Об обязательных для кредитных организаций требованиях к операционной надежности при осуществлении банковской деятельности в целях обеспечения непрерывности оказания банковских у…
Положение Банка России от 12.01.2022 № 787-П «Об обязательных для кредитных организаций требованиях к операционной надежности при осуществлении банковской деятельности в целях обеспечения непрерывности оказания банковских услуг»
Текст — по данным Официальный интернет-портал правовой информации. Скачать .doc · Печать
- Вступает в силу
- у опубликованию и в соответствии с решением Совета директоров Банка России (протокол заседания Совета директоров Банка России от 23 декабря 2021 года № ПСД-32) вступает в силу с 1 октября 2022 года.
Регистрация в Минюсте России № 68140 от 08.04.2022; Официально опубликовано 18.04.2022. Банк России не публикует сводные редакции: изменения внесены отдельными актами, они указаны в блоке ссылок.
Текст распознан со скана официальной публикации (OCR) и может содержать ошибки распознавания.
ЦЕНТРАЛЬНЫЙ БАНК РОССИЙСКОЙ ФЕДЕРАЦИИ (БАНК РОССИИ)
ПОЛОЖЕНИЕ
г. Москва
МИНИСТЕРСТВО 10C ТИЦИ! POC er [о {Phy th
ЗАРЕГИСТРИРОВАН(
г Регистрационный № бела.
| 00 OS ea pecery’ брег. | т нивы |
Об обязательных для кредитных организаций требованиях к операционной надежности при осуществлении банковской деятельности в целях обеспечения
непрерывности оказания банковских услуг
Настоящее Положение на основании статьи 57? Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)»' устанавливает обязательные для кредитных организаций требования к операционной надежности при осуществлении банковской деятельности в целях обеспечения непрерывности оказания банковских услуг.
1. Кредитные организации, за исключением центрального контрагента в значении, установленном пунктом 17 статьи 2 Федерального закона от 7 февраля 2011 года № 7-ФЗ «О клиринге, клиринговой#❝
' Собрание законодательства Российской Федерации, 2002, № 28, ст. 2790; 2021, № 1, ст. 53. ? Собрание законодательства Российской Федерации, 2011, № 7, ст. 904; 2016, № 1, ст. 23.#❝
в значении, установленном в статье 2 Федерального закона от 7 декабря 2011 года № 414-ФЗ «О центральном депозитарии»? должны выполнять установленные настоящим Положением требования к операционной надежности при осуществлении банковской деятельности в целях обеспечения непрерывности оказания банковских услуг (далее — требования к операционной надежности) с учетом требований к системе управления операционным риском, установленных Положением Банка России от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе»* (далее — Положение Банка России № 716-П). Требования к операционной надежности должны соблюдаться кредитными организациями при выполнении критически важных процессов, определенных согласно подпункту 4.1.1 пункта 4.1 Положения Банка России № 716-П в рамках системы управления операционным риском (далее — критически важные процессы), при осуществлении банковской деятельности с использованием автоматизированных систем, программного обеспечения, средств вычислительной техники, телекоммуникационного оборудования (далее — объекты информационной инфраструктуры).#❝
Кредитные организации должны обеспечить операционную надежность при осуществлении банковской деятельности с использованием объектов информационной инфраструктуры путем обеспечения непрерывности выполнения критически важных процессов с соблюдением контрольных показателей уровня операционного риска, устанавливаемых кредитной организацией в соответствии с пунктом 3 настоящего Положения, при возникновении отказов и (или) нарушений функционирования объектов информационной инфраструктуры, и (или) несоответствии их функциональных возможностей и характеристик#❝
2. Кредитные организации в рамках обеспечения операционной надежности должны обеспечить непревышение значения порогового уровня допустимого времени простоя и (или) нарушения технологических процессов, обеспечивающих выполнение критически важных процессов и указанных в приложении к настоящему Положению (далее — технологические процессы), приводящих к неоказанию или ненадлежащему оказанию банковских услуг (далее — пороговый уровень допустимого времени простоя и (или) деградации технологических процессов кредитных организаций), предусмотренного приложением к настоящему Положению.#❝
