Об установлении обязательных для кредитных организаций, иностранных банков, осуществляющих деятельность на территории Российской Федерации через свои филиалы, требований к обесп…

используемых для осуществления банковских операций, связанных#❝

с осуществлением перевода денежных средств (далее соответственно — защищаемая информация, банковская операция):#❝

информации, в том числе составляющей банковскую тайну, содержащейся в документах, составленных при осуществлении банковских операций в электронном виде (далее — электронные сообщения), формируемых работниками кредитных организаций, иностранных банков, осуществляющих деятельность на территории Российской Федерации через свои филиалы (далее соответственно — работники, филиалы иностранных банков), и (или) клиентами кредитных организаций, филиалов иностранных банков (далее — клиенты);#❝

информации, необходимой для авторизации клиентов при совершении действий в целях осуществления банковских операций и удостоверения права клиентов распоряжаться денежными средствами;#❝

информации об осуществленных банковских операциях;#❝

информации, связанной с приемом к исполнению и исполнением распоряжений пользователя платформы цифрового рубля;#❝

ключевой информации средств криптографической защиты информации (далее — СКЗИ), в том числе средств электронной подписи, используемой при осуществлении банковских операций (далее — криптографические ключи).#❝

В случае если защищаемая информация содержит персональные данные, кредитные организации, филиалы иностранных банков должны применять меры по обеспечению безопасности персональных данных при их обработке в соответствии со статьей 19 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных» (далее — Федеральный закон «О персональных данных»).#❝

требования к обеспечению защиты информации, применяемые в отношении автоматизированных систем, программного обеспечения, средств вычислительной техники, телекоммуникационного оборудования,#❝

эксплуатация и использование которых обеспечиваются кредитной#❝

организацией, филиалом иностранного банка для осуществления банковских операций (далее — объекты информационной инфраструктуры);#❝

требования к обеспечению защиты информации, применяемые в отношении прикладного программного обеспечения автоматизированных систем и приложений;#❝

требования к обеспечению защиты информации, применяемые в отношении технологии обработки защищаемой информации;#❝

иные требования к обеспечению защиты информации в соответствии с пунктами 6-13 настоящего Положения.#❝

Кредитные организации, филиалы иностранных банков должны осуществлять планирование применения, применение, контроль применения и совершенствование применения мер, направленных на реализацию требований к обеспечению защиты информации, установленных настоящим пунктом.#❝

системно значимые кредитные организации, кредитные организации,#❝

1 Утвержден и введен в действие 1 января 2018 года приказом Федерального агентства по техническому регулированию и метрологии от 8 августа 2017 года № 822-ст (M., ФГУП «Стандартинформ», 2017).#❝

выполняющие функции оператора услуг платежной инфраструктуры системно значимых платежных систем, кредитные организации, значимые на рынке платежных услуг, — усиленный уровень защиты информации; кредитные организации, не относящиеся к кредитным организациям, указанным в абзаце втором настоящего подпункта, — стандартный уровень#❝

защиты информации;#❝

филиалы иностранных банков — минимальный уровень защиты информации;#❝

филиалы иностранных банков — стандартный уровень защиты информации.#❝

Кредитные организации, указанные в абзаце третьем настоящего подпункта, ставшие кредитными организациями, указанными в абзаце втором настоящего подпункта, не позднее восемнадцати месяцев после того, как стали кредитными организациями, указанными в абзаце втором настоящего подпункта, должны применять меры защиты информации, посредством выполнения которых обеспечивается реализация усиленного уровня защиты информации.#❝

Кредитные организации, филиалы иностранных банков, совмещающие деятельность с деятельностью некредитной финансовой организации, оператора услуг информационного обмена, оператора услуг платежной инфраструктуры, оператора электронных платформ и формирующие в отношении объектов информационной инфраструктуры один контур безопасности в соответствии с пунктом 6.7 раздела 6 ГОСТ P 57580.1-2017, должны применять меры защиты информации, посредством выполнения которых обеспечивается реализация наиболее высокого уровня защиты информации, установленного пунктом 6.7 раздела 6 ГОСТР 57580.1-2017, из предусмотренных настоящим пунктом и нормативными актами Банка России, устанавливающими на основании статьи 76-1 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации#❝

