Об установлении обязательных для некредитных финансовых организаций требований к операционной надежности при осуществлении видов деятельности, предусмотренных частью первой стат…

центрального депозитария, регистраторов финансовых транзакций,#❝

i)#❝

управляющих компаний инвестиционного фонда, паевого инвестиционного фонда и негосударственного пенсионного фонда, специализированных депозитариев инвестиционного фонда, паевого инвестиционного фонда и негосударственного пенсионного фонда, центрального контрагента, организатора торговли, субъектов страхового дела, негосударственных пенсионных фондов, операторов инвестиционных платформ, операторов финансовых платформ, операторов информационных систем, в которых осуществляется выпуск цифровых финансовых активов, операторов обмена цифровых финансовых активов, клиринговую деятельность, репозитарную деятельность, обязанные соблюдать усиленный, стандартный или минимальный уровень защиты информации в соответствии с подпунктами 1.4.2—1.4.4 пункта 1.4 Положения Банка России от 20 апреля 2021 года № 757-П «Об установлении обязательных для некредитных финансовых организаций требований к обеспечению защиты информации при осуществлении деятельности в сфере финансовых рынков в целях противодействия осуществлению незаконных финансовых операций», зарегистрированного Министерством юстиции Российской Федерации 15 июня 2021 года № 63880 (далее соответственно — Положение Банка России от 20 апреля 2021 года № 757-П, некредитные финансовые организации, обязанные соблюдать усиленный, стандартный или минимальный уровень защиты информации), в рамках обеспечения операционной надежности должны в соответствии с приложением к настоящему Положению обеспечить непревышение:#❝

порогового уровня допустимого времени простоя технологических процессов, обеспечивающих осуществление деятельности в сфере финансовых рынков (далее — технологические процессы);#❝

порогового уровня допустимого времени нарушения технологических процессов, приводящего к неоказанию или ненадлежащему оказанию#❝

финансовых услуг (далее — деградация технологических процессов).#❝

допустимого отношения общего количества финансовых операций, совершенных во время деградации технологического процесса в рамках события операционного риска или серии связанных событий операционного риска, вызванных информационными угрозами, которые привели к неоказанию или ненадлежащему оказанию финансовых услуг (далее — события операционного риска, связанные с нарушением операционной надежности), к ожидаемому количеству финансовых операций за тот же период в случае непрерывного оказания финансовых услуг (далее — доля деградации технологических процессов);#❝

допустимого времени простоя и (или) деградации технологического процесса в рамках события операционного риска, связанного с нарушением операционной надежности (в случае превышения допустимой доли деградации технологического процесса), не выше порогового уровня, установленного в приложении к настоящему Положению;#❝

допустимого суммарного времени простоя и (или) деградации технологического процесса (в случае превышения допустимой доли деградации технологического процесса) в течение последних двенадцати календарных месяцев к первому числу каждого календарного месяца;#❝

показателя соблюдения режима работы (функционирования) технологического процесса (времени начала, времени окончания, продолжительности и последовательности процедур в рамках#❝

технологического процесса).#❝

Значение допустимой доли деградации технологических процессов должно рассчитываться некредитной финансовой организацией, обязанной соблюдать усиленный, стандартный или минимальный уровень защиты информации, на основании статистических данных за период не менее двенадцати календарных месяцев, предшествующих дате определения значения целевого показателя операционной надежности, за исключением случая, предусмотренного абзацем седьмым настоящего пункта, и (или) иных данных, обосновывающих их определение (по выбору некредитной финансовой организации).#❝

В случае если технологический процесс функционирует менее двенадцати календарных месяцев, некредитные финансовые организации, обязанные соблюдать усиленный, стандартный или минимальный уровень защиты информации, должны определять значение допустимой доли деградации технологических процессов на основании статистических данных за период с даты начала его функционирования и (или) иных данных, обосновывающих их определение (по выбору некредитной финансовой организации).#❝

В случае превышения допустимой доли деградации технологических процессов некредитные финансовые организации, обязанные соблюдать усиленный, стандартный или минимальный уровень защиты информации, должны обеспечить фиксацию:#❝

