Федеральный закон от 02.11.2026 N 350-ФЗ

РОССИЙСКАЯ ФЕДЕРАЦИЯ

ФЕДЕРАЛЬНЫЙ ЗАКОН

О ВНЕСЕНИИ ИЗМЕНЕНИЙ

В ОТДЕЛЬНЫЕ ЗАКОНОДАТЕЛЬНЫЕ АКТЫ РОССИЙСКОЙ ФЕДЕРАЦИИ

Принят

Государственной Думой

14 октября 2026 года

Одобрен

Советом Федерации

28 октября 2026 года

Статья 1

Внести в Федеральный закон "О банках и банковской деятельности" (в редакции Федерального закона от 3 февраля 1996 года N 17-ФЗ) (Ведомости Съезда народных депутатов РСФСР и Верховного Совета РСФСР, 1990, N 27, ст. 357; Собрание законодательства Российской Федерации, 1996, N 6, ст. 492; 2012, N 27, ст. 3588; N 50, ст. 6954; N 53, ст. 7605; 2013, N 11, ст. 1076; N 19, ст. 2329; N 26, ст. 3207; N 27, ст. 3438; N 30, ст. 4084; N 51, ст. 6699; 2014, N 26, ст. 3395; N 52, ст. 7543; 2015, N 27, ст. 3950; N 29, ст. 4357; 2017, N 18, ст. 2661; 2018, N 24, ст. 3400; N 27, ст. 3950; N 31, ст. 4852; N 32, ст. 5100, 5115; 2019, N 6, ст. 463; N 49, ст. 6953; N 52, ст. 7787; 2021, N 27, ст. 5151; 2022, N 1, ст. 40; N 10, ст. 1401; N 14, ст. 2190; N 43, ст. 7271; N 50, ст. 8792; 2023, N 1, ст. 16; N 25, ст. 4447; N 31, ст. 5766, 5784; 2024, N 31, ст. 4462; N 33, ст. 4956, 4971; N 48, ст. 7214; N 53, ст. 8532; 2025, N 7, ст. 541; N 26, ст. 3493; N 31, ст. 4633; N 48, ст. 7236, 7242; 2026, N 26, ст. 3464, 3469) следующие изменения:

1) статью 26 дополнить частями шестьдесят восьмой - семидесятой следующего содержания:

"Кредитная организация в случаях и порядке, которые предусмотрены статьей 30.2 настоящего Федерального закона, вправе передавать организации, указанной в части четвертой статьи 30.2 настоящего Федерального закона (далее - привлекаемая организация), сведения, содержащие банковскую тайну. Привлекаемая организация и ее работники обязаны хранить тайну об операциях, о счетах и вкладах клиентов и корреспондентов кредитной организации. За разглашение сведений, составляющих банковскую тайну, привлекаемая организация и ее работники несут ответственность, включая возмещение нанесенного ущерба, в порядке, установленном федеральным законом.

Кредитная организация в случаях и порядке, которые предусмотрены статьей 30.3 настоящего Федерального закона, вправе передавать иностранному банку сведения, содержащие банковскую тайну.

Кредитная организация, передающая иностранному банку сведения, содержащие банковскую тайну, в случаях и порядке, которые предусмотрены статьей 30.3 настоящего Федерального закона, обязана обеспечить хранение таким иностранным банком и его работниками тайны об операциях, о счетах и вкладах клиентов и корреспондентов кредитной организации.";

2) дополнить статьями 30.2 и 30.3 следующего содержания:

"Статья 30.2. Отношения между кредитной организацией и организацией, привлекаемой к обработке информации ограниченного доступа