3. Кредитные организации с учетом требований главы 5 Положения Банка России № 716-П должны определить во внутренних документах для каждого технологического процесса и соблюдать значения следующих контрольных показателей уровня операционного риска для целей обеспечения операционной надежности (далее — целевые показатели операционной надежности):#❝
допустимого отношения общего количества банковских операций и иных операций, осуществляемых в рамках технологического процесса, совершенных во время нарушений технологических процессов, приводящих к неоказанию или ненадлежащему оказанию банковских услуг (далее — деградация технологического процесса (технологических процессов), в рамках события операционного риска или серии связанных событий операционного риска, вызванных информационными угрозами и(или) сбоями объектов информационной инфраструктуры, которые привели к неоказанию или ненадлежащему оказанию банковских услуг#❝
банковских операций и иных операций, осуществляемых в рамках технологических процессов, за тот же период в случае непрерывного оказания банковских услуг, установленного кредитной организацией (далее — допустимая доля деградации технологического процесса); допустимого времени простоя и (или) деградации технологических процессов кредитных организаций в рамках инцидента операционной надежности (в случае превышения допустимой доли деградации технологического процесса). Значение данного целевого показателя устанавливается кредитной организацией не выше значений, предусмотренных приложением к настоящему Положению;#❝
допустимого суммарного времени простоя и (или) деградации технологического процесса кредитной организации (в случае превышения допустимой доли деградации технологического процесса) в течение очередного календарного года;#❝
показателя соблюдения режима работы (функционирования) технологического процесса (времени начала, времени окончания, продолжительности и последовательности процедур в рамках технологического процесса).#❝
Значение допустимой доли деградации технологических процессов должно рассчитываться кредитной организацией на основании статистических данных за период не менее двенадцати календарных месяцев, предшествующих дате определения значения целевого показателя операционной надежности, за исключением случая, предусмотренного абзацем седьмым настоящего пункта, и (или) иных данных, обосновывающих их определение (по выбору кредитной организации).#❝
4. В случаях превышения допустимой доли деградации технологических процессов кредитные организации должны обеспечить фиксацию:#❝
фактического времени простоя и (или) деградации технологического процесса, исчисляемого по каждому инциденту операционной надежности (с момента нарушения технологического процесса, приводящего к неоказанию или ненадлежащему оказанию банковских услуг, в связи с возникновением события или серии связанных событий, вызванных информационными угрозами и (или) сбоями объектов информационной инфраструктуры, до момента восстановления технологического процесса);#❝
фактической доли деградации технологического процесса в рамках отдельного инцидента операционной надежности;#❝
суммарного времени простоя и (или) деградации технологического процесса за последние двенадцать календарных месяцев.#❝
При определении времени простоя и (или) деградации технологических процессов в расчет не включаются периоды времени плановых технологических операций, связанных с приостановлением (частичным приостановлением) технологических процессов и проводимых в соответствии с внутренними документами кредитных организаций.#❝
5. Кредитные организации должны не реже одного раза в год проводить анализ необходимости пересмотра значений целевых показателей операционной надежности с учетом требований к системе контрольных показателей уровня операционного риска, определенных главой 5 Положения Банка России № 716-11.#❝
6. Кредитные организации должны разработать во внутренних#❝
требования к порядку определения значений целевых показателей операционной надежности и обеспечению контроля за их соблюдением;#❝
