Подписан закон, устанавливающий требования к ИТ-аутсорсингу на финансовом рынке

В частности, закреплено право кредитной организации поручить привлекаемой организации осуществление сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения информации ограниченного доступа (за исключением сведений, отнесенных к гостайне), а также персональных данных без согласия субъектов персональных данных.

Привлечь к обработке данных можно только аккредитованные ИТ-компании или банки с универсальной лицензией, которые находятся под контролем РФ, субъекта РФ, муниципального образования или гражданина РФ, не имеющего гражданства другого государства, и (или) контролируемых ими совместно или по отдельности лиц.

Законом к указанной деятельности предъявляются, в частности, следующие требования:

- для обработки информации ограниченного доступа привлекаемая организация должна использовать принадлежащие ей информационные системы и их компоненты, которые находятся на территории Российской Федерации;

- кредитная организация должна в обязательном порядке уведомить Банк России о намерении поручить обработку сведений привлекаемой организации до такого поручения;

- с привлекаемой организацией необходимо заключить договор, которым предусматривается, в том числе порядок направления привлекаемой организацией в кредитную организацию на ежеквартальной основе информации о соблюдении целевых показателей обеспечения защиты информации и операционной надежности;

- привлекаемая организация должна ежегодно проводить операционный аудит и направлять его результаты кредитной организации и Банку России.

Аналогичные новшества предусмотрены для МФО, страховщиков, НПФ, ряда профессиональных участников рынка ценных бумаг и пр.

Настоящий Федеральный закон вступает в силу по истечении одного года после дня его официального опубликования. Финансовые организации, которые до дня вступления его в силу поручили привлекаемым организациям осуществление обработки информации ограниченного доступа, обязаны в течение 180 дней со дня вступления в силу настоящего Федерального закона привести договоры с привлекаемыми организациями в соответствие с установленными требованиями.