Кредитная организация в соответствии с порядком и требованиями, которые установлены Банком России на основании статьи 57.5-3 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", вправе поручить по истечении 60 дней, следующих за днем направления уведомления в Банк России в соответствии с частью второй настоящей статьи, при отсутствии решения Банка России, принятого на основании пункта 1 части третьей статьи 57.5-3 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", привлекаемой организации с учетом ограничений, установленных законодательством Российской Федерации, осуществление сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) с использованием информационных систем и их компонентов, принадлежащих на законном основании привлекаемой организации и находящихся на территории Российской Федерации, на основании заключенного в соответствии с гражданским законодательством с привлекаемой организацией договора. Кредитная организация вправе поручить привлекаемой организации осуществление сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения персональных данных в соответствии с настоящей частью без согласия субъектов персональных данных при условии соответствия договора, предусмотренного настоящей частью, требованиям части 3 статьи 6 Федерального закона от 27 июля 2006 года N 152-ФЗ "О персональных данных". Привлекаемая организация, которой кредитная организация поручила осуществлять указанные в настоящей части действия с информацией ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), осуществляет с такой информацией только те действия, которые соответствуют правам и обязанностям данной кредитной организации при обработке такой информации.

Кредитная организация обязана уведомить Банк России о намерении поручить привлекаемой организации осуществление указанных в части первой настоящей статьи действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) до такого поручения.

К уведомлению, указанному в части первой настоящей статьи, прилагаются заключение и (или) отчет организации, которая имеет лицензии федерального органа исполнительной власти, уполномоченного в области противодействия техническим разведкам и технической защиты информации, и (или) федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности, полученные в порядке, предусмотренном законодательством Российской Федерации, и соответствует требованиям, установленным на основании пункта 3 части первой статьи 57.5-3 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", а также в соответствии с требованиями, установленными на основании статьи 57.5-3 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", проводит операционный аудит привлекаемой организации, включая оценку соответствия привлекаемой организации установленным на основании пункта 1 части первой статьи 57.5-3 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)" требованиям к обеспечению защиты информации и требованиям к операционной надежности (далее для целей настоящей статьи - проверяющая организация). Указанное уведомление направляется в форме электронного документа, подписывается усиленной квалифицированной электронной подписью уполномоченного лица и должно содержать следующие сведения:

1) наименование, адрес кредитной организации;

2) фамилии, имена, отчества (при наличии), номера контактных телефонов, адреса электронной почты работников привлекаемой организации, которые осуществляют функции по обеспечению информационной безопасности привлекаемой организации, а также специальных должностных лиц привлекаемой организации, ответственных за обеспечение сохранности информации ограниченного доступа;

3) наименование привлекаемой организации, которой планируется поручить осуществление указанных в части первой настоящей статьи действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне);

4) сведения, подтверждающие соответствие привлекаемой организации требованиям, установленным настоящей статьей, и соответствие проверяющей организации требованиям, установленным на основании статьи 57.5-3 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)".

Под привлекаемыми организациями понимаются организации, осуществляющие деятельность в области информационных технологий, аккредитованные в порядке, установленном законодательством Российской Федерации, а также банки с универсальной лицензией, которые находятся под контролем Российской Федерации, и (или) субъекта Российской Федерации, и (или) муниципального образования, и (или) гражданина Российской Федерации, не имеющего гражданства другого государства, и (или) контролируемых ими совместно или по отдельности лиц. Для целей настоящей статьи под контролем понимается возможность определять решения, принимаемые банками с универсальной лицензией, находящимися под контролем Российской Федерации, и (или) субъекта Российской Федерации, и (или) муниципального образования, и (или) гражданина Российской Федерации, не имеющего гражданства другого государства, и (или) контролируемых ими совместно или по отдельности лиц, указанными в настоящей части, в силу наличия права прямо или косвенно распоряжаться более чем 50 процентами общего количества голосов, приходящихся на голосующие акции (доли), составляющие уставный капитал данных банков с универсальной лицензией, находящихся под контролем Российской Федерации, и (или) субъекта Российской Федерации, и (или) муниципального образования, и (или) гражданина Российской Федерации, не имеющего гражданства другого государства, и (или) контролируемых ими совместно или по отдельности лиц.

Привлекаемая организация и ее работники в соответствии с порядком и требованиями, которые установлены Банком России на основании статьи 57.5-3 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", обязаны обеспечить защиту полученной от кредитной организации в соответствии с настоящим Федеральным законом и другими федеральными законами информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), в том числе контроль за отсутствием факта несанкционированного доступа к указанной информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), и в случае ее разглашения несут ответственность в соответствии с законодательством Российской Федерации и договором, заключенным в соответствии с гражданским законодательством между привлекаемой организацией и кредитной организацией.