требования к выявлению, регистрации инцидентов операционной надежности и реагированию на них, а также восстановлению выполнения технологических процессов и функционирования объектов информационной инфраструктуры после реализации указанных инцидентов с учетом установленных главой 7 Положения Банка России № 716-П требований к выявлению событий риска информационной безопасности, порядку реагирования на выявленные события риска информационной безопасности и восстановлению деятельности кредитной организации в случае реализации таких событий;#❝
требования к взаимодействию с третьими лицами (внешними подрядчиками, контрагентами, участниками банковской группы), оказывающими услуги в сфере информационных технологий, связанные с выполнением технологических процессов (далее — поставщики услуг в сфере информационных технологий), с учетом установленных главами 7 и 8 Положения Банка России № 716-П требований к управлению риском информационной безопасности и риском информационных систем при передаче поставщикам услуг в сфере информационных технологий выполнения отдельных функций кредитной организации и (или) использовании внешних информационных систем, а также требований к аутсорсингу обслуживания и функционирования информационных#❝
требования к нейтрализации информационных угроз со стороны несанкционированного доступа работников кредитной организации или работников поставщиков услуг в сфере информационных технологий, обладающих полномочиями доступа к объектам информационной инфраструктуры (далее — внутренний нарушитель), к объектам информационной инфраструктуры;#❝
6.1. Кредитные организации должны обеспечивать организацию учета и контроля состава следующих элементов (далее при совместном упоминании — критичная архитектура):#❝
подразделений (работников) кредитной организации, ответственных за разработку технологических процессов, поддержание их выполнения, реализацию технологических процессов (далее — подразделения кредитной организации);#❝
объектов информационной инфраструктуры кредитной организации, задействованных при выполнении каждого технологического процесса;#❝
технологических участков технологических процессов, установленных в абзацах втором — шестом подпункта 5.2 пункта 5 Положения Банка России от 17 апреля 2019 года № 683-П «Об установлении обязательных для кредитных организаций требований к обеспечению защиты информации при осуществлении банковской деятельности в целях противодействия осуществлению переводов денежных средств без согласия клиента»? (далее#❝
технологических процессов, технологических участков технологических процессов, реализуемых поставщиками услуг в сфере информационных технологий;#❝
работников кредитных организаций или иных лиц, осуществляющих физический и (или) логический доступ, или программных сервисов, осуществляющих логический доступ к объектам информационной инфраструктуры (далее — субъекты доступа), задействованных при выполнении каждого технологического процесса;#❝
взаимосвязей и взаимозависимостей кредитной организации с иными кредитными организациями, некредитными финансовыми организациями, поставщиками услуг в сфере информационных технологий в рамках выполнения технологических процессов (далее при совместном упоминании — участники технологического процесса);#❝
каналов передачи защищаемой информации, установленной в абзацах первом — пятом пункта 1 Положения Банка России № 683-П, обрабатываемой и передаваемой в рамках технологических процессов участниками технологического процесса.#❝
В целях организации учета и контроля состава технологических процессов, технологических участков технологических процессов, реализуемых поставщиками услуг в сфере информационных технологий, кредитные организации должны обеспечивать ведение отдельного реестра в соответствии с внутренними документами.#❝
Кредитные организации в отношении элементов, указанных в подпункте 6.1 настоящего пункта, являющихся значимыми объектами критической информационной инфраструктуры в соответствии с пунктом 3 статьи 2 Федерального закона от 26 июля 2017 года № 187-ФЗ#❝
Российской Федерации» (далее — Федеральный закон от 26 июля 2017 года № 187-ФЗ), должны выполнять требования по обеспечению безопасности значимых объектов критической информационной инфраструктуры, установленные в соответствии с пунктом 4 части 3 статьи 6 Федерального закона от 26 июля 2017 года № 187-03’.#❝
6.2. Кредитные организации должны обеспечивать выполнение следующих требований к управлению изменениями критичной архитектуры:#❝