(Банке России)» (далее — Федеральный закон «О Центральном банке#❝

Российской Федерации (Банке России)») и части 3 статьи 27 Федерального закона от 27 июня 2011 года № 161-ФЗ «О национальной платежной системе» (далее — Федеральный закон «О национальной платежной системе») требования к обеспечению защиты информации для некредитных финансовых организаций, операторов услуг информационного обмена, операторов услуг платежной инфраструктуры, операторов электронных платформ.#❝

безопасности»? (далее — оценка соответствия прикладного программного#❝

? Утвержден и введен в действие 1 сентября 2014 года приказом Федерального агентства по техническому регулированию и метрологии от 8 ноября 2013 года № 1340-ст (М., ФГУП «Стандартинформ», 2014).#❝

обеспечения автоматизированных систем и приложений, а также отдельного программного обеспечения), и обрабатывающие защищаемую информацию:#❝

прикладное программное обеспечение автоматизированных систем и приложений, распространяемых клиентам для совершения действий в целях осуществления банковских операций;#❝

программное обеспечение, эксплуатируемое на участках, используемых для приема электронных сообщений к исполнению в автоматизированных системах и приложениях с — использованием — информационнотелекоммуникационной сети «Интернет» (далее соответственно — отдельное программное обеспечение, сеть «Интернет»).#❝

В отношении прикладного программного обеспечения автоматизированных систем и приложений, а также отдельного программного обеспечения, не указанных в абзацах втором и третьем настоящего подпункта, кредитные организации, филиалы иностранных банков должны самостоятельно определять необходимость проведения сертификации или оценки соответствия прикладного программного обеспечения автоматизированных систем и приложений, а также отдельного программного обеспечения.#❝

значимые на рынке платежных услуг, в случае принятия ими решения#❝

о необходимости проведения сертификации прикладного программного обеспечения автоматизированных систем и приложений, а также отдельного программного обеспечения должны обеспечить сертификацию прикладного программного обеспечения автоматизированных систем и приложений, а также отдельного программного обеспечения не ниже 4 уровня доверия в соответствии с приказом Федеральной службы по техническому и экспортному контролю от 2 июня 2020 года № 76°.#❝

Кредитные организации, не указанные в абзаце первом настоящего подпункта, филиалы иностранных банков в случае принятия решения о необходимости проведения сертификации прикладного программного обеспечения автоматизированных систем и приложений, а также отдельного программного обеспечения должны обеспечить сертификацию прикладного программного обеспечения автоматизированных систем и приложений, а также отдельного программного обеспечения не ниже 5 уровня доверия в соответствии с приказом Федеральной службы по техническому и экспортному контролю от 2 июня 2020 года № 76.#❝

Кредитные организации, указанные в абзаце втором настоящего подпункта, ставшие кредитными организациями, указанными в абзаце первом настоящего подпункта, не позднее восемнадцати месяцев после того, как стали кредитными организациями, указанными в абзаце первом настоящего подпункта, должны обеспечить сертификацию прикладного программного обеспечения автоматизированных систем и приложений, а также отдельного программного обеспечения не ниже 4 уровня доверия в соответствии с приказом Федеральной службы по техническому и экспортному контролю от 2 июня 2020 года № 76.#❝

соответствия прикладное программное обеспечение автоматизированных#❝

3 Зарегистрирован Минюстом России 11 сентября 2020 года, регистрационный № 59772, с изменениями, внесенными приказом ФСТЭК России от 18 апреля 2022 года № 68 (зарегистрирован Минюстом России 20 июля 2022 года, регистрационный № 69318).#❝

систем и приложений, а также отдельное программное обеспечение при внесении изменений в исходный текст указанных прикладного программного обеспечения автоматизированных систем и приложений, а также отдельного программного обеспечения, реализующий технологию — обработки защищаемой информации в соответствии с подпунктом 5.2 пункта 5 настоящего Положения, должны проводить оценку соответствия прикладного программного обеспечения автоматизированных систем и приложений, а также отдельного программного обеспечения.#❝