Привлекаемая организация в соответствии с требованиями, установленными на основании статьи 57.5-3 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", осуществляет внутренний контроль и ежегодно проводит операционный аудит, включая оценку соответствия привлекаемой организации установленным на основании пункта 1 части первой статьи 57.5-3 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)" требованиям к обеспечению защиты информации и требованиям к операционной надежности, с привлечением проверяющей организации. Подготовленные по результатам проведения операционного аудита привлекаемой организации заключение и (или) отчет проверяющей организации направляются в кредитную организацию, которая поручила привлекаемой организации в соответствии с частью первой настоящей статьи осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), привлекаемую организацию, а также в Банк России.

Привлекаемая организация обязана уведомить кредитную организацию, которая поручила привлекаемой организации в соответствии с частью первой настоящей статьи осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), о намерении расторгнуть договор, предусмотренный частью первой настоящей статьи, не позднее шести месяцев до предполагаемой даты расторжения этого договора и обеспечить сохранность такой информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) до момента ее передачи указанной кредитной организации. Кредитная организация, которая в соответствии с частью первой настоящей статьи поручила привлекаемой организации осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), до предполагаемой даты расторжения договора, предусмотренного частью первой настоящей статьи, обязана принять от привлекаемой организации ранее переданную ей указанной кредитной организацией информацию ограниченного доступа (за исключением сведений, отнесенных к государственной тайне).

Договором, указанным в части первой настоящей статьи, должны быть предусмотрены:

1) порядок направления привлекаемой организацией в кредитную организацию на ежеквартальной основе информации о соблюдении целевых показателей оказания услуг привлекаемой организацией в части обеспечения защиты информации и операционной надежности, а также состав такой информации;

2) формы и порядок направления привлекаемой организацией в кредитную организацию информации об инцидентах, связанных с нарушением требований к обеспечению защиты информации, инцидентах, связанных с нарушением требований к операционной надежности, которые произошли в период деятельности привлекаемой организации, осуществляемой на основании указанного договора, в течение двух часов с момента их выявления привлекаемой организацией;

3) ответственность привлекаемой организации и ее работников за разглашение полученной от кредитной организации в соответствии с настоящим Федеральным законом и другими федеральными законами информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне);

4) порядок направления уведомления, предусмотренного частью седьмой настоящей статьи.

Привлекаемая организация должна соответствовать следующим требованиям:

1) в отношении привлекаемой организации не проводится процедура ликвидации юридического лица, не принято решение о ее исключении из единого государственного реестра юридических лиц в соответствии с законодательством Российской Федерации о государственной регистрации юридических лиц, отсутствует решение (определение) арбитражного суда о введении процедуры банкротства в соответствии с законодательством Российской Федерации о несостоятельности (банкротстве), а также в течение последних двух лет не принимались меры в соответствии с частью двадцать второй статьи 74 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)";

2) в штате привлекаемой организации имеются работники, которые осуществляют функции по обеспечению информационной безопасности привлекаемой организации, а также специальные должностные лица, ответственные за обеспечение сохранности информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), указанной в части первой настоящей статьи;

3) у руководителя привлекаемой организации отсутствует неснятая или непогашенная судимость за совершение преступления в сфере экономики или преступления в сфере компьютерной информации;

4) привлечение привлекаемой организации и взаимодействие с ней осуществляются в соответствии с порядком, установленным на основании части первой статьи 57.5-3 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)";

5) привлекаемая организация осуществляет внутренний контроль и ежегодно проводит операционный аудит, включая оценку соответствия привлекаемой организации требованиям к обеспечению защиты информации и требованиям к операционной надежности, установленным на основании пункта 1 части первой статьи 57.5-3 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", с привлечением проверяющей организации;

6) привлекаемая организация, лицо, осуществляющее функции единоличного исполнительного органа привлекаемой организации, отсутствуют в перечне организаций и физических лиц, в отношении которых имеются сведения об их причастности к экстремистской деятельности или терроризму, либо в составляемых в рамках реализации полномочий, предусмотренных главой VII Устава ООН, Советом Безопасности ООН или органами, специально созданными решениями Совета Безопасности ООН, перечнях организаций и физических лиц, связанных с террористическими организациями и террористами или распространением оружия массового уничтожения;