фактического времени простоя и (или) деградации технологического процесса, исчисляемого по каждому событию операционного риска, связанному с нарушением операционной надежности (с момента нарушения технологического процесса по причине реализации события операционного риска, связанного с нарушением операционной надежности, до момента восстановления выполнения технологического процесса);#❝

фактической доли деградации технологического процесса, исчисляемой#❝

по каждому событию операционного риска, связанному с нарушением 5#❝

операционной надежности;#❝

суммарного времени простоя и (или) деградации технологического процесса за последние двенадцать календарных месяцев, предшествующих событию операционного риска, связанному с нарушением операционной надежности.#❝

При определении времени простоя и (или) деградации технологических процессов в расчет не включаются периоды времени проведения плановых технологических операций, связанных с приостановлением (частичным приостановлением) технологических процессов.#❝

Некредитные финансовые организации, обязанные соблюдать усиленный, стандартный или минимальный уровень защиты информации, должны обеспечить контроль за соблюдением значений целевых показателей операционной надежности.#❝

Некредитные финансовые организации, обязанные соблюдать усиленный, стандартный или минимальный уровень защиты информации, должны не реже одного раза в год проводить анализ необходимости пересмотра значений целевых показателей операционной надежности, по итогам которого указанные некредитные финансовые организации должны пересмотреть значения целевых показателей операционной надежности либо принять мотивированное решение об отсутствии необходимости в пересмотре указанных значений.#❝

В случае если законодательством Российской — Федерации, регулирующим деятельность некредитных финансовых организаций, обязанных соблюдать усиленный, стандартный или минимальный уровень защиты информации, установлена обязательность наличия у них системы управления рисками, указанные некредитные финансовые организации должны выполнять требования настоящего пункта в рамках системы#❝

управления рисками.#❝

технологических процессов, указанных в приложении к настоящему Положению, реализуемых непосредственно некредитной финансовой организацией;#❝

подразделений (работников) некредитной финансовой организации, ответственных за разработку технологических процессов, указанных в приложении к настоящему Положению, поддержание их выполнения, их реализацию;#❝

объектов информационной инфраструктуры некредитной финансовой организации, задействованных при выполнении каждого технологического процесса, указанного в приложении к настоящему Положению, реализуемого непосредственно некредитной финансовой организацией;#❝

технологических участков предусмотренных приложением к настоящему Положению технологических процессов, указанных в пункте 1.10 Положения Банка России от 20 апреля 2021 года № 757-П (далее — технологические участки технологических процессов), реализуемых непосредственно некредитной финансовой организацией;#❝

технологических процессов, указанных в приложении к настоящему Положению, технологических участков технологических процессов, реализуемых внешними контрагентами, оказывающими услуги в сфере информационных технологий, связанные с выполнением технологических процессов (далее — поставщики услуг);#❝

работников некредитной финансовой организации или иных лиц, осуществляющих физический и (или) логический доступ, или программных#❝

сервисов, осуществляющих логический доступ к объектам информационной#❝

инфраструктуры некредитной финансовой организации (далее — субъекты доступа), задействованных при выполнении каждого технологического процесса, указанного в приложении к настоящему Положению;#❝

взаимосвязей и взаимозависимостей между некредитной финансовой организацией и иными некредитными финансовыми организациями, кредитными организациями и поставщиками услуг в рамках выполнения технологических процессов, указанных в приложении к настоящему Положению (далее при совместном упоминании — участники технологического процесса);#❝

каналов передачи защищаемой информации, указанной в пункте 1.1 Положения Банка России от 20 апреля 2021 года № 757-П, обрабатываемой и передаваемой в рамках технологических процессов, указанных в приложении к настоящему Положению, участниками технологического процесса.#❝

Некредитные финансовые организации, обязанные соблюдать усиленный, стандартный или минимальный уровень защиты информации, в отношении своих элементов критичной архитектуры, являющихся значимыми объектами критической информационной инфраструктуры в соответствии с пунктом 3 статьи 2 Федерального закона от 26 июля 2017 года № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» (Собрание законодательства Российской Федерации, 2017, № 31, ст. 4736) (далее — Федеральный закон от 26 июля 2017 года № 187-ФЗ), должны выполнять требования по обеспечению безопасности значимых объектов критической информационной инфраструктуры, установленные в соответствии с пунктом 4 части 3 статьи 6 Федерального закона от 26 июля 2017 года № 187-ФЗ (Собрание законодательства Российской Федерации, 2017, № З1, ст. 4736).#❝