управление уязвимостями в критичной архитектуре, из-за которых могут реализоваться информационные угрозы и которые могут повлечь превышение значений целевых показателей операционной надежности;#❝
6.3. Кредитные организации должны обеспечивать выполнение следующих требований к выявлению, регистрации инцидентов операционной надежности и реагированию на них, а также восстановлению выполнения технологических процессов и функционирования объектов информационной инфраструктуры после реализации таких инцидентов:#❝
организация взаимодействия между подразделениями кредитной организации, а также между кредитной организацией и Банком России, иными участниками технологического процесса в рамках реагирования на инциденты операционной надежности и восстановления выполнения технологических процессов и функционирования объектов информационной инфраструктуры после реализации инцидентов операционной надежности.#❝
6.4. Кредитные организации должны обеспечивать выполнение следующих требований к взаимодействию с поставщиками услуг в сфере информационных технологий:#❝
6.5. Кредитные организации в части тестирования операционной надежности технологических процессов должны принимать организационные и технические меры, направленные на проведение сценарного анализа (в части возможной реализации информационных угроз в отношении критичной архитектуры, а также возникновения сбоев#❝
6.6. Кредитные организации в части нейтрализации информационных угроз со стороны внутреннего нарушителя разрабатывают и принимают организационные и технические меры в отношении субъектов доступа, привлекаемых в рамках выполнения технологических процессов, направленные на исключение возможности несанкционированного использования предоставленных указанным субъектам доступа полномочий.#❝
6.7. Кредитные организации должны обеспечивать выполнение следующих требований к обеспечению — осведомленности об информационных угрозах:#❝
7. Кредитные организации должны обеспечить нейтрализацию информационных угроз в отношении возникновения зависимости обеспечения операционной надежности от субъектов доступа, являющихся работниками кредитной организации, обладающими уникальными знаниями, опытом и компетенцией в области разработки технологических процессов, поддержания их выполнения, реализации технологических процессов, которые отсутствуют у иных работников указанной кредитной организации.#❝
8. Кредитные организации, размер активов которых составляет 500 миллиардов рублей и более на начало текущего отчетного года в соответствии со значением статьи «Всего активов», определяемым в соответствии с Разработочной таблицей для составления бухгалтерского баланса (публикуемой формы) пункта 3 Порядка составления и представления отчетности по форме 0409806 «Бухгалтерский баланс (публикуемая форма)», установленного приложением | к Указанию Банка России от 8 октября 2018 года № 4927-У «О перечне, формах и порядке составления и представления форм отчетности кредитных организаций в Центральный банк Российской Федерации», и которые являются субъектами критической информационной инфраструктуры в соответствии с пунктом 8 статьи 2 Федерального закона от 26 июля 2017 года № 187-ФЗ, должны выполнять требования, направленные на противодействие целевым компьютерным атакам в зависимости от уровня опасности, установленные федеральным органом исполнительной власти, уполномоченным в сфере обеспечения безопасности критической информационной инфраструктуры Российской Федерации.#❝
9. Кредитные организации должны установить во внутренних документах, предусмотренных подпунктом 4.1.2, абзацем первым подпункта 4.1.3 и абзацем вторым подпункта 4.1.4 пункта 4.1 Положения Банка России № 716-П, описание процедур, направленных на реализацию требований к операционной надежности, включая:#❝
8 Зарегистрировано Минюстом России 13 декабря 2018 года, регистрационный № 52992, с изменениями, внесенными Указаниями Банка России от 20 ноября 2019 года № 5320-У (зарегистрировано Минюстом России 13 декабря 2019 года, регистрационный № 56796), от 12 мая 2020 года № 5456-У (зарегистрировано Минюстом России 18 июня 2020 года, регистрационный № 58705), от 10 августа 2020 года № 5526-У (зарегистрировано Минюстом России 30 сентября 2020 года, регистрационный № 60147), от 12 января 2021 года № 5705-У (зарегистрировано Минюстом России 15 апреля 2021 года, регистрационный № 63150), от 17 февраля 2021 года № 5736-У (зарегистрировано Минюстом России 26 марта 2021 года, регистрационный № 62892), от 20 апреля 2021 года № 5783-У (зарегистрировано Минюстом России 11 июня 2021 года, регистрационный № 63866), от 8 ноября 2021 года № 5986-У (зарегистрировано Минюстом России 14 декабря 2021 года, регистрационный № 66316).#❝