7) в отношении привлекаемой организации, лица, осуществляющего функции единоличного исполнительного органа привлекаемой организации, отсутствует принятое межведомственным координационным органом, осуществляющим функции по противодействию финансированию терроризма и экстремистской деятельности, решение о замораживании (блокировании) денежных средств или иного имущества лица в соответствии со статьей 7.4 Федерального закона от 7 августа 2001 года N 115-ФЗ "О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма";

8) привлекаемая организация, лицо, осуществляющее функции единоличного исполнительного органа привлекаемой организации, не являются блокируемыми лицами в соответствии с частью 2.1 статьи 3 Федерального закона от 30 декабря 2006 года N 281-ФЗ "О специальных экономических мерах и принудительных мерах";

9) привлекаемая организация, лицо, осуществляющее функции единоличного исполнительного органа привлекаемой организации, не являются лицами, осуществляющими деятельность на территории Российской Федерации без полученной в установленном порядке лицензии, в случае, если законодательство Российской Федерации в отношении такой деятельности предусматривает ее наличие, либо лицами, оказывающими услуги с использованием сайта в информационно-телекоммуникационной сети "Интернет", в случае, если доменное имя этого сайта, указатель страницы этого сайта содержатся в Едином реестре доменных имен, указателей страниц сайтов в информационно-телекоммуникационной сети "Интернет" и сетевых адресов, позволяющих идентифицировать сайты в информационно-телекоммуникационной сети "Интернет", содержащие информацию, распространение которой в Российской Федерации запрещено;

10) лицо, осуществляющее функции единоличного исполнительного органа привлекаемой организации, не включено в реестр контролируемых лиц, предусмотренный законодательством о правовом положении иностранных граждан в Российской Федерации;

11) привлекаемая организация не отнесена Банком России к высокой степени (уровню) риска совершения подозрительных операций в соответствии со статьей 9.1 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)";

12) привлекаемая организация соответствует иным требованиям, установленным Банком России на основании статьи 57.5-3 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)".

В случае разглашения привлекаемой организацией и (или) ее работниками информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), полученной от кредитной организации в соответствии с настоящим Федеральным законом и другими федеральными законами, кредитная организация и привлекаемая организация несут ответственность в соответствии с законодательством Российской Федерации.

Кредитная организация обязана хранить с использованием информационных систем и их компонентов сведения о совершенных клиентами операциях (сделках) не менее пяти лет с момента их совершения.

Действие положений частей первой - десятой настоящей статьи не распространяется на вытекающие из договоров отношения кредитной организации с банковскими платежными агентами, операторами услуг информационного обмена, поставщиками платежных приложений, операционными центрами и платежными клиринговыми центрами, а также на случаи осуществления трансграничного перевода денежных средств и случаи передачи информации для рассмотрения заявлений клиентов участников платежной системы, касающихся использования электронных средств платежа без добровольного согласия клиентов, в соответствии с Федеральным законом от 27 июня 2011 года N 161-ФЗ "О национальной платежной системе".

Статья 30.3. Особенности взаимодействия банка с универсальной лицензией, находящегося под контролем иностранного банка, и иностранного банка, привлекаемого к обработке информации ограниченного доступа

Банк с универсальной лицензией, находящийся под контролем иностранного банка, в соответствии с порядком и требованиями, которые установлены Банком России на основании статьи 57.5-3 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", вправе поручить по согласованию с Банком России, федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, и федеральным органом исполнительной власти, осуществляющим функции по противодействию легализации (отмыванию) доходов, полученных преступным путем, финансированию терроризма, экстремистской деятельности и финансированию распространения оружия массового уничтожения, иностранному банку с учетом ограничений, установленных законодательством Российской Федерации, осуществление сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) с использованием информационных систем и их компонентов, принадлежащих на законном основании иностранному банку, на основании заключенного в соответствии с гражданским законодательством с таким иностранным банком договора. Банк с универсальной лицензией, находящийся под контролем иностранного банка, вправе поручить иностранному банку осуществление сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения персональных данных в соответствии с настоящей частью без согласия субъектов персональных данных при условии соответствия договора, предусмотренного настоящей частью, требованиям части 3 статьи 6 Федерального закона от 27 июля 2006 года N 152-ФЗ "О персональных данных". Положения статьи 30.2 настоящего Федерального закона применяются к указанному в настоящей части взаимодействию банка с универсальной лицензией, находящегося под контролем иностранного банка, и иностранного банка с учетом особенностей, установленных настоящей статьей.

