ЦБ обязал облачных провайдеров проходить аудит для банков и страховщиков

Совет Федерации одобрил законопроект, который вводит обязательные требования по информационной безопасности для поставщиков ИТ-аутсорсинга и облачных сервисов, работающих с финансовыми организациями. О принятом решении сообщил Банк России. Нормативная база должна усилить защиту банковской инфраструктуры от кибератак, которые реализуются через подрядчиков, и снизить риски утечки клиентских данных за пределами периметра финансовых компаний.

Что меняется для рынка

Новые правила вступят в силу через год после официального опубликования. С этого момента банки, страховые компании и иные организации, поднадзорные регулятору, обязаны уведомлять ЦБ о намерении привлечь аутсорсинговую компанию. Заключение договора с поставщиком облачных услуг становится прозрачной процедурой, параметры которой регламентирует закон.

Регулятор рассматривает легализацию аутсорсинга как инструмент оптимизации затрат и повышения операционной эффективности сектора. При этом стороны договора несут совместную ответственность за сохранность информации. За разглашение данных отвечают как сами финансовые организации, так и привлеченные ими технологические партнеры.

Аудит и контроль

Ключевым требованием к поставщикам ИТ становится ежегодный внешний аудит. Проверку должны проводить организации, имеющие лицензию ФСБ России или ФСТЭК России. Такая мера призвана подтвердить соответствие инфраструктуры требованиям по защите информации и устойчивость к внешним угрозам.

Закон также фиксирует, что использование аутсорсинговых компаний превращается в легальный механизм развития как финансового, так и ИТ-сектора. При этом регулятор сохраняет жесткую позицию по критическим функциям.

Ограничения для банков

Ранее Банк России уже обозначил красные линии. В августе 2025 г. кредитным организациям было рекомендовано не передавать на аутсорсинг критически важные процессы, в том числе:

• бухгалтерский учет;
• составление отчетности;
• управление рисками;
• иные ключевые операционные функции.

Функции служб управления рисками, внутреннего контроля и аудита также не должны передаваться третьим лицам, за исключением случаев передачи между кредитными организациями одной группы.