Документ, внесенный летом 2023 года группой депутатов и сенаторов, прошел первое чтение в ноябре того же года. Ко второму чтению проект серьезно переработали в комитете по финансовому рынку: из него убрали идею полностью снимать ограничения на IT‑аутсорсинг без согласия клиентов, зато прописали жесткие требования к подрядчикам и контролю со стороны регулятора.
Теперь передавать данные на обработку можно будет только строго определенным исполнителям. Для банков это аккредитованные IT‑компании либо банки с универсальной лицензией, где более половины голосов прямо или косвенно контролируют государство, регионы, муниципалитеты или граждане России без второго гражданства.
Небанковские финансовые организации смогут привлекать аккредитованные IT‑фирмы и других участников рынка под российским контролем. При этом все информационные системы подрядчика обязаны находиться в России.
Перед тем как начать работу с подрядчиком, финансовая организация должна заранее сообщить об этом Центробанку. К уведомлению нужно приложить заключение об операционном аудите исполнителя — его проводит компания с лицензией ФСТЭК или ФСБ. Передавать данные разрешат только через 60 дней после отправки уведомления, если за это время ЦБ не запретит привлечение подрядчика.
Отдельное правило ввели для российских банков под контролем иностранных структур: они смогут поручать обработку данных иностранному банку, но только при согласовании с ЦБ, ФСБ и Росфинмониторингом. У иностранного банка должен быть опыт работы не менее трех лет, а у ЦБ — соглашение об обмене информацией с регулятором страны, где этот банк фактически работает. Кроме того, передача данных не должна угрожать стабильности российской банковской системы.
@urbc_ru