Банк с универсальной лицензией, находящийся под контролем иностранного банка, направляет в Банк России запрос о согласовании поручения иностранному банку осуществления указанных в части первой настоящей статьи действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) в порядке, установленном на основании статьи 57.5-3 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)". Банк России направляет указанный запрос о согласовании в федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности, и федеральный орган исполнительной власти, осуществляющий функции по противодействию легализации (отмыванию) доходов, полученных преступным путем, финансированию терроризма, экстремистской деятельности и финансированию распространения оружия массового уничтожения.

К запросу о согласовании, указанному в части второй настоящей статьи, прилагаются сведения, подтверждающие соответствие иностранного банка требованиям, установленным частью девятой статьи 30.2 настоящего Федерального закона, статьей 57.5-3 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", заключение и (или) отчет организации, которая проводит операционный аудит иностранного банка.

Федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности, и федеральный орган исполнительной власти, осуществляющий функции по противодействию легализации (отмыванию) доходов, полученных преступным путем, финансированию терроризма, экстремистской деятельности и финансированию распространения оружия массового уничтожения, по итогам рассмотрения запроса о согласовании, сведений, подтверждающих соответствие иностранного банка требованиям, установленным частью девятой статьи 30.2 настоящего Федерального закона, статьей 57.5-3 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", заключения и (или) отчета организации, которая проводит операционный аудит иностранного банка, направляют в Банк России решение о согласовании (запрете) поручения, предусмотренного частью первой настоящей статьи, в порядке и сроки, которые установлены на основании статьи 57.5-3 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)". Федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности, по итогам рассмотрения запроса о согласовании, сведений, подтверждающих соответствие иностранного банка требованиям, установленным частью девятой статьи 30.2 настоящего Федерального закона, статьей 57.5-3 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", заключения и (или) отчета организации, которая проводит операционный аудит иностранного банка, может принять решение о запрете поручения, предусмотренного частью первой настоящей статьи, в целях защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов других лиц, обеспечения обороны страны и безопасности государства.

Банк с универсальной лицензией, находящийся под контролем иностранного банка, обязан обеспечить защиту иностранным банком и его работниками полученной от банка с универсальной лицензией, находящегося под контролем иностранного банка, в соответствии с настоящим Федеральным законом и другими федеральными законами информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), в том числе контроль за отсутствием несанкционированного доступа к указанной информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), в соответствии с порядком и требованиями, которые установлены Банком России на основании статьи 57.5-3 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)". Банк с универсальной лицензией, находящийся под контролем иностранного банка, по поручению которого иностранный банк осуществляет действия с информацией ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) в соответствии с частью первой настоящей статьи, несет ответственность за разглашение таким иностранным банком и его работниками полученной информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) в соответствии с законодательством Российской Федерации.

Банк с универсальной лицензией, находящийся под контролем иностранного банка, обязан в соответствии с требованиями, установленными на основании статьи 57.5-3 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", обеспечить осуществление иностранным банком внутреннего контроля и ежегодного проведения им операционного аудита, включая оценку соответствия иностранного банка установленным на основании пункта 1 части первой статьи 57.5-3 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)" требованиям к обеспечению защиты информации и требованиям к операционной надежности, с привлечением организации, которая проводит операционный аудит иностранного банка. Подготовленные по результатам проведения операционного аудита иностранного банка заключение и (или) отчет организации, которая проводит операционный аудит иностранного банка, направляются в банк с универсальной лицензией, находящийся под контролем иностранного банка, по поручению которого иностранный банк осуществляет в соответствии с частью первой настоящей статьи действия в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), а также в Банк России.

