Согласно принятому закону, кредитные организации смогут передавать данные на обработку только аккредитованным IT-компаниям и банкам с универсальной лицензией, более 50% голосов в которых прямо или косвенно контролируют государство, регионы, муниципалитеты или граждане РФ, не имеющие другого гражданства. Небанковские финансовые организации смогут привлекать аккредитованные IT-компании, а также других участников финансового рынка под российским контролем. Круг допустимых исполнителей зависит от вида деятельности заказчика. Информационные системы исполнителя должны находиться на территории РФ.

О намерении привлечь исполнителя финансовая организация обязана заранее уведомить ЦБ. К уведомлению прикладывается заключение об операционном аудите исполнителя, проведенном организацией с лицензией ФСТЭК и (или) ФСБ. Передавать данные можно будет по истечении 60 дней после направления уведомления, если ЦБ за это время не запретит привлечение исполнителя.

Российские банки с универсальной лицензией, находящиеся под контролем иностранных банков, смогут поручать обработку данных, в том числе составляющих банковскую тайну, иностранному банку с использованием его информационных систем. Для этого потребуется согласование ЦБ, ФСБ и Росфинмониторинга. Иностранный банк должен вести банковскую деятельность не менее трех лет, у ЦБ должно быть соглашение об обмене информацией с регулятором страны, где фактически находится этот банк, а передача данных не должна угрожать стабильности банковской системы.

Согласие клиентов на передачу их персональных данных исполнителю не требуется, однако договор с исполнителем должен отвечать требованиям закона о персональных данных. Исполнитель обязан ежегодно проходить операционный аудит и направлять его результаты заказчику и в ЦБ, а также сообщать заказчику об инцидентах информационной безопасности в течение двух часов с момента их выявления.

У исполнителя должны быть сотрудники, отвечающие за информационную безопасность, а у его руководителя не должно быть непогашенной судимости за экономические и компьютерные преступления. Исполнитель и его руководитель не должны являться "блокируемыми лицами" по закону о специальных экономических мерах.

При нарушении установленных требований ЦБ вправе запретить обработку информации с использованием систем исполнителя на срок до шести месяцев.

Регулирование распространяется на банки, страховщиков, НПФ, МФО, бюро кредитных историй, клиринговые организации и центральных контрагентов, организаторов торговли, специализированные депозитарии, операционные центры, не являющиеся кредитными организациями, а также на депозитарии, регистраторов и трансфер-агентов.

Закон вступает в силу по истечении одного года после дня его официального опубликования. Финансовые организации, которые уже передали данные на обработку сторонним организациям, должны будут в течение 180 дней со дня вступления закона в силу привести договоры в соответствие с новыми требованиями. Исполнители должны будут в течение года провести операционный аудит.