элементами инфраструктуры придётся пересматривать архитектуру.

Атаки через подрядчиков

По данным ФинЦЕРТ, в 2025 году зафиксировано 14 инцидентов у подрядных организаций, после которых последовали атаки на финансовый рынок. Злоумышленники взламывают менее защищённую инфраструктуру сервис-провайдеров, забирают учётные данные и схемы сетей, а затем входят в системы банка через легитимные подключения подрядчика. В России работает более 20 тыс. разработчиков и интеграторов ИТ-решений, около 150 из них считаются значимыми, и 105 из этих компаний работают с финансовой сферой. Компьютерные инциденты в финансовой сфере за 2025 год распределились по типам следующим образом:

• заражение вредоносным ПО (38%);
• шифрование инфраструктуры (27%);
• несанкционированный доступ к ресурсу (14%);
• утечки данных (13%);
• компрометация учётных записей (8%).

Для клиентов российских банков главный риск в том, что защита собственных систем банка не гарантирует сохранность их данных, если уязвим подрядчик с доступом к ним.

Рынок облаков растёт

По оценке iKS-Consulting, российский рынок облачных услуг вырос с 322,3 млрд рублей в 2024 году до 416,5 млрд рублей в 2025 году, а к 2030 году может приблизиться к 1,2 трлн рублей. Банки будут выбирать поставщика не только по цене и доступности сервиса, но и по наличию аудита и срокам уведомления об инцидентах. Небольшим ИТ-компаниям без ресурсов на аудит и круглосуточное реагирование станет сложнее работать с банками, а официальных оценок влияния закона на стоимость облачных услуг пока нет.

В августе 2025 года Банк России в информационном письме № ИН-03-23/96 рекомендовал не передавать третьим лицам критически значимые процессы. Закон эту рекомендацию не отменяет, и внутри банка регулятор рекомендовал сохранять следующие функции:

• решения по стратегии, показателям склонности к риску и лимитам;
• бухгалтерский учёт и отчётность для Банка России;
• банковские операции;
• управление рисками, внутренний контроль и аудит.

Согласие клиентов и сроки

Финансовая организация сможет в предусмотренных случаях поручить обработку персональных данных подрядчику без отдельного согласия каждого клиента, хотя требования 152-ФЗ «О персональных данных» сохраняются. Для российских клиентов банков это означает, что их данные смогут обрабатывать внешние компании без новых подтверждений, но под контролем регулятора. Действующие договоры придётся привести в соответствие с законом до 30 апреля 2028 года, а аудит поставщиков завершить до 2 ноября 2028 года.

Эксперты CISOCLUB отметили, что закон превращает в обязательные требования то, что Банк России рекомендовал в обзорах атак. Срок в 2 часа на уведомление об инциденте окажется самым ощутимым для поставщиков, потому что потребует круглосуточного мониторинга и отработанных процедур эскалации. Ежегодный аудит ляжет на узкий круг лицензированных организаций, и к концу 2028 года возможны очереди на проверки. Банкам стоит заранее составить реестр подрядчиков и субподрядчиков с реальным доступом к данным. Закон снижает риск атак через цепочку поставок, но не заменяет сегментацию сети, контроль привилегированных учётных записей и собственный мониторинг.