Банк с универсальной лицензией, находящийся под контролем иностранного банка, который поручил иностранному банку в соответствии с частью первой настоящей статьи осуществлять действия в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), обязан обеспечить направление ему иностранным банком уведомления о намерении расторгнуть договор, предусмотренный частью первой настоящей статьи, не позднее шести месяцев до предполагаемой даты расторжения этого договора и обеспечить сохранность такой информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) до момента ее передачи такому банку с универсальной лицензией, находящемуся под контролем иностранного банка. Банк с универсальной лицензией, находящийся под контролем иностранного банка, который поручил иностранному банку в соответствии с частью первой настоящей статьи осуществлять действия в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), до предполагаемой даты расторжения договора, предусмотренного частью первой настоящей статьи, обязан принять от иностранного банка ранее переданную ему указанным банком с универсальной лицензией, находящимся под контролем иностранного банка, информацию ограниченного доступа (за исключением сведений, отнесенных к государственной тайне).

Договором, указанным в части первой настоящей статьи, должны быть предусмотрены:

1) порядок направления иностранным банком в банк с универсальной лицензией, находящийся под контролем иностранного банка, на ежеквартальной основе информации о соблюдении целевых показателей оказания услуг иностранным банком в части обеспечения защиты информации и операционной надежности, а также состав такой информации;

2) формы и порядок направления иностранным банком в банк с универсальной лицензией, находящийся под контролем иностранного банка, информации об инцидентах, связанных с нарушением требований к обеспечению защиты информации, инцидентах, связанных с нарушением требований к операционной надежности, которые произошли в период деятельности иностранного банка, осуществляемой на основании указанного договора, в течение двух часов с момента их выявления иностранным банком;

3) ответственность иностранного банка и его работников за разглашение полученной от банка с универсальной лицензией, находящегося под контролем иностранного банка, в соответствии с настоящим Федеральным законом и другими федеральными законами информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне);

4) порядок направления уведомлений, предусмотренных частью седьмой настоящей статьи.

В случае разглашения иностранным банком и (или) его работниками информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), полученной от банка с универсальной лицензией, находящегося под контролем иностранного банка, в соответствии с настоящим Федеральным законом и другими федеральными законами, банк с универсальной лицензией, находящийся под контролем иностранного банка, несет ответственность в соответствии с законодательством Российской Федерации.".

Статья 2

Закон Российской Федерации от 27 ноября 1992 года N 4015-I "Об организации страхового дела в Российской Федерации" (Ведомости Съезда народных депутатов Российской Федерации и Верховного Совета Российской Федерации, 1993, N 2, ст. 56; Собрание законодательства Российской Федерации, 1998, N 1, ст. 4) дополнить статьей 6.3 следующего содержания:

"Статья 6.3. Взаимодействие между субъектами страхового дела, саморегулируемыми организациями в сфере финансового рынка и организациями, привлекаемыми к обработке информации ограниченного доступа

1. Страховая организация, иностранная страховая организация, общество взаимного страхования, саморегулируемая организация в сфере финансового рынка, объединяющая страховые организации и иностранные страховые организации, саморегулируемая организация в сфере финансового рынка, объединяющая общества взаимного страхования, профессиональное объединение страховщиков в соответствии с порядком и требованиями, которые установлены Банком России на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", вправе поручить по истечении 60 дней, следующих за днем направления уведомления в Банк России в соответствии с пунктом 2 настоящей статьи, при отсутствии решения Банка России, принятого на основании пункта 1 части четвертой статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", организации, указанной в пункте 3 настоящей статьи (далее для целей настоящей статьи - привлекаемая организация), с учетом ограничений, установленных законодательством Российской Федерации, осуществление сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) с использованием информационных систем и их компонентов, принадлежащих на законном основании привлекаемой организации, находящихся на территории Российской Федерации, на основании заключенного в соответствии с гражданским законодательством с привлекаемой организацией договора. Страховая организация, иностранная страховая организация, общество взаимного страхования, саморегулируемая организация в сфере финансового рынка, объединяющая страховые организации и иностранные страховые организации, саморегулируемая организация в сфере финансового рынка, объединяющая общества взаимного страхования, профессиональное объединение страховщиков вправе поручить привлекаемой организации осуществление сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения персональных данных в соответствии с настоящим пунктом без согласия субъектов персональных данных при условии соответствия договора, предусмотренного настоящим пунктом, требованиям части 3 статьи 6 Федерального закона от 27 июля 2006 года N 152-ФЗ "О персональных данных". Привлекаемая организация, которой страховая организация, иностранная страховая организация, общество взаимного страхования, саморегулируемая организация в сфере финансового рынка, объединяющая страховые организации и иностранные страховые организации, саморегулируемая организация в сфере финансового рынка, объединяющая общества взаимного страхования, профессиональное объединение страховщиков поручили осуществлять указанные в настоящем пункте действия с информацией ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), осуществляет с такой информацией только те действия, которые соответствуют правам и обязанностям данных страховой организации, иностранной страховой организации, общества взаимного страхования, саморегулируемой организации в сфере финансового рынка, объединяющей страховые организации и иностранные страховые организации, саморегулируемой организации в сфере финансового рынка, объединяющей общества взаимного страхования, профессионального объединения страховщиков при обработке такой информации.