В целях обеспечения целостности электронных сообщений кредитные организации, филиалы иностранных банков должны обеспечивать реализацию мер по использованию любого вида усиленной электронной подписи, предусмотренной частью 1 статьи 5 Федерального закона от 6 апреля 2011 года № 63-ФЗ «Об электронной подписи» (далее — Федеральный закон «Об электронной подписи»), или СКЗИ, реализующих функцию имитозащиты информации с аутентификацией отправителя сообщения.#❝

При использовании усиленной неквалифицированной электронной подписи в целях обеспечения целостности электронных сообщений кредитные организации, филиалы иностранных банков должны обеспечить использование усиленной неквалифицированной электронной подписи, созданной с использованием средств электронной подписи и средств удостоверяющего центра, имеющих подтверждение соответствия требованиям, установленным федеральным органом исполнительной власти уполномоченным в области обеспечения безопасности, при осуществлении регулирования в соответствии с пунктом «ш» части первой статьи 13 Федерального закона от 3 апреля#❝

1995 года № 40-ФЗ «О федеральной службе безопасности» (далее —#❝

требования, установленные федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности).#❝

При осуществлении банковских операций с использованием мобильной версии приложения кредитные организации, являющиеся участниками платформы цифрового рубля, в целях обеспечения целостности электронных сообщений должны обеспечить применение СКЗИ, имеющих подтверждение соответствия требованиям, установленным федеральным — органом исполнительной власти, уполномоченным в области обеспечения безопасности, посредством использования которых — реализуются двухсторонняя аутентификация, шифрование и имитозащита информации на прикладном уровне и (или) на уровне представления данных в соответствии с эталонной моделью взаимосвязи открытых систем, предусмотренной пунктом 1.7 раздела 1 государственного стандарта ГОСТ Р ИСО/МЭК 7498-1-99 «Информационная технология. Взаимосвязь открытых систем.#❝

Базовая эталонная модель. Часть 1. Базовая модель»“ (далее — ГОСТ P ИСО/МЭК 7498-1-99), в соответствии с требованиями нормативного акта Банка России, принятого на основании статьи 8210 Федерального закона «О Центральном банке Российской Федерации (Банке России)», пункта 7 части 1, части 3 статьи 307 Федерального закона «О национальной платежной системе».#❝

идентификация, аутентификация и авторизация клиентов при совершении действий в целях осуществления банковских операций, в том числе#❝

идентификация клиентов при создании сертификатов ключей проверки#❝

‘ Принят постановлением Государственного комитета Российской Федерации по стандартизации и метрологии от 18 марта 1999 года № 78 и введен в действие 1 января 2000 года (М., ИПК «Издательство стандартов», 1999).#❝

электронных подписей и выдаче таких сертификатов клиентам в соответствии с требованиями пункта 1 части 1 статьи 13 Федерального закона «Об электронной подписи» в целях осуществления операций с цифровыми рублями;#❝

формирование (подготовка), передача и прием электронных сообщений;#❝

удостоверение права клиентов распоряжаться денежными средствами;#❝

осуществление банковской операции, учет результатов ее осуществления; хранение электронных сообщений и информации об осуществленных банковских операциях.#❝

Технология обработки защищаемой информации, применяемая на технологическом участке, указанном в абзаце втором подпункта 5.2 настоящего пункта, дополнительно должна обеспечивать идентификацию устройств клиентов при осуществлении банковских — операций с использованием удаленного доступа клиентов к объектам информационной инфраструктуры кредитных организаций, филиалов иностранных банков.#❝

В случае если банковская операция осуществляется с использованием мобильной версии приложения, кредитные организации, филиалы иностранных банков должны проверить использование клиентом — физическим лицом абонентского номера подвижной радиотелефонной связи в случае его использования во взаимоотношениях с кредитной организацией, филиалом иностранного банка и использовать полученные сведения при анализе характера, параметров и объема совершаемых их клиентами операций (осуществляемой клиентами деятельности).#❝

В случае если банковская операция осуществляется с использованием мобильной версии приложения, кредитные организации, филиалы#❝

иностранных банков должны контролировать изменение идентификационного#❝

10#❝

модуля, определенного в соответствии с подпунктом 3? статьи 2 Федерального закона от 7 июля 2003 года № 126-ФЗ «О связи», используемого в устройстве клиента, идентифицированном в соответствии с абзацем вторым настоящего подпункта (далее — идентификационный модуль устройства клиента).#❝