определение перечня и порядка организационного взаимодействия подразделений кредитной организации, участвующих в соблюдении требований к операционной надежности, с учетом исключения конфликта интересов;#❝
определение порядка осуществления контроля за соблюдением требований к операционной надежности в рамках системы внутреннего контроля;#❝
10. Кредитные организации в рамках обеспечения операционной надежности должны:#❝
моделировать информационные угрозы в отношении критичной архитектуры с учетом требований к проведению качественной оценки уровня операционного риска, предусмотренных подпунктом 2.1.5 пункта 2.1 Положения Банка России № 716-11;#❝
планировать применение организационных и технических мер, направленных на реализацию требований к операционной надежности, с учетом результатов идентификации риска информационной безопасности, а также его оценки, проводимой в составе процедур управления операционным риском в соответствии с требованиями глав 2 и 7 Положения Банка России № 716-П;#❝
обеспечивать реализацию требований к операционной надежности на стадиях создания, ввода в эксплуатацию, эксплуатации (использования#❝
вывода из эксплуатации объектов информационной инфраструктуры; обеспечивать контроль соблюдения требований к операционной надежности.#❝
Кредитные организации должны включать в порядок ведения базы событий, предусмотренный пунктом 6.2 Положения Банка России № 716-[1, особенности регистрации событий операционного риска, являющихся инцидентами операционной надежности.#❝
Кредитная организация должна регистрировать инциденты операционной надежности с учетом требований к ведению базы событий, предусмотренных главой 6 Положения Банка России № 716-П.#❝
Кредитные организации при определении в соответствии с пунктом 3.7 Положения Банка России № 716-П дополнительных типов событий операционного риска должны предусматривать во внутренних документах классификацию типов инцидентов операционной надежности с использованием перечня типов инцидентов операционной надежности, размещаемого Банком России на официальном сайте Банка России в информационно-телекоммуникационной сети «Интернет» (далее — сеть «Интернет»), и обеспечивать их регулярную актуализацию.#❝
По каждому инциденту операционной надежности в дополнение к информации, указанной в пункте 6.6 Положения Банка России № 716-П, кредитные организации должны обеспечить регистрацию следующей информации:#❝
данных, используемых для фиксации превышения установленных значений целевых показателей операционной надежности;#❝
данных, позволяющих выявить причину превышения установленных значений целевых показателей операционной надежности;#❝
результата реагирования на инцидент операционной надежности (о принятых мерах и проведенных мероприятиях по реагированию на#❝
Кредитные организации должны устанавливать во внутренних документах критерии шкалы качественных оценок и методику определения оценок качественных потерь от реализации инцидентов операционной надежности в соответствии с подпунктом 3.13.2 пункта 3.13 Положения Банка России № 716-П, в случае если они не определяются в денежном выражении.#❝
11. Кредитные организации в рамках обеспечения операционной надежности должны информировать Банк России:#❝
о выявленных инцидентах операционной надежности (в случае превышения допустимой доли деградации технологических процессов), а также о принятых мерах и проведенных мероприятиях по реагированию на выявленный кредитной организацией или Банком России инцидент операционной надежности;#❝
о планируемых мероприятиях по раскрытию информации, включая выпуск пресс-релизов и проведение пресс-конференций, размещение информации на своих официальных сайтах в сети «Интернет», в отношении указанных в абзаце втором настоящего пункта инцидентов операционной надежности не позднее одного рабочего дня до дня проведения мероприятия.#❝
