Совет Федерации одобрил закон, устанавливающий требования информационной безопасности к поставщикам ИТ-аутсорсинга и облачных сервисов для финансовых организаций. По данным Банка России, нововведения помогут банкам эффективнее противостоять кибератакам через инфраструктуру поставщиков и снизят вероятность утечек данных клиентов.
Новые правила вступят в силу через год после официального опубликования. Банки, страховые компании и другие поднадзорные регулятору организации должны будут уведомлять ЦБ о намерении привлечь аутсорсинговые компании, а условия сотрудничества стороны закрепят в договоре, содержание которого также регулирует закон.
Поставщики информационных технологий будут обязаны ежегодно проводить внешний аудит с привлечением организаций, имеющих лицензию ФСБ России или ФСТЭК России. Ответственность за разглашение информации понесут как финансовые организации, так и аутсорсинговые компании.
В августе 2025 года Банк России рекомендовал кредитным организациям не передавать на аутсорсинг критически важные процессы, включая бухгалтерский учет, составление отчетности и управление рисками. Функции служб управления рисками, внутреннего контроля и аудита также не должны переходить третьим лицам, кроме передачи между кредитными организациями одной группы.