В случае выявления факта изменения идентификационного модуля устройства клиента кредитные организации, филиалы иностранных банков не вправе осуществлять аутентификацию и авторизацию — клиента с использованием абонентского номера подвижной радиотелефонной связи клиента или с использованием информационных систем третьих лиц, обеспечивающих аутентификацию и авторизацию физических лиц посредством указанного абонентского номера подвижной радиотелефонной связи, до момента подтверждения принадлежности клиенту абонентского номера подвижной радиотелефонной связи способом, не связанным с использованием абонентского номера подвижной радиотелефонной связи клиента, или с использованием информационных систем третьих лиц, обеспечивающих аутентификацию и авторизацию физических лиц посредством указанного абонентского номера подвижной радиотелефонной связи.#❝

Технология обработки защищаемой информации, применяемая на технологическом участке, указанном в абзаце третьем подпункта 5.2 настоящего пункта, дополнительно должна обеспечивать:#❝

двойной контроль посредством осуществления проверки правильности формирования (подготовки) электронных сообщений;#❝

входной контроль посредством осуществления проверки правильности заполнения полей электронного сообщения и прав владельца электронной подписи;#❝

контроль дублирования электронного сообщения (в случае если проведение такой процедуры дополнительно установлено кредитной организацией в соответствии пунктом 2.2 Положения Банка России#❝

от 29 июня 2021 года № 762-П «О правилах осуществления перевода#❝

11#❝

денежных средств»);#❝

структурный контроль электронных сообщений;#❝

защиту при передаче по каналам связи защищаемой информации.#❝

Технология обработки защищаемой информации, применяемая на технологическом участке, указанном в абзаце четвертом подпункта 5.2 настоящего пункта, дополнительно должна обеспечивать:#❝

подписание клиентом электронных сообщений способом, указанным в подпункте 5.1 настоящего пункта;#❝

получение от клиента подтверждения совершаемой банковской операции.#❝

Технология обработки защищаемой информации, применяемая на технологическом участке, указанном в абзаце пятом подпункта 5.2 настоящего пункта, дополнительно должна обеспечивать:#❝

проверку соответствия (сверку) выходных электронных сообщений с соответствующими входными электронными сообщениями;#❝

проверку соответствия (сверку) результатов осуществления банковских операций с информацией, содержащейся в электронных сообщениях;#❝

направление клиентам уведомлений об осуществлении банковских операций в случае, когда такое уведомление предусмотрено законодательством Российской Федерации или договором.#❝

Кредитные организации, филиалы иностранных банков должны реализовывать механизмы подтверждения использования клиентом адреса электронной почты в случае его использования во взаимоотношениях с кредитной организацией, филиалом иностранного банка, на который кредитной организацией, филиалом иностранного банка направляются уведомления о совершаемых банковских операциях, справки (выписки) по совершенным банковским операциям.#❝

В случае использования единой системы идентификации и#❝

5 Зарегистрировано Минюстом России 25 августа 2021 года, регистрационный № 64765, с изменениями, внесенными Указаниями Банка России от 25 марта 2022 года № 6104-У (зарегистрировано Минюстом России 25 апреля 2022 года, регистрационный № 68320), от 3 августа 2023 года № 6497-У (зарегистрировано Минюстом России 10 августа 2023 года, регистрационный № 74717).#❝

12#❝

аутентификации, определенной в соответствии с пунктом 5 статьи 2 Федерального закона от 29 декабря 2022 года № 572-ФЗ «Об осуществлении идентификации и (или) аутентификации физических лиц с использованием биометрических персональных данных, о внесении изменений в отдельные законодательные акты Российской Федерации и признании утратившими силу отдельных положений законодательных актов Российской Федерации» (далее — единая система идентификации и аутентификации), кредитные организации, филиалы иностранных банков должны соблюдать требования к обеспечению защиты информации в соответствии с Техническими требованиями к взаимодействию информационных систем в единой системе межведомственного электронного взаимодействия, утвержденными приказом Министерства связи и массовых коммуникаций Российской Федерации от 23 июня 2015 года № 2106, а также требования технической и эксплуатационной документации по подключению к единой системе идентификации и аутентификации.#❝

дата (день, месяц, год) и время (часы, минуты, секунды) осуществления банковской операции;#❝

