Финансовым организациям разрешили передавать обработку данных клиентов ИТ-подрядчикам

Закон № 350-ФЗ подписан 2 ноября 2026 г. и вступит в силу через год после официального опубликования. Он позволяет банкам, страховщикам, НПФ, профессиональным участникам рынка ценных бумаг и другим финансовым организациям поручать обработку информации ограниченного доступа сторонним организациям. Речь в том числе о банковской тайне и персональных данных.

Подрядчиком может быть:

• аккредитованная ИТ-компания;
• банк с универсальной лицензией, который больше чем на 50% контролируется государством, регионом, муниципалитетом или гражданином РФ без иного гражданства.

Информационные системы подрядчика должны находиться в России. Сначала нужно уведомить Банк России. Передать обработку можно через 60 дней, если регулятор ее не запретит.

Подрядчик ежегодно проходит операционный аудит у организации с лицензией ФСБ или ФСТЭК. Он отвечает за разглашение полученных сведений.

Договоры, которые уже заключены, нужно привести в соответствие с законом в течение 180 дней после вступления его в силу.

Что произошло

Закон изменяет Закон о банках, Закон о Банке России, законы о страховом деле, рынке ценных бумаг, НПФ, инвестиционных фондах, ПОД/ФТ, валютном регулировании и ряд других актов.

Основной механизм установлен для кредитных организаций в новой статье 30.2 Закона о банках. Аналогичные нормы введены для некредитных финансовых организаций.

Банк может поручить подрядчику любые действия с информацией ограниченного доступа, кроме государственной тайны: сбор, хранение, использование, передачу, уничтожение. Обработка ведется в информационных системах подрядчика на территории РФ по договору. Персональные данные можно передавать без согласия клиентов, если договор отвечает требованиям части 3 статьи 6 Закона о персональных данных.

Порядок привлечения подрядчика

1. До поручения подрядчику банк направляет в Банк России уведомление с усиленной электронной подписью. В нем указываются сведения о подрядчике и его ответственных за информационную безопасность. К уведомлению прилагается заключение или отчет проверяющей организации с лицензией ФСТЭК или ФСБ.
2. Обработку можно передать через 60 дней после уведомления, если Банк России не принял решение о запрете.
3. Договор с подрядчиком должен предусматривать:
   • ежеквартальную отчетность о целевых показателях защиты информации и операционной надежности;
   • сообщения об инцидентах в течение двух часов с момента их выявления;
   • ответственность за разглашение;
   • уведомление о расторжении договора не позднее чем за шесть месяцев.
4. Подрядчик не должен находиться в ликвидации или банкротстве. У него должны быть специалисты по информационной безопасности, а у руководителя — не быть судимости за экономические и компьютерные преступления.

Банки с иностранным контролем

Новая статья 30.3 Закона о банках позволяет банку под контролем иностранного банка поручить обработку информации иностранному банку. Для этого нужно согласование Банка России, ФСБ и Росфинмониторинга.

Кого касается

• банков, страховщиков, НПФ, управляющих компаний, брокеров, депозитариев и других финансовых организаций;
• ИТ-компаний и облачных провайдеров, которые обслуживают финансовый сектор;
• государственных банков, которые предоставляют ИТ-услуги другим участникам рынка;
• российских банков с иностранным контролем.

Практическое значение для бизнеса

Раньше передача банковской тайны и данных клиентов внешним ИТ-подрядчикам не была прямо урегулирована. Закон легализует такую практику, но вводит в нее регулятора и делает подрядчика самостоятельным субъектом надзорных требований.

Иностранные облака и подрядчики без аккредитации и без инфраструктуры в РФ к такой обработке не допускаются. Исключение — механизм статьи 30.3 для банков с иностранным контролем.

Ключевые риски

• после вступления закона в силу и истечения 180 дней действующие договоры аутсорсинга не будут соответствовать требованиям;
• подрядчик не аккредитован, или часть инфраструктуры, включая резервные площадки, находится за рубежом;
• Банк России запретит передачу в течение 60 дней;
• в договоре нет обязательных условий: двухчасового срока сообщения об инцидентах, отчетности, шестимесячного срока расторжения;
• финансовая организация и подрядчик отвечают за разглашение совместно.

Что рекомендуется сделать

1. Провести инвентаризацию ИТ-договоров, по которым подрядчики получают доступ к банковской тайне и персональным данным.
2. Проверить подрядчиков на соответствие требованиям: аккредитация, расположение инфраструктуры в РФ, кадры, отсутствие ограничений.
3. Подготовить типовые условия договора по требованиям закона.
4. Заранее выбрать проверяющую организацию с лицензией ФСТЭК или ФСБ и запланировать аудит.
5. Учесть в графике 60-дневный срок после уведомления Банка России.
6. Следить за нормативными актами Банка России, которые установят порядок и требования по статье 57.5-3 Закона о Банке России.

Комментарий НИП

Закон снимает давнюю неопределенность с ИТ-аутсорсингом на финансовом рынке, но делает его поднадзорной деятельностью. Ключевые параметры — требования к защите информации, операционной надежности и аудиту — установит Банк России. Поэтому за год до вступления закона в силу важно отслеживать его проекты и заранее перестраивать договоры с подрядчиками.

Источники

— Федеральный закон от 02.11.2026 № 350-ФЗ (Гарант)
— Гарант: «Президент РФ подписал закон об IT-аутсорсинге и использовании облачных услуг»

Чем мы можем помочь

Юридическая фирма «Надмитов, Иванов и Партнеры» оказывает услуги финансовым организациям и ИТ-компаниям по вопросам банковского регулирования и защиты данных. Мы анализируем ИТ-договоры на соответствие новым требованиям, готовим договорную документацию и уведомления в Банк России, а также консультируем по банковской тайне и персональным данным.

Тел.: +7 (495) 649-87-12
Email: info@nplaw.ru