В целях организации учета и контроля состава технологических#❝

процессов, указанных В приложении К настоящему Положению,#❝

технологических участков технологических процессов, реализуемых поставщиками услуг, некредитные финансовые организации, обязанные соблюдать усиленный, стандартный или минимальный уровень защиты информации, должны обеспечивать ведение реестра указанных технологических процессов и технологических участков технологических процессов в соответствии со своими внутренними документами.#❝

управление уязвимостями в критичной архитектуре, с использованием которых могут реализоваться информационные угрозы и которые могут повлечь отклонение от значений целевых показателей операционной надежности, указанных в пункте 1.3 настоящего Положения;#❝

планирование и внедрение изменений в критичной архитектуре, направленных на обеспечение непрерывного оказания финансовых услуг;#❝

управление конфигурациями объектов информационной инфраструктуры некредитных финансовых организаций;#❝

управление уязвимостями и обновлениями (исправлениями) объектов информационной инфраструктуры некредитных финансовых организаций.#❝

приложении к настоящему Положению, и функционирования своих объектов#❝

информационной инфраструктуры после реализации указанных событий выполнение следующих требований:#❝

выявление и регистрацию событий операционного риска, связанных с нарушением операционной надежности;#❝

реагирование на события операционного риска, связанные с нарушением операционной надежности, в отношении критичной архитектуры;#❝

восстановление выполнения технологических процессов, указанных в приложении к настоящему Положению, и функционирования своих объектов информационной инфраструктуры после реализации событий операционного риска, связанных с нарушением операционной надежности;#❝

проведение анализа причин и последствий реализации событий операционного риска, связанных с нарушением операционной надежности;#❝

организацию взаимодействия между подразделениями (работниками) некредитной финансовой организации, ответственными за разработку технологических процессов, указанных в приложении к настоящему Положению, поддержание их выполнения, их реализацию, между собой и Банком России, иными участниками технологического процесса в рамках реагирования на события операционного риска, связанные с нарушением операционной надежности, и восстановления выполнения технологических процессов, указанных в приложении к настоящему Положению, а также функционирования своих объектов информационной инфраструктуры после реализации событий операционного риска, связанных с нарушением операционной надежности.#❝

поставщиками услуг:#❝

10#❝

управление риском реализации информационных угроз при привлечении поставщиков услуг, в том числе защиту своих объектов информационной инфраструктуры от возможной реализации информационных угроз со стороны поставщиков услуг;#❝

управление риском технологической зависимости функционирования своих объектов информационной инфраструктуры от поставщиков услуг.#❝

архитектуры.#❝

рамках обеспечения операционной надежности Должны обеспечивать#❝

11#❝

выполнение следующих требований в отношении обеспечения своей осведомленности об актуальных информационных угрозах:#❝

организацию взаимодействия с иными участниками технологического процесса при обмене информацией об актуальных сценариях реализации информационных угроз;#❝

использование информации об актуальных сценариях реализации информационных угроз для цели обеспечения непрерывного оказания финансовых услуг.#❝

Некредитные финансовые организации, обязанные соблюдать усиленный, стандартный или минимальный уровень защиты информации, должны обеспечить защиту критичной архитектуры от возможной реализации информационных угроз в периоды выполнения работниками указанных некредитных финансовых организаций трудовой функции дистанционно.#❝

критической информационной инфраструктуры в соответствии с пунктом 8#❝

статьи 2 Федерального закона от 26 июля 2017 года № 187-ФЗ (Собрание законодательства Российской Федерации, 2017, № 31, ст. 4736), должны выполнять требования, направленные на противодействие целевым компьютерным — атакам, — устанавливаемые федеральным — органом исполнительной власти, уполномоченным в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, в зависимости от уровня опасности.#❝

определение и описание состава процедур, направленных на выполнение требований к операционной надежности;#❝

определение организационной структуры некредитной финансовой организации, задействованной в выполнении требований к операционной надежности, включающее установление функций подразделений некредитной финансовой организации (в том числе в части принятия решений, касающихся выполнения требований к операционной надежности, с обеспечением исключения конфликта интересов) и обеспечивающее контроль за выполнением требований к операционной надежности в рамках порядка организации и осуществления некредитной финансовой организацией внутреннего контроля (в случае его наличия); |#❝