присвоенный работнику идентификатор, позволяющий установить#❝

6 Зарегистрирован Минюстом России 25 августа 2015 года, регистрационный № 38668, с изменениями, внесенными приказом Министерства связи и массовых коммуникаций Российской Федерации от 22 февраля 2017 года № 71 (зарегистрирован Минюстом России 2 июня 2017 года, регистрационный № 46934).#❝

13#❝

работника в автоматизированной системе, программном обеспечении;#❝

код, соответствующий технологическому участку;#❝

результат осуществления банковской операции (успешная или неуспешная);#❝

идентификационная информация, используемая для адресации устройства, с использованием и в отношении которого осуществлен доступ к автоматизированной системе, программному обеспечению с целью осуществления банковских операций (адрес компьютера и (или) коммуникационного устройства (маршрутизатора) на сетевом уровне).#❝

дата (день, месяц, год) и время (часы, минуты, секунды) совершения действий клиентом в целях осуществления банковской операции;#❝

присвоенный клиенту идентификатор, позволяющий установить клиента в автоматизированной системе, программном обеспечении;#❝

код, соответствующий технологическому участку;#❝

результат совершения клиентом действия в целях осуществления банковской операции (успешная или неуспешная);#❝

идентификационная информация, используемая для адресации устройстваа с использованием которого осуществлен доступ к автоматизированной системе, программному обеспечению с целью осуществления банковских операций (адрес компьютера и (или) коммуникационного устройства (маршрутизатора) на сетевом уровне, международный идентификатор абонента (индивидуальный номер абонента клиента — физического лица), международный — идентификатор пользовательского оборудования (оконечного оборудования) клиента — физического лица, абонентский номер подвижной радиотелефонной связи и (или) иной идентификатор устройства).#❝

Регистрации дополнительно подлежат данные о действиях клиентов,#❝

выполняемых с использованием автоматизированных систем, программного#❝

14#❝

обеспечения на технологическом участке, указанном в абзаце втором подпункта 5.2 настоящего пункта:#❝

дата (день, месяц, год) и время (часы, минуты, секунды) начала соединения и окончания соединения сессии на транспортном уровне в соответствии с эталонной моделью взаимосвязи открытых систем, предусмотренной пунктом 1.7 раздела 1 ГОСТ Р ИСОЛМЭК 7498-1-99, при авторизации устройства, с использованием которого осуществлен доступ к автоматизированной системе, программному обеспечению с целью осуществления банковских операций;#❝

идентификационная информация, используемая для адресации устройства с использованием которого осуществлен доступ к автоматизированной системе, программному обеспечению с Целью осуществления банковских операций (адрес на сетевом уровне и адрес на транспортном уровне (порт) компьютера и (или) коммуникационного устройства (маршрутизатора), предусмотренные разделом 11 государственного стандарта Российской Федерации ГОСТ Р ИСО 7498-3-97 «Информационная технология. Взаимосвязь открытых систем. Базовая эталонная модель. Часть 3. Присвоение имен и адресация»” (далее - ГОСТ Р ИСО 7498-3-97);#❝

идентификационная информация, используемая для адресации автоматизированной системы, программного обеспечения, к которым осуществлен доступ с целью осуществления банковских операций (адрес на сетевом уровне и адрес на транспортном уровне (порт) автоматизированной системы, программного обеспечения, предусмотренные разделом 11 ГОСТ P ИСО 7498-3-97);#❝

географическое местоположение устройства, с использованием которого осуществлен доступ к автоматизированной системе, программному#❝

обеспечению с целью осуществления банковских операций (при наличии).#❝

7 Принят и введен в действие с 1 июля 1998 года постановлением Комитета Российской Федерации по стандартизации, метрологии и сертификации от 19 августа 1997 года № 286 (М., ИПК «Издательство стандартов», 1997).#❝

15#❝

Кредитные организации, филиалы иностранных банков в целях подтверждения составления электронных сообщений уполномоченным на это лицом должны:#❝

обеспечить использование электронной подписи в соответствии с Федеральным законом «Об электронной подписи»;#❝

осуществлять признание электронных сообщений, подписанных электронной подписью, равнозначными документам на бумажном носителе, подписанным собственноручной подписью, в соответствии со статьей 6 Федерального закона «Об электронной подписи».#❝

