🏦🚓Госдума срочно занялась дата-центрами. Из банков разрешат передавать на хранение в сторонние IT-компании данные клиентов — без их согласия, но под контролем ФСБ

7 октября, накануне первой атаки ВСУ на дата-центры «Яндекса» из думских архивов достали и подготовили ко второму чтению документ, который почти три года лежал без движения, заметил «МО». Уже завтра во втором, а возможно, и в третьем чтении собираются принять законопроект о госрегулировании ИТ-аутсорсинга и облачных услуг для финансовых организаций.

📌 Этот проект еще в июле 2023 года внесли депутаты комитета по финансовому рынку, в ноябре того же года он прошел первое чтение. Как написал глава комитета Анатолий Аксаков (на фото), «законопроект дает возможность банкам оптимизировать затраты на информационную инфраструктуру». Банкам разрешат передавать персональные данные клиентов в сторонние ИТ-компании без получения согласия клиентов.

📌 6 октября, за день до того, как профильный комитет рекомендовал принять законопроект во втором чтении, замглавы Минцифры Евгений Филатов заявил на цифровом форуме об угрозе атак на российские дата-центры и назвал одной из ключевых задач распределение мощностей между площадками в разных регионах.

📌 Российские войска били по дата-центрам в Украине с конца сентября, 4 октября Владимир Зеленский предупреждал об ответных ударах. Серия ответных ударов 8–11 октября привела к повреждению дата-центров «Яндекса» в Калужской, Владимирской и Рязанской областях, вызвав сбои в облачных сервисах.

📌 В исходной редакции 2023 года законопроект предлагал базовую рамку: разрешить банкам, страховщикам и НПФ привлекать облачные компании без согласия клиентов, ограничиться стандартной лицензией ФСТЭК и разрешить привлечение субподрядчиков. Но ко второму чтению текст переработали, ужесточив требования к хранилищам и установив ведомственный фильтр:
🔹Только прямой договор: передавать финансовую тайну разрешено строго единому провайдеру — привлекать сторонних субподрядчиков запрещено.
🔹Узкий круг подрядчиков: доверить обработку данных можно только аккредитованным при Минцифры ИТ-компаниям либо банкам под российским контролем. Все сервера и информационные системы обязаны находиться на территории РФ.
🔹Расширение списка участников: помимо банков, пользователем таких услуг смогут стать депозитарии, регистраторы, трансфер-агенты, а также операционные центры национальной платежной системы.
🔹60 дней на фильтр ЦБ и ФСБ: за 60 дней до начала работы с провайдером банк обязан уведомить Банк России. ЦБ по согласованию с ФСБ, ФСТЭК и Минцифры получает право запретить или приостановить обработку данных у провайдера на срок до 6 месяцев.
🔹Уведомление об авариях за 2 часа: провайдера обязали информировать финансовую организацию о любых инцидентах безопасности и сбоях в течение 2 часов с момента их выявления, а также ежегодно проходить операционный аудит у ФСБ или ФСТЭК.

👉Сейчас банк не имеет права перекинуть данные клиента в какую-то стороннюю организацию, объясняет IT-специалист российской компании на условиях анонимности. Но после атак на дата-центры «Яндекса» для подстраховки всем крупным операторам данных рекомендовано распределять банки данных по разным хранилищам — отсюда и срочность нового регулирования.