выделение ресурсного обеспечения для выполнения требований к операционной надежности;#❝

порядок утверждения и условия пересмотра процедур, направленных на выполнение требований к операционной надежности.#❝

Некредитные финансовые организации, обязанные соблюдать#❝

усиленный, стандартный или минимальный уровень защиты информации,#❝

должны обеспечить реализацию требований к операционной надежности начиная с разработки и планирования внедрения технологических процессов, указанных в приложении к настоящему Положению.#❝

моделировать информационные угрозы в отношении критичной архитектуры;#❝

планировать применение организационных и технических мер, направленных на реализацию требований к операционной надежности, на основе результатов оценки риска реализации информационных угроз в рамках системы управления рисками (при наличии);#❝

обеспечивать реализацию требований к операционной надежности на стадиях создания, эксплуатации (использования по назначению, технического обслуживания и ремонта), модернизации, снятия с эксплуатации своих объектов информационной инфраструктуры;#❝

обеспечивать контроль соблюдения требований к операционной надежности в отношении элементов критичной архитектуры.#❝

Некредитные финансовые организации, обязанные соблюдать усиленный, стандартный или минимальный уровень защиты информации, должны устанавливать во внутренних документах порядок регистрации событий операционного риска, связанных с нарушением операционной надежности. По каждому событию операционного риска, связанному с нарушением операционной надежности, некредитные финансовые организации, обязанные соблюдать усиленный, стандартный или минимальный уровень защиты информации, должны обеспечивать регистрацию:#❝

данных, используемых для фиксации отклонения от значений целевых показателей операционной надежности, указанных в пункте 1.3 настоящего#❝

14#❝

Положения;#❝

данных, позволяющих выявить причину отклонения от значений целевых показателей операционной надежности, указанных в пункте 1.3 настоящего Положения;#❝

результата реагирования на событие операционного риска, связанное с нарушением операционной надежности (принятых мер и проведенных мероприятий по реагированию на выявленное некредитной финансовой организацией или Банком России событие операционного риска, связанное с нарушением операционной надежности).#❝

о выявленных событиях операционного риска, связанных с нарушением операционной надежности, включенных в перечень типов событий операционного риска, связанных с нарушением операционной надежности, размещаемый Банком России на официальном сайте Банка России в сети «Интернет» (в случае превышения допустимой доли деградации технологических процессов), а также о принятых мерах и проведенных мероприятиях по реагированию на указанные события операционного риска, связанные с нарушением операционной надежности, выявленные некредитной финансовой организацией или Банком России;#❝

о планируемых публичных мероприятиях, включая выпуск прессрелизов и проведение пресс-конференций, размещение информации на официальных сайтах в сети «Интернет», в отношении событий операционного риска, связанных с нарушением операционной надежности, не позднее одного рабочего дня до проведения мероприятия.#❝

Некредитные финансовые организации, обязанные соблюдать усиленный, стандартный или минимальный уровень защиты информации,#❝

15#❝

должны представлять в Банк России указанные в абзацах втором и третьем настоящего пункта сведения с использованием технической инфраструктуры (автоматизированной системы) Банка России. В случае возникновения технической невозможности взаимодействия некредитных финансовых организаций, обязанных соблюдать усиленный, стандартный или минимальный уровень защиты информации, с Банком России с использованием технической инфраструктуры (автоматизированной системы) Банка России указанные некредитные финансовые организации должны предоставлять в Банк России сведения с использованием резервного способа взаимодействия. Информация о технической инфраструктуре (автоматизированной системе) Банка России, резервном способе взаимодействия, форме и сроках направления сведений размещается на официальном сайте Банка России в сети «Интернет».#❝

проводить не реже одного раза в три года в рамках системы управления рисками (при наличии) анализ необходимости обеспечения непревышения порогового уровня допустимого времени простоя и (или) деградации технологических процессов, соблюдения значений целевых показателей операционной надежности;#❝

