❗️Изменения в Положениях Банка России: 757-П, 821-П, 779-П

17 февраля были опубликованы указания ЦБ РФ, которые вносят изменения в ряд Положений. Ниже — о конкретных изменениях.

757-П

— расширен перечень некредитных финансовых организаций, которые должны соответствовать требованиям ГОСТ Р: стандартному уровню должны соответствовать все страховые организации и негосударственные пенсионные фонды, регистраторы (кроме тех, кому необходимо соответствовать усиленному уровню) и депозитарии, осуществляющие расчеты по результатам сделок, совершенных на торгах организаторов торговли по соглашению с организаторами торговли и/или клиринговыми организациями, осуществляющими клиринг обязательств по таким сделкам.

Минимальному уровню необходимо соответствовать микрофинансовым организациям (кроме МФО предпринимательского финансирования и МФО, связанных с государством), операторам инвестиционных платформ. С января 2028 года все МФО будут обязаны соответствовать минимальному уровню защиты.

— введены дополнительные требования к обеспечению безопасности: расширен перечень регистрируемой информации о действиях клиентов. Установлены требования к соблюдению при использовании единой системы идентификации и аутентификации. Расширены требования к подтверждению составления электронных сообщений уполномоченным на это лицом. Закреплена обязанность соблюдения цикла PDCA.

— уточнен процесс ведения отчетности: установлены порядок и формы направления отчетности в ЦБ по итогам оценки технологических мер защиты и требований к прикладному ПО, а также сроки предоставления НФО сведений о выявленных инцидентах и результатах расследования.

Основные изменения вступают в силу с 1 января 2027 согласно указанию № 7219-У.

821-П

— введены дополнительные требования к обеспечению безопасности: дополнительные требования к регистрации действий, связанных с доступом к защищаемой информацией. Расширен перечень регистрируемой информации о действиях клиентов, а также перечень защищаемой информации (дополнен сведениями об идентификации и/или аутентификации с использованием биометрических ПДн). Закреплена обязанность соблюдения цикла PDCA.

— установлены сроки сертификации ПО автоматизированных систем и приложений при присвоении статуса значимой кредитной организации.

— уточнен процесс ведения отчетности: установлены порядок и формы направления отчетности в ЦБ по итогам оценки технологических мер защиты и требований к прикладному ПО, а также сроки предоставления операторами по переводу денежных средств, операторами услуг платежной инфраструктуры Банку России сведений о выявленных инцидентах и результатах расследования.

Основные изменения вступают в силу с 1 октября 2026 согласно указанию № 7220-У.

779-П

— уточнен перечень показателей операционной надежности для НФО: введен порядок расчета допустимой доли деградации. Установлены контрольные и сигнальные значения операционной надежности, а также порог в 5 минут для признания простоя и/или деградации технологического процесса.

С 1 января 2028 года требования к операционной надежности будут распространятся на МФО. Для них определены технологические процессы по дистанционному предоставлению и погашению займов через интернет, а также установлен порог допустимого времени простоя и/или деградации — не более 24 часов.

— введены дополнительные требования к НФО:

• во внутренних документах необходимо определить порядок регистрации событий операционного риска, связанных с нарушением операционной надежности,
• определить орган управления НФО, который утверждает сигнальные и контрольные значения показателей операционной надежности,
• необходимость планирования продолжительности времени (функционирования) технологических процессов работы на будущий квартал,

Помимо этого, в документе уточнены формулировки по нейтрализации угроз, обусловленных зависимостью от поставщика и угроз со стороны внутреннего нарушителя.

Основные изменения вступают в силу с 1 января 2027 согласно указанию № 7221-У.

@finance_ciso