2. Страховая организация, иностранная страховая организация, общество взаимного страхования, саморегулируемая организация в сфере финансового рынка, объединяющая страховые организации и иностранные страховые организации, саморегулируемая организация в сфере финансового рынка, объединяющая общества взаимного страхования, профессиональное объединение страховщиков обязаны уведомить Банк России о намерении поручить привлекаемой организации осуществление указанных в пункте 1 настоящей статьи действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) до такого поручения. К уведомлению, указанному в настоящем пункте, прилагаются заключение и (или) отчет организации, которая имеет лицензии федерального органа исполнительной власти, уполномоченного в области противодействия техническим разведкам и технической защиты информации, и (или) федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности, полученные в порядке, предусмотренном законодательством Российской Федерации, и соответствует требованиям, установленным на основании пункта 2 части первой статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", а также в соответствии с требованиями, установленными на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)" проводит операционный аудит привлекаемой организации, включая оценку соответствия привлекаемой организации установленным на основании пункта 1 части первой статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)" требованиям к обеспечению защиты информации и требованиям к операционной надежности (далее для целей настоящей статьи - проверяющая организация). Указанное уведомление направляется в форме электронного документа, подписывается усиленной квалифицированной электронной подписью уполномоченного лица и должно содержать следующие сведения:

1) наименования, адреса страховой организации, иностранной страховой организации, общества взаимного страхования, саморегулируемой организации в сфере финансового рынка, объединяющей страховые организации и иностранные страховые организации, саморегулируемой организации в сфере финансового рынка, объединяющей общества взаимного страхования, профессионального объединения страховщиков;

2) фамилии, имена, отчества (при наличии), номера контактных телефонов, адреса электронной почты работников привлекаемой организации, которые осуществляют функции по обеспечению информационной безопасности привлекаемой организации, а также специальных должностных лиц привлекаемой организации, ответственных за обеспечение сохранности информации ограниченного доступа;

3) наименование привлекаемой организации, которой планируется поручить осуществление указанных в пункте 1 настоящей статьи действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне);

4) сведения, подтверждающие соответствие привлекаемой организации требованиям, установленным статьей 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", и соответствие проверяющей организации требованиям, установленным на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)".

3. Под привлекаемыми организациями понимаются организации, осуществляющие деятельность в области информационных технологий, аккредитованные в порядке, установленном законодательством Российской Федерации, а также банки с универсальной лицензией, некредитные финансовые организации - юридические лица, которые указаны в пункте 1 (за исключением профессиональных участников рынка ценных бумаг, указанных в статьях 4.1 и 6.1 Федерального закона от 22 апреля 1996 года N 39-ФЗ "О рынке ценных бумаг") и пунктах 8 и 9 (за исключением иностранных страховых организаций) части первой статьи 76.1 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", которые находятся под контролем Российской Федерации, и (или) субъекта Российской Федерации, и (или) муниципального образования, и (или) гражданина Российской Федерации, не имеющего гражданства другого государства, и (или) контролируемых ими совместно или по отдельности лиц. Для целей настоящей статьи под контролем понимается возможность определять решения, принимаемые банками с универсальной лицензией, некредитными финансовыми организациями - юридическими лицами, указанными в настоящем пункте, в силу наличия права прямо или косвенно распоряжаться более чем пятьюдесятью процентами общего количества голосов, приходящихся на голосующие акции (доли), составляющие уставный капитал данных банков с универсальной лицензией, некредитных финансовых организаций - юридических лиц.