закреплять по итогам указанного в абзаце втором настоящего пункта анализа в своих внутренних документах перечень технологических процессов, пороговые уровни допустимого времени простоя и (или) деградации технологических процессов, а также значения целевых показателей операционной надежности либо принимать мотивированное решение об отсутствии необходимости в обеспечении непревышения порогового уровня допустимого времени простоя и (или) деградации технологических процессов,#❝

соблюдения значений целевых показателей операционной надежности,#❝

16#❝

обеспечивать контроль за соблюдением предусмотренных своими внутренними документами пороговых уровней допустимого времени простоя И (или) деградации технологических процессов и значений целевых показателей операционной надежности (в случае их закрепления в своих#❝

внутренних документах).#❝

Глава 2. Особенности обеспечения операционной надежности при осуществлении деятельности оператора информационной системы, в которой осуществляется выпуск цифровых финансовых активов, оператора обмена цифровых#❝

финансовых активов#❝

обеспечение безопасности программной среды исполнения сделки, указанной в части 2 статьи 4 Федерального закона от 31 июля 2020 года № 259-ФЗ «О цифровых финансовых активах, цифровой валюте и о внесении изменений в отдельные законодательные акты Российской Федерации» (Собрание законодательства Российской Федерации, 2020, № 31, ст. 5018), в том числе настройки программной среды исполнения указанной сделки, обеспечивающей функциональность программной среды в условиях сбоев при обработке данных, установление ограничений на доступ к системным ресурсам, оперативной памяти и файловой системе для программной среды#❝

исполнения указанной сделки, 17#❝

применение механизмов, реализующих обработку информационных угроз, связанных с недоступностью функций компонентов информационной системы, в которой осуществляется выпуск цифровых финансовых активов, а также недоступностью функций удостоверяющего центра, указанного в статье 13 Федерального закона от 6 апреля 2011 года № 63-ФЗ «Об электронной подписи» (Собрание законодательства Российской Федерации, 2011, № 15, ст. 2036; 2020, № 26, ст. 3997), и (или) функций иных информационных систем, взаимодействующих с информационной системой, в которой осуществляется выпуск цифровых финансовых активов.#❝

анализ и применение — алгоритмов, сохраняющих — свою функциональность в условиях сбоев и обеспечивающих тождественность информации во всех базах данных, составляющих распределенный реестр, в части предотвращения включения (подмены) блоков данных с целью защиты от деструктивного воздействия на информационную систему на основе распределенного реестра, временная синхронизация проводимых финансовых операций с целью присвоения действительной временной метки;#❝

применение механизмов, реализующих защиту от угрозы нарушения маршрутизации узлов информационной системы на основе распределенного реестра, включая механизм защиты от формирования альтернативных цепочек блоков данных в информационной системе на основе распределенного#❝

реестра, механизмы электронной подписи, позволяющие узлам#❝

18#❝

информационной системы на основе распределенного реестра обеспечивать целостность данных;#❝

применение механизмов, реализующих систему защиты от информационных угроз, направленных на отказ в обслуживании на уровне вычислительной сети, включая механизмы, обеспечивающие непрерывную работу информационной системы на основе распределенного реестра при росте количества проводимых финансовых операций, механизмы, реализующие систему защиты от информационных угроз, направленных на задержку доставки блоков данных к узлам информационной системы на#❝

основе распределенного реестра.#❝

некредитными финансовыми организациями, указанными в абзаце первом пункта 1.2 настоящего Положения, обязанными соблюдать усиленный или стандартный уровень защиты информации в соответствии с подпунктом 1.4.2 или 1.4.3 пункта 1.4 Положения Банка России от 20 апреля 2021 года № 757-П, а также некредитными финансовыми организациями, не указанными в абзаце первом пункта 1.2 настоящего Положения, — с 1 октября 2022 года;#❝

некредитными финансовыми организациями, указанными в абзаце первом пункта 1.2 настоящего Положения, обязанными соблюдать минимальный уровень защиты информации в соответствии с подпунктом 1.4.4 пункта 1.4 Положения Банка России от 20 апреля 2021 года № 757-Н, —#❝

с 1 января 2023 года.#❝

19#❝

Министерством юстиции Российской Федерации 3 февраля 2021 года № 62358.#❝

Председатель Центрального банка#❝

Российской Федерации Э.С. Набиуллина#❝

20#❝