При использовании усиленной неквалифицированной электронной подписи в целях подтверждения составления электронных сообщений уполномоченным на это лицом кредитные организации, филиалы иностранных банков должны обеспечить использование усиленной#❝

неквалифицированной электронной ПОДПИСИ, созданной с использованием#❝

16#❝

средств электронной подписи и средств удостоверяющего центра, имеющих подтверждение соответствия требованиям, установленным федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности.#❝

В целях обеспечения целостности электронных сообщений кредитные организации, филиалы иностранных банков должны обеспечивать реализацию мер по использованию любого вида усиленной электронной подписи, предусмотренной частью 1 статьи 5 Федерального закона «Об электронной подписи»), или СКЗИ, реализующих функцию имитозащиты информации с аутентификацией отправителя сообщения.#❝

установленных Правительством Российской Федерации требований к защите#❝

персональных данных для каждого из уровней защищенности» И#❝

технической документацией на СКЗИ.#❝

В случае наличия в технической документации на СКЗИ требований#❝

к оценке влияния аппаратных, программно-аппаратных и программных#❝

8 Зарегистрирован Минюстом России 3 марта 2005 года, регистрационный № 6382, с изменениями, внесенными приказом ФСБ России от 12 апреля 2010 года № 173 (зарегистрирован Минюстом России 25 мая 2010 года, регистрационный № 17350).#❝

Зарегистрирован Минюстом России 18 августа 2014 года, регистрационный № 33620.#❝

17#❝

средств сети (системы) конфиденциальной связи, совместно с которыми предполагается штатное функционирование СКЗИ, на выполнение предъявляемых к ним требований такая оценка должна проводиться в соответствии с Положением IIK3-2005 по техническому заданию, согласованному с федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности при осуществлении регулирования в соответствии с пунктом «ш» части первой статьи 13 Федерального закона от 3 апреля 1995 года № 40-ФЗ «О федеральной службе безопасности».#❝

без согласия клиента.#❝

18#❝

Кредитные организации, филиалы иностранных банков должны доводить до клиентов информацию о возможных рисках получения несанкционированного доступа к защищаемой информации с целью совершения действий в целях осуществления банковских операций лицами, не обладающими правом на их совершение, и мерах по снижению указанных рисков:#❝

мерах по предотвращению несанкционированного доступа к защищаемой информации, в том числе при утрате (потере, хищении) устройства, с использованием которого клиентом совершались действия в целях осуществления банковской операции;#❝

мерах по контролю конфигурации устройства, с использованием которого клиентом совершаются действия в целях осуществления банковской операции, и своевременному обнаружению воздействия вредоносного кода.#❝

Ограничения по операциям могут быть установлены как на все операции клиентов, так и в разрезе типов (параметров) операций.#❝

банковской деятельности» (в редакции Федерального закона от 3 февраля#❝

19#❝

1996 года № 17-ФЗ) (далее — Федеральный закон «О банках и банковской деятельности») системы управления рисками, в том числе на основании сведений, полученных от операторов услуг платежной инфраструктуры, в случаях, предусмотренных договором об использовании электронного средства платежа, устанавливают ограничения по параметрам (на сумму одной операции, общую сумму, период времени) операций по приему наличных денежных средств с использованием преобразованных данных платежной карты посредством банкоматов или иных технических устройств.#❝

Кредитные организации, не указанные в абзаце первом настоящего пункта, ставшие кредитными организациями, указанными в абзаце первом настоящего пункта, не позднее восемнадцати месяцев после того, как стали кредитными организациями, указанными в абзаце первом настоящего пункта,#❝

должны реализовать требование абзаца первого настоящего пункта.#❝

20#❝

Кредитные организации должны обеспечить возможность приема заявлений физических лиц о случаях зачисления наличных денежных средств на банковские счета третьих лиц с использованием преобразованных данных платежной карты посредством банкоматов или иных технических устройств, осуществленного под влиянием обмана или при злоупотреблении доверием.#❝

Кредитные организации должны регистрировать заявления, указанные в абзацах первом и третьем настоящего пункта, с указанием даты регистрации и регистрационного номера заявления.#❝

