Закон № 350-ФЗ об ИТ-аутсорсинге банков подписан: срок — ноябрь 2027

2 ноября 2026 года подписан Федеральный закон № 350-ФЗ об ИТ-аутсорсинге на финансовом рынке. Банки смогут поручать обработку информации ограниченного доступа сторонним организациям, но только на жёстких условиях. Закон вступит в силу 3 ноября 2027 года. Касается он банков, МФО, страховщиков и ИТ-компаний, которые хотят работать с ними как подрядчики. Что делать подрядчику: проверить аккредитацию, место размещения систем и готовность к ежегодному аудиту.

Госдума приняла этот закон 14 октября, его содержание мы разбирали в новости о законе об ИТ-аутсорсинге для банков. Теперь известны номер, дата подписания и точные сроки.

Что разрешено

Банк может передать подрядчику сбор, запись, систематизацию, хранение, уточнение, использование и передачу информации ограниченного доступа. Исключение — государственная тайна. Похожие изменения затрагивают микрофинансовые организации, страховщиков и часть профессиональных участников рынка ценных бумаг.

Требования к подрядчику

• Подрядчик — аккредитованная ИТ-компания или банк с универсальной лицензией, который отвечает требованиям закона к контролю.
• Обработка идёт на системах и компонентах, которые принадлежат подрядчику и находятся в России.
• В договоре прописан ежеквартальный отчёт банку о выполнении показателей информационной безопасности и операционной надёжности.
• Подрядчик раз в год проходит операционный аудит по специальным правилам.

Сроки

Кого касается

Прежде всего ИТ-компаний, которые разрабатывают и сопровождают системы для банков, МФО и страховщиков: CRM, кабинеты клиентов, скоринг, обработку обращений. Для них закон и возможность, и планка: без аккредитации, своей инфраструктуры в России и аудита в такой проект не войти.

Для студий и небольших подрядчиков, которые делают для финансовых компаний только публичный сайт без доступа к данным клиентов, прямых изменений нет. Но заказчик может начать требовать подтверждения, что подрядчик к таким данным не прикасается.

Что сделать

1. Проверьте, есть ли у компании аккредитация Минцифры и не истекает ли она.
2. Опишите, где физически находятся серверы и кому они принадлежат. Арендованное облако может не подойти: закон говорит о системах, которые принадлежат организации.
3. Подготовьте набор метрик безопасности и надёжности, по которым сможете отчитываться раз в квартал.
4. Оцените, кто проведёт операционный аудит и сколько времени на него нужно.
5. Банкам — составить список действующих договоров с ИТ-подрядчиками, которые придётся переподписать до 30 апреля 2028 года.

Как устроена разработка систем с доступом к чувствительным данным, мы описывали на странице о веб-приложениях на заказ. Отдельный аудит защищённости проводится в рамках услуги аудита безопасности.