Закон о передаче данных ИТ-подрядчикам изменит рынок банковских облаков
Для банков, включая Сбербанк, закон вводит дополнительные требования к внешним ИТ-подрядчикам и может увеличить затраты на аудит и комплаенс. Одновременно он легализует и расширяет рынок облачных и ЦОД-услуг для финансового сектора, что в среднесрочной перспективе может быть позитивно для крупных отечественных IT-провайдеров. Влияние на IMOEX в краткосрочном горизонте ограничено из-за отложенного вступления в силу.
За ближайший год рынок банковских облачных сервисов и технологического аутсорсинга может существенно измениться. Вчера был опубликован и с 3 ноября 2027 вступает в силу закон № 350-ФЗ, который устанавливает правовой механизм передачи банковской тайны, персональных данных и другой защищённой информации внешним ИТ-поставщикам — для хранения и широкого спектра операций. Закон касается всего рынка: банков, страховщиков, МФО, НПФ, БКИ, профучастников рынка ценных бумаг, биржевой и платёжной инфраструктуры. При каких условиях разрешена передача данных ⬛️ Подрядчик должен соответствовать требованиям к допуску. Для банков это аккредитованная ИТ-компания либо банк с универсальной лицензией; более 50% голосов должны находиться под контролем российских субъектов. Для дочек иностранных банков в России есть исключение — при специальном согласовании с ЦБ, ФСБ и Росфинмониторингом. ⬛️ Информационные системы подрядчика, на которых обрабатываются данные, должны находиться в России. ⬛️ До начала сотрудничества требуется операционный аудит со стороны организации с лицензией ФСТЭК и/или ФСБ. ⬛️ Необходимо заранее уведомить Банк России: если в течение 60 дней ЦБ не запретит привлекать исполнителя, можно передавать обработку данных. ⬛️ Подрядчик должен постоянно подтверждать безопасность: ежегодный внешний аудит, ежеквартальная отчётность, сообщение заказчику об инциденте информационной безопасности в течение двух часов после обнаружения. ⬛️ ЦБ сохраняет право вмешаться и запретить работу с данными через подрядчика — в частности, на срок до шести месяцев при нарушениях установленных требований. Закон регулирует не только вход в отношения с подрядчиком, но и выход из них. Например, предусмотрено предварительное уведомление о расторжении договора и возвращение информации финансовой организации. Что изменится на практике С одной стороны, небольшим финансовым организациям потенциально станет проще пользоваться готовыми технологическими сервисами вместо строительства собственных. С другой — стоимость соответствия требованиям может привести к концентрации заказов у ограниченного числа поставщиков. Доступный ИТ-провайдерам рынок расширяется, но порог входа будет высоким — а значит, конкурентное преимущество получат крупнейшие отечественные поставщики облачных услуг, ЦОДов и платформ. 💳 Финтехно в Telegram | в MAX