Кредитные организации должны представлять в Банк России указанные в абзацах втором и третьем настоящего пункта сведения с использованием технической инфраструктуры (автоматизированной системы) Банка России или резервного способа взаимодействия (при технической = невозможности — использования — технической инфраструктуры (автоматизированной системы) Банка России), информация о которых размещается на официальном сайте Банка России#❝
12. Настоящее Положение подлежит официальному опубликованию и в соответствии с решением Совета директоров Банка России (протокол заседания Совета директоров Банка России от 23 декабря 2021 года#❝
Loh HOD BE И HHOWH 0.19089 LO NHL хихоэвити@с (иги) и хихээвизиф aLoredo ханженог 1атенха OF ханнавэнаийн эинатаияе4 иитпозечиьэц2200 ‘оээподи иихоэвилононха,#❝
(хвовь я) чоэээподн хихоэвилононха HUuTIeTed Jay (иги) и волооди инзиэ4я OJOWHLOAUOY dHododd ичяо-096] |#❝
винвевхо итэонячэАнон кинэвэцээ9до XIAN я итоончнолног HOMOFOMHEO иинэиятоэтАро ин илоонжэнен ионноипедэно я XBHHeEOQedL иипезине1о хантипэ4х ви! х1чнчи21ев00 90» LI-L8Z oN пол 7707 вЧеанк С 1 LO ииээод вхнеа OIMHOKOLOT] я#❝
(6106p ON ичнноипедлоизэ4 ‘erro! [105 ваокон 17 HH990qg WOLIOIHH|Y онезоЧидтоиледе=) K-L6Sp SN PTOI [105 вАокон с LO “бфефрр ам ичнноипевлоилэа ‘efor 9105 BdQKOH 9] ииээо4 июзоонии| OHeMOdHdLOMJadee) K-OL 1 ON ето 9105 KdQKLNO [5 LO ииээоа ехнеа HWKHHRERM A HWISHHODOHE “HWKHHOHOWEH 9 ‘CLOSE SN ичнноипедгоилэ4 ‘епол plOT KdoRNe с ииээод WOLOOIHHIA, оневодидлзилэ4е$ ,#❝
A-6EPE ON ииээо4 BIH WOHHPRERM A 9 HHELOLOE.LOOO я JALOA ханжаени эхния4 ен HWIAWHAPHE ханнензи4н ‘иипеБинео хчнуипдх кит — с#❝
ИИЯ1.912944009 а — IIWALOHO HOH KALB SONHH.LOBHA ивинэжк4онов4 OL aLorads хянжонаг аопояэ4дэн вит)#❝
‘WRLOhO иихояохнеод XH OW ‘a0.LHoHOUseddon-sONHeg эноив WO. я ‘пик XHNOOHHIHdOI OIMHOHACOU ou 9491245 ханжэног зопояэ4эц эинаиялоэтАэо иитогезинанэз9о#❝
9 9 Ф ‘эоэподи иихоэвилононха J, (А-65ре BN иизооа ехнеч эинезех K — OLR’) }CIALOA ханжегени OMHIAd ен ииичиивен иипезине 140 ханлипэ4х ииээод иохнеч кинензийн эзивдон O» A-6EVE ON ео p10 A-6EPE IN ииээод ехнеа вовон 9 LO HH990d BAH WOHHRERM K 9 HHBLOLOGLOOD я WOHHRERM A 9 ИИЯ121984.009 JAA XIGHMOLBLU я JAUOA хянжаленги WBLOhO михэзохнед эянч4 ен иичиинене onnidd ен ииичииьене хи OU пии хихээвизиф O1HHOHAGOU хчннензийц ‘иипезине о хяннензиди ‘иипезине1о OU 8191945 жянжонэг яотояэ4эц ханлипэдх вит — с хантитэ4х ки 7 эинанязоэтАэо иитютезивэц9з90 Хх 9 ф ‘эээпо4и иихоэнвилононха | 9 S Vv С#❝
А-6ере SN ииээоа вунеч WOHHBERN K 9 ИИЯ1.91.29.1.005 я JAUOA XITHNOLBIL эхнча вн HWITWHHBHE хчннензи@н ‘иипезине.19о ханлитдх вит — 2#❝
(,«aonond инифо4и Benoa ‘QWO.LOMD HOHMOLEL я яохои езииене WENHITOLOW и IVWOLOHD HOW MOLE кинезодиноипунАф HLOOHHOQSdau930#❝
WKLIOLBEBNOL ‘IFWOLOHO HOMKOLELL винезодиноипянАф игзонио9э4э19э9 KHHOhOLIDaQO Antbdou х хвинезодэа1 0»#❝
О каких нормах
Документы того же органа рядом по дате
- О порядке представления резидентами, являющимися стороной внешнеторгового договора (контракта), предусматривающего передачу нерезидентам товаров, выпо — Указание Банка России от 10.01.2022 № 6056-У
- О внесении изменений в Указание Банка России от 3 августа 2020 года № 5523-У — Указание Банка России от 10.01.2022 № 6053-У
- Положение о Комитете надзора в сфере оказания профессиональных услуг на финансовом рынке Банка России — Положение Банка России от 11.01.2022 № КНПУ-2022
- О формах и методиках составления, порядке и сроках представления операторами услуг платежной инфраструктуры, операторами по переводу денежных средств — Указание Банка России от 12.01.2022 № 6060-У
- О порядке представления юридическими лицами – резидентами, являющимися участниками международных выставок, информации о декларациях на товары в уполно — Положение Банка России от 20.01.2022 № 788-П
- О внесении изменений в Инструкцию Банка России от 16 августа 2017 года N 181-И "О порядке представления резидентами и нерезидентами уполномоченным бан — Указание Банка России от 25.01.2022 № 6062-У
- Положение о Комитете банковского надзора Банка России — Положение Банка России от 26.01.2022 № КБН-2022
- О признании утратившими силу отдельных нормативных актов Банка России и неприменении отдельных актов Инспекции негосударственных пенсионных фондов, ФК — Указание Банка России от 02.02.2022 № 6064-У