Федерального закона от 26 июля 2017 года № 187-ФЗ «О безопасности#❝

критической информационной инфраструктуры Российской Федерации», и#❝

21#❝

размещаемый Банком России на официальном сайте Банка России в сети «Интернет» (далее соответственно — инцидент защиты информации, перечень типов инцидентов).#❝

Кредитные организации определяют порядок фиксации инцидентов защиты информации в базе событий в соответствии с пунктами 7.3 и 7.5 Положения Банка России от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» 8 и порядок информационного обмена со службой управления рисками, создаваемой в соответствии с пунктом 3.6 Указания Банка России от 15 апреля 2015 года № 3624-У «О требованиях к системе управления рисками и капиталом кредитной организации и банковской группы»!.#❝

Кредитные организации, филиалы иностранных банков должны регистрировать инциденты защиты информации с указанием:#❝

защищаемой информации, обрабатываемой на технологическом участке (участках), на котором (которых) произошел несанкционированный доступ к защищаемой информации;#❝

результата реагирования на инцидент защиты информации, в том числе действий по возврату денежных средств.#❝

Кредитные организации, филиалы иностранных банков в целях реализации требований к обеспечению защиты информации должны осуществлять информирование Банка России, в том числе на основании#❝

запросов Банка России:#❝

10 Зарегистрировано Минюстом России 3 июня 2020 года, регистрационный № 58577, с изменениями, внесенными Указаниями Банка России от 25 марта 2022 года № 6103-У (зарегистрировано Минюстом России 30 августа 2022 года, регистрационный № 69846).#❝

И Зарегистрировано Минюстом России 26 мая 2015 года, регистрационный № 37388, с изменениями, внесенными Указаниями Банка России от 3 декабря 2015 года № 3878-У (зарегистрировано Минюстом России 28 декабря 2015 года, регистрационный № 40325), от 16 ноября 2017 года № 4606-У (зарегистрировано Минюстом России 7 декабря 2017 года, регистрационный № 49156), от 27 июня 2018 года № 4838-У (зарегистрировано Минюстом России 5 сентября 2018 года, регистрационный № 52084), от 8 апреля 2020 года № 5431-У (зарегистрировано Минюстом России 3 июня 2020 года, регистрационный № 58576), от 10 января 2023 года № 6356-У (зарегистрировано Минюстом России 14 июня 2023 года, регистрационный № 73833), от 6 октября 2023 года № 6569-У (зарегистрировано Минюстом России 25 декабря 2023 года, регистрационный № 76594).#❝

22#❝

о выявленных инцидентах защиты информации, включенных в перечень типов инцидентов, принятых мерах и проведенных мероприятиях по реагированию на выявленные кредитной организацией, филиалом иностранного банка или Банком России инциденты защиты информации, включенные в перечень типов инцидентов, а также о планируемых мероприятиях по раскрытию информации об инцидентах защиты информации, включая размещение информации на своих официальных сайтах в сети «Интернет», выпуск пресс-релизов и проведение пресс-конференций не позднее одного рабочего дня до дня проведения мероприятия;#❝

о сайтах в сети «Интернет», которые используются кредитной организацией, филиалом иностранного банка для осуществления их деятельности, принадлежащих им и (или) принадлежащих иной организации, но администрируемых в интересах кредитной организации, филиала иностранного банка на основании договора возмездного оказания услуг.#❝

Информация о данных, направляемых кредитными организациями, филиалами иностранных банков в Банк России в целях предоставления сведений, указанных в абзацах седьмом и восьмом настоящего пункта, размещается Банком России на официальном сайте Банка России в сети «Интернет».#❝

Кредитные организации, филиалы иностранных банков направляют в Банк России сведения, указанные в абзацах седьмом и восьмом настоящего пункта, с использованием технической инфраструктуры (автоматизированной системы) Банка России или резервного способа взаимодействия (при технической невозможности использования технической инфраструктуры (автоматизированной системы) Банка России), информация о которых размещается на официальном сайте Банка России в сети «Интернет».#❝

Предоставление кредитными организациями, филиалами иностранных банков в Банк России сведений, указанных в абзаце седьмом настоящего пункта, осуществляется в сроки, определенные приложением 2 к настоящему Положению.#❝

