IT-аутсорсинг: Путин подписал закон для финансовых организаций 2 ноября 2026

2 ноября 2026 года президент Владимир Путин подписал федеральный закон, который устанавливает правовые основы IT-аутсорсинга и облачных сервисов на российском финансовом рынке. Документ позволяет кредитным и некредитным финансовым организациям передавать обработку информации ограниченного доступа, включая банковскую тайну и персональные данные, квалифицированным провайдерам.

Основные положения закона об IT-аутсорсинге

Закон распространяется на банки, страховые компании, негосударственные пенсионные фонды, микрофинансовые организации и кредитные бюро. Провайдерам разрешается выполнять сбор, хранение, использование, передачу и удаление данных. Государственная тайна исключена из перечня передаваемой информации. Вся инфраструктура обработки должна располагаться на территории России.

Для банков право предоставлять услуги получают IT-компании, аккредитованные Минцифры, и банки с универсальной лицензией, где более 50 процентов голосующих акций контролируется российским государством, регионами, муниципалитетами или гражданами РФ без иностранного гражданства. Некредитные финансовые организации могут работать с несколько более широким кругом российских контролируемых поставщиков. Клиентское согласие на передачу персональных данных не требуется, однако договоры должны соответствовать законодательству о защите персональных данных.

Финансовые организации обязаны заранее уведомить Банк России и приложить отчет операционного аудита, выполненного аудитором с лицензией ФСБ или ФСТЭК. Обработка данных может начаться не ранее чем через 60 дней, если ЦБ не введет запрет. Обе стороны — провайдер и финансовая организация — несут ответственность за нарушения.

Требования к провайдерам и контроль ЦБ

Провайдеры должны проводить ежегодный внешний операционный аудит, результаты которого направляются клиенту и в ЦБ. О любых инцидентах информационной безопасности необходимо сообщать клиенту в течение двух часов. В штате должна быть выделенная служба информационной безопасности. Руководитель компании не должен иметь неснятой судимости за экономические или компьютерные преступления и не может находиться под санкциями.

Банк России совместно с ФСБ, ФСТЭК, Минцифры и Росфинмониторингом определит детальные требования, порядок взаимодействия и критерии запретов. Регулятор вправе приостановить обработку на срок до шести месяцев при выявлении нарушений. Эти меры направлены на обеспечение стабильности финансового сектора и непрерывности операций в условиях нарушения глобальных цепочек поставок IT-оборудования.

Законопроект № 404786-8 прошел второе и третье чтения в Госдуме 14 октября 2026 года и одобрен Советом Федерации 28 октября 2026 года. Цель, указанная в пояснительных материалах, — оптимизация расходов финансовых организаций без снижения уровня кибербезопасности.

Сроки вступления в силу и переходный период

Закон вступает в силу через год после официального опубликования. Существующие договоры необходимо привести в соответствие в течение 180 дней с момента вступления. Провайдерам отводится один год на проведение первого обязательного аудита. В переходный период финансовые организации могут продолжать работу по ранее заключенным соглашениям, соблюдая новые требования к отчетности и безопасности.

После вступления закона ЦБ получит полномочия по мониторингу и при необходимости блокировке отдельных процессов. Регулятор будет координировать действия с другими ведомствами, чтобы минимизировать риски для финансового рынка. Организации, планирующие использовать IT-аутсорсинг, должны заранее подготовить документацию и провести внутренний аудит инфраструктуры.