❗️Изменения в требованиях к операционной надежности кредитных организаций и филиалов иностранных банков

3 сентября 2026 года на сайте Банка России опубликовано указание № 7419-У от 22 июля 2026 года — оно вносит изменения в Положение Банка России № 850-П. Новые требования вступают в силу с 1 января 2027 года, за исключением расширенных требований к учету информационной инфраструктуры: они начнут действовать с 1 января 2028 года. Ниже разбираем главное.

Простои из-за недоступности отдельных систем выводятся из оценки

При оценке операционной надежности не будут учитываться простои, вызванные недоступностью:

— ГИС,
— информационных систем оператора услуг платежной инфраструктуры платежной системы Банка России,
— НСПК,
— информационной системы оператора платформы цифрового рубля.

Правило применяется при условии, что выполнение соответствующего технологического процесса зависит от данной системы. При этом из учета такие периоды не исчезают совсем: необходимо фиксировать наименование информационной системы, а также дату и время начала и окончания вызванного ее недоступностью простоя.

Меняется логика оценки деградации технологических процессов

Показатель будет отражать долю не совершенных операций в период деградации, ранее — долю совершенных. В соответствии с новым подходом пересматриваются сигнальное и контрольное значения допустимой доли деградации, приложение 2 излагается в новой редакции. Также вводится формула расчета фактической доли деградации в рамках отдельного инцидента операционной надежности.

Учет информационной инфраструктуры станет подробнее

По автоматизированным системам и их компонентам, задействованным в технологических процессах, кредитным организациям потребуется определять, фиксировать и актуализировать при каждом изменении расширенный состав сведений:

— этапы жизненного цикла,
— назначение и идентификаторы систем,
— разработчиков и страны их регистрации,
— версии и классы ПО и оборудования,
— системы — источники данных,
— архитектуру,
— способы технической поддержки и обновления,
— возможность устранения известных уязвимостей,
— каналы удаленного управления,
— возможность работы без подключения к интернету,
— сведения об отнесении автоматизированных систем к типовым объектам КИИ и о включении ПО и оборудования в соответствующие реестры.

Изменится перечень технологических процессов

Из приложения 1 исключается технологический процесс, обеспечивающий выполнение операций на финансовых рынках.

Итог

Оценка операционной надежности станет точнее: простои из-за недоступности перечисленных систем больше не приравниваются к сбоям самой организации, а подробные сведения об инфраструктуре помогают увидеть, от каких систем и компонентов зависит стабильная работа технологических процессов.

Основная нагрузка при этом ложится на процессы. Инверсия показателя деградации требует пересчета формул, пороговых значений и шаблонов отчетности, а освобождение от чужих простоев работает только при доказательной фиксации: нужен способ определить, что процесс встал именно из-за конкретной внешней системы, и удержать точное время начала и окончания.

Что проверить у себя

К требованиям 2027 года стоит пересмотреть:

— порядок расчета показателей деградации,
— порядок регистрации инцидентов операционной надежности,
— учет сведений о простоях и деградации, связанных с недоступностью перечисленных информационных систем.

К изменениям 2028 года тоже лучше подготовиться: сравните уже имеющиеся сведения об автоматизированных системах и их компонентах с новым перечнем и определите, какие данные потребуется собрать дополнительно.

@finance_ciso