23#❝

проводить оценку соответствия уровням защиты — информации, предусмотренным пунктом 6.7 раздела 6 ГОСТ Р 57580.1-2017 и определенным в подпункте 3.1 пункта 3 настоящего Положения (далее — оценка соответствия защиты информации), и оценку выполнения требований к обеспечению защиты информации, применяемых с использованием технологических мер защиты информации и применяемых в отношении прикладного программного обеспечения автоматизированных систем и приложений, с соблюдением следующих требований:#❝

В целях обеспечения защиты информации кредитные организации, филиалы иностранных банков должны хранить результат оценки соответствия защиты информации, подготовленный проверяющей организацией в виде отчета, не менее пяти лет начиная с даты его выдачи проверяющей организацией.#❝

Филиалы иностранных банков должны обеспечивать уровень соответствия защиты информации не ниже третьего, предусмотренного подпунктом «г» пункта 6.9 раздела 6 ГОСТР 57580.2-2018.#❝

Филиалы иностранных банков должны обеспечивать уровень#❝

соответствия защиты информации не ниже четвертого, предусмотренного#❝

12 Утвержден и введен в действие 1 сентября 2018 года приказом Федерального агентства по техническому регулированию и метрологии от 28 марта 2018 года № 156-ст (M., ФГУП «Стандартинформ», 2018).#❝

24#❝

подпунктом «д» пункта 6.9 раздела 6 ГОСТР 57580.2-2018.#❝

Российской Федерации в области обеспечения безопасности критической#❝

3 Зарегистрировано Минюстом России 16 августа 2023 года, регистрационный № 74823, с изменениями, внесенными Указаниями Банка России от 8 декабря 2023 года № 6621-У (зарегистрировано Минюстом России 22 января 2024 года, регистрационный № 76927), от 12 марта 2024 года № 6688-У (зарегистрировано Минюстом России 29 мая 2024 года, регистрационный № 78345), от 10 июля 2024 года № 6800-У (зарегистрировано Минюстом России 25 октября 2024 года, регистрационный № 79916), от 4 сентября 2024 года № 6840-У (зарегистрировано Минюстом России 10 октября 2024 года, регистрационный № 79758), от 16 декабря 2024 года № 6961-У (зарегистрировано Минюстом России 19 декабря 2024 года, регистрационный № 80633).#❝

25#❝

информационной инфраструктуры Российской Федерации в соответствии со статьей 6 Федерального закона от 26 июля 2017 года № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации».#❝

Абзацы третий и четвертый подпункта 5.1, абзацы седьмой — одиннадцатый подпункта 5.2.4, абзац пятый подпункта 5.3 пункта 5, пункт 10 настоящего Положения вступают в силу с 1 октября 2025 года.#❝

Абзац пятый подпункта 3.1 пункта 3, абзац третий подпункта 13.3 пункта 13 настоящего Положения вступают в силу с 1 января 2027 года.#❝

Абзац четвертый подпункта 3.1 пункта 3, абзац второй подпункта 13.3 пункта 13 настоящего Положения действуют по 31 декабря 2026 года.#❝

Положение Банка России от 17 апреля 2019 года № 683-П «Об установлении обязательных для кредитных организаций требований к обеспечению защиты информации при осуществлении банковской деятельности в целях противодействия осуществлению переводов денежных средств без согласия клиента» ";#❝

Указание Банка России от 18 февраля 2022 года № 6071-У «О внесении изменений в Положение Банка России от 17 апреля 2019 года № 683-П «Об установлении обязательных для кредитных организаций требований#❝

к обеспечению защиты информации при осуществлении банковской#❝

4 Зарегистрировано Минюстом России 16 мая 2019 года, регистрационный № 54637.#❝

26#❝

деятельности в целях противодействия осуществлению переводов денежных средств без согласия клиента» "5;#❝

Указание Банка России от 6 декабря 2023 года № 6620-У «О внесении#❝

изменений в Положение Банка России от 17 апреля 2019 года № 683-П»!5.#❝

Председатель Центрального банка#❝

Российской Федерации Э.С. Набиуллина#❝

15 Зарегистрировано Минюстом России 20 июня 2022 года, регистрационный № 68919.#❝

16 Зарегистрировано Минюстом России 22 декабря 2023 года, регистрационный № 76546.#❝

27#❝