Передать нельзя оставить. Банки получили право отдавать данные ИТ-подрядчикам
Президент РФ подписал закон, разрешающий банкам и другим финансовым организациям передавать обработку данных ограниченного доступа ИТ-компаниям и отдельным финорганизациям - за исключением гостайны. Акт устанавливает требования к провайдерам ИТ-сервисов, порядок передачи им банковской информации, ответственность за ее разглашение и полномочия ЦБ.
Дмитрий Алексеев © ComNews 05.11.2026
Закон закрепляет за финансовыми организациями право поручать обработку информации ограниченного доступа - персональных данных клиентов, сведений о счетах и операциях - аккредитованным ИТ-компаниям и подконтрольным государству банкам. Передавать на аутсорсинг без согласия субъектов можно вспомогательные ИТ-функции, обезличенные массивы для аналитики, антифрод-мониторинг под контролем банка, обработку типовых обращений клиентов и аудит систем информационной безопасности.
Норма вступает в силу через год после опубликования. Ранее заключенные договоры нужно привести в соответствие с новыми требованиями в течение 180 дней.
"Суть нового закона не в том, что банкам разрешено передавать данные клиентов для обработки на аутсорсинг. А в том, что разрешено передавать их без согласия клиентов - главное, чтобы ИТ-подрядчик соответствовал условиям закона", - отметил эксперт АНО "Институт экономики роста им. Столыпина П.А.", член генерального совета общероссийской общественной организации "Деловая Россия" Олег Николаев. Подрядчиком, по его словам, может стать либо аккредитованная Минцифры ИТ-компания, либо госбанк.
На аутсорсинг не передаются ведение бухучета, функции внутреннего контроля и аудита, алгоритмы антифрод-систем, сведения о мерах защиты критической инфраструктуры и данные VIP-клиентов. Законом разрешено передавать обезличенные массивы для аналитики, вспомогательные ИТ-функции, антифрод-мониторинг под контролем банка, обработку типовых обращений клиентов и аудит систем ИБ.
"Банки давно отдавали обработку данных облакам и процессинговым центрам, но делали это в серой зоне банковской тайны, на свой страх и риск", - отметил доцент Российского экономического университета им. Г.В. Плеханова Вадим Ковригин. Теперь у подрядчиков появились формальные требования, надзор за их соблюдением закреплен за Банком России.
Что новый режим потребует от ИБ
"Передача обработки данных внешней организации добавляет банку еще одну зону, которую необходимо контролировать. Теперь с ней будут работать сотрудники подрядчика, его администраторы и, возможно, привлеченные им субподрядчики. Каждый такой доступ нужно учитывать", - пояснил проджект-менеджер ГК Softline (ПАО "Софтлайн", продукт MD Audit) Кирилл Левкин.
Резко наращивать штат ИБ не обязательно: потребность в дополнительных специалистах зависит от масштаба передаваемых функций, считает главный аналитик ООО "Битбанкер" Андрей Порошин.
Нагрузка, по наблюдению бизнес-архитектора департамента "Банки и финансы" ИТ-компании ООО "Рексофт" Елены Голяевой, ляжет на контроль внешней инфраструктуры - защищенность интеграций, разграничение доступа и расследование инцидентов за пределами собственного контура. Потребуются скорее специализированные компетенции, чем массовый наем, полагает она.
Какие данные окажутся под ударом
В зоне риска - персональные и финансовые данные клиентов: сведения о счетах и операциях, кредитные истории, идентификационные документы, контакты. Их утечка открывает путь к целевым мошенническим атакам и социальной инженерии.
"Есть и менее очевидная категория - технические данные, которые обеспечивают доступ к банковским системам. Это API-ключи, токены, служебные учетные записи, конфигурации и сведения о внутренней архитектуре", - предупреждает Кирилл Левкин.
Наибольшую угрозу, добавила Елена Голяева, представляет не компрометация отдельных массивов, а их объединение в единый клиентский профиль. Для ретейла и логистики риски будут преимущественно косвенными - в точках интеграции с финансовыми сервисами, где один подрядчик нередко обрабатывает сведения сразу нескольких участников рынка, подчеркнула она.
Реален ли контроль за подрядчиком
Закон дает банку набор формальных инструментов. Подрядчик обязан ежегодно проходить операционный аудит с привлечением организаций с лицензией ФСБ или ФСТЭК и направлять заключения банку и ЦБ. Договор должен предусматривать ежеквартальную отчетность о показателях защиты информации и уведомление об инцидентах в течение двух часов. Информационные системы подрядчика должны находиться на территории РФ. Передача данных возможна лишь через 60 дней после уведомления регулятора, если ЦБ не выдал запрет.
Практическая ценность механизмов зависит от исполнения. "Реальная прозрачность будет ровно такой, какую банк способен обеспечить сам: право запросить у подрядчика любые сведения у него будет, а вот компетенция прочитать полученное появится не у всех", - рассуждает Вадим Ковригин. Формальное выполнение процедур не позволяет достоверно установить, кто, когда и с какой целью обращался к данным, солидарна с ним Елена Голяева: без технически подтверждаемой прослеживаемости при проверках будет сложно разграничить ответственность сторон. Ответственность перед клиентом и регулятором при этом остается на банке: закон добавляет ответственность подрядчика, а не заменяет одну другой, считает она.
Рынок ИТ-услуг для банков: в ожидании консолидации
Требования к аудиту, персоналу и инфраструктуре повысят порог входа. "Небольшие интеграторы и региональные облака такую планку не потянут, и через год, когда закон вступит в силу, мы увидим консолидацию вокруг пяти-семи крупных игроков. Цены на сертифицированные сервисы поднимутся, а дефицит проверенных подрядчиков станет нормой", - прогнозирует Вадим Ковригин. Эксперт Константин Шамрай также ожидает усиления консолидации и поляризации рынка, а стоимость контроля, по его словам, ляжет в цену услуг.
Осторожнее оценивает эффект Елена Голяева: о неизбежном дефиците подрядчиков или повсеместном росте цен говорить пока рано. Доля функций на аутсорсинге в банковском секторе, по данным системного интегратора ГК "Информзащита", и до закона не росла, а сокращалась: в прошлом году у крупных банков - до 25-35%, у средних - до 35-45%, у малых - до 48-62%. "Закон №350-ФЗ не меняет ситуацию коренным образом, он лишь дает банкам больше свободы выбора, если она им нужна", - полагает Олег Николаев.
Главный системный риск - концентрация: если десятки банков окажутся на одной платформе, сбой у провайдера превратится из частной проблемы в проблему всего сектора, резюмируют опрошенные ComNews эксперты. При выборе партнера компаниям советуют проверять соответствие требованиям закона, результаты аудита, финансовую устойчивость и возможность переноса данных и сервисов.
https://www.comnews.ru/content/248216/2026-11-05/2026-w45/1007/peredat-nelzya-ostavit-banki-poluchili-pravo-otdavat-dannye-it-podryadchikam