С 2027 года банки и страховщики перейдут на новые правила ИТ-аутсорсинга

Президент России подписал Федеральный закон от 02.11.2026 № 350-ФЗ, устанавливающий требования к ИТ-аутсорсингу на финансовом рынке. С 3 ноября 2027 года банки, страховщики и другие финансовые организации смогут передавать обработку конфиденциальных данных сторонним исполнителям при соблюдении специальных условий.

Какие требования установлены для ИТ-подрядчиков

Закон регулирует передачу информации ограниченного доступа, включая банковскую тайну и персональные данные клиентов. Государственная тайна под действие новых правил не подпадает.

Для привлеченных ИТ-компаний предусмотрены следующие требования:

• Аккредитация — исполнитель должен соответствовать установленным требованиям, включая условия государственного контроля.

• Размещение данных — обработка должна выполняться с использованием информационных систем, расположенных в России.

• Ежегодный аудит — проверку информационной безопасности и операционной надежности проводят организации с лицензией ФСБ или ФСТЭК.

• Отчетность — подрядчик ежеквартально информирует финансовую организацию о соблюдении показателей защиты информации.

Банк России сможет рекомендовать повторный аудит с привлечением другой проверяющей организации.

Когда необходимо выполнить новые требования

Финансовые организации должны уведомлять Банк России о намерении передать обработку данных стороннему исполнителю и заключать договоры с обязательными условиями защиты информации.

Закон предусматривает переходный период:

• 3 ноября 2027 года — вступление закона в силу.

• 30 апреля 2028 года — крайний срок приведения ранее заключенных договоров в соответствие с требованиями.

• 2 ноября 2028 года — предельный срок проведения первого операционного аудита по действующим договорам.