Банки отдадут данные клиентов ИТ-подрядчикам: условия закона

14 октября 2026 года Госдума приняла во втором и третьем чтениях законопроект № 404786-8 об аутсорсинге информационных технологий на финансовом рынке. Банки, МФО, страховщики и часть участников рынка ценных бумаг смогут поручать сторонним компаниям обработку информации ограниченного доступа, включая банковскую тайну и персональные данные клиентов. Подрядчиком может быть аккредитованная ИТ-компания или банк с универсальной лицензией. Закон ещё должен одобрить Совет Федерации и подписать президент, новые правила заработают через год после опубликования.

Что разрешает закон

По пересказу КонсультантПлюс, банки смогут передавать другим организациям работу с информацией ограниченного доступа, кроме государственной тайны: сбор, запись, систематизацию, хранение, обновление, использование и передачу. Похожие изменения коснутся МФО, страховщиков и ряда участников рынка ценных бумаг.

Право.ru со ссылкой на РБК подчёркивает: передача возможна без получения прямого согласия клиентов.

Требования к подрядчику

Сроки

• новые правила вступят в силу через год после опубликования закона;
• банкам дают 180 календарных дней, чтобы привести действующие договоры в соответствие;
• в течение года подрядчики должны провести операционный аудит и направить заключение банку и ЦБ.

Что это значит для ИТ-компаний

Новый рынок, но с высоким входом. Работать с данными банков смогут только аккредитованные ИТ-компании с российским контролем. Если вы разрабатываете или сопровождаете системы для финансовых организаций, аккредитация Минцифры становится не льготой, а пропуском на рынок.

Инфраструктура в собственности. Обработка должна идти в системах, которые принадлежат организации и находятся в России. В тексте пересказа облачные сервисы прямо не упомянуты, поэтому вопрос, можно ли использовать арендованную инфраструктуру, требует уточнения по итоговому тексту и разъяснениям ЦБ.

Аудит каждый год. Это расходы и процессы: политики безопасности, журналы доступа, управление инцидентами, проверка сотрудников. Для небольшой команды это заметная нагрузка.

Полная ответственность. Подрядчик возмещает ущерб при разглашении. Значит, понадобятся страхование рисков и чёткие границы ответственности в договоре.

Отдельно стоит продумать, кто из сотрудников подрядчика получает доступ к данным и как это фиксируется.

Что пока не ясно

Пересказы закона оставляют открытыми несколько вопросов: можно ли использовать арендованные мощности в российских дата-центрах, как будут проверять структуру собственников подрядчика и как распределится ответственность между банком и подрядчиком при утечке. Ответы, вероятно, дадут нормативные акты Банка России, которые обычно выходят после подписания закона.

Что мы советуем ИТ-подрядчикам

1. Если планируете работать с финансовыми организациями — проверьте, соответствуете ли критериям аккредитации Минцифры и требованиям к структуре собственников.
2. Оцените инфраструктуру: где физически находятся серверы и кому они принадлежат.
3. Подготовьтесь к операционному аудиту: документы по защите информации, журналы, регламенты реагирования на инциденты.
4. Пересмотрите договоры с банками-клиентами: у банков будет 180 дней, чтобы их обновить, и они придут с новыми требованиями.
5. Оцените страхование ответственности за утечку.

Что изменится для клиентов банков

Для обычного клиента изменения незаметны: приложение и карты работают как раньше. Но его данные сможет обрабатывать подрядчик банка без отдельного согласия. Поэтому особенно важны требования к подрядчикам: российский контроль, собственная инфраструктура в России, аудит и полная ответственность за утечку.

Как подготовиться заранее

Даже если вы не планируете работать с банками, требования закона — хороший ориентир для любой компании, которая обрабатывает чужие данные. Разграничение доступа по ролям, журнал действий администраторов, регулярная проверка прав, план реагирования на инциденты и резервное копирование — это минимальный набор, который ждут крупные заказчики уже сейчас. Банк при выборе подрядчика будет смотреть именно на эти процессы, а не только на строчку об аккредитации.

Если вы веб-студия или интегратор и делаете для банка, например, сайт или личный кабинет без доступа к банковской тайне, закон может вас и не затронуть. Граница проходит по доступу к информации ограниченного доступа, поэтому в договоре стоит явно описать, к каким данным подрядчик получает доступ.

Наше мнение

Мы считаем, что закон делает рынок ИТ-аутсорсинга для финансовых организаций прозрачнее, но и дороже. Небольшим командам войти в него будет сложно без аккредитации, собственной инфраструктуры и аудита. Тем, кто уже работает с банками, мы советуем не ждать подписания: начать с ревизии доступа к данным и журналирования. Это потребуется при любом аудите.