4. Привлекаемая организация и ее работники в соответствии с порядком и требованиями, которые установлены Банком России на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", обязаны обеспечить защиту полученной от страховой организации, иностранной страховой организации, общества взаимного страхования, саморегулируемой организации в сфере финансового рынка, объединяющей страховые организации и иностранные страховые организации, саморегулируемой организации в сфере финансового рынка, объединяющей общества взаимного страхования, профессионального объединения страховщиков в соответствии с настоящим Законом и другими федеральными законами информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), в том числе контроль за отсутствием несанкционированного доступа к указанной информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), и в случае ее разглашения несут ответственность в соответствии с законодательством Российской Федерации и договором, заключенным в соответствии с гражданским законодательством между привлекаемой организацией и соответственно страховой организацией, иностранной страховой организацией, обществом взаимного страхования, саморегулируемой организацией в сфере финансового рынка, объединяющей страховые организации и иностранные страховые организации, саморегулируемой организацией в сфере финансового рынка, объединяющей общества взаимного страхования, профессиональным объединением страховщиков.

5. Привлекаемая организация в соответствии с требованиями, установленными на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", осуществляет внутренний контроль и ежегодно проводит операционный аудит, включая оценку соответствия привлекаемой организации установленным на основании пункта 1 части первой статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)" требованиям к обеспечению защиты информации и требованиям к операционной надежности, с привлечением проверяющей организации. Подготовленные по результатам проведения операционного аудита привлекаемой организации заключение и (или) отчет проверяющей организации направляются соответственно в страховую организацию, иностранную страховую организацию, общество взаимного страхования, саморегулируемую организацию в сфере финансового рынка, объединяющую страховые организации и иностранные страховые организации, саморегулируемую организацию в сфере финансового рынка, объединяющую общества взаимного страхования, профессиональное объединение страховщиков, которые поручили привлекаемой организации в соответствии с пунктом 1 настоящей статьи осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), привлекаемую организацию, а также в Банк России.

6. Привлекаемая организация обязана уведомить страховую организацию, иностранную страховую организацию, общество взаимного страхования, саморегулируемую организацию в сфере финансового рынка, объединяющую страховые организации и иностранные страховые организации, саморегулируемую организацию в сфере финансового рынка, объединяющую общества взаимного страхования, профессиональное объединение страховщиков, которые поручили привлекаемой организации в соответствии с пунктом 1 настоящей статьи осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), о намерении расторгнуть договор, предусмотренный пунктом 1 настоящей статьи, не позднее шести месяцев до предполагаемой даты расторжения этого договора и обеспечить сохранность такой информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) до момента ее передачи таким страховой организации, иностранной страховой организации, обществу взаимного страхования, саморегулируемой организации в сфере финансового рынка, объединяющей страховые организации и иностранные страховые организации, саморегулируемой организации в сфере финансового рынка, объединяющей общества взаимного страхования, профессиональному объединению страховщиков. Страховая организация, иностранная страховая организация, общество взаимного страхования, саморегулируемая организация в сфере финансового рынка, объединяющая страховые организации и иностранные страховые организации, саморегулируемая организация в сфере финансового рынка, объединяющая общества взаимного страхования, профессиональное объединение страховщиков, которые в соответствии с пунктом 1 настоящей статьи поручили привлекаемой организации осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), до предполагаемой даты расторжения договора, предусмотренного пунктом 1 настоящей статьи, обязаны принять от привлекаемой организации ранее переданную ей указанными страховой организацией, иностранной страховой организацией, обществом взаимного страхования, саморегулируемой организацией в сфере финансового рынка, объединяющей страховые организации и иностранные страховые организации, саморегулируемой организацией в сфере финансового рынка, объединяющей общества взаимного страхования, профессиональным объединением страховщиков информацию ограниченного доступа (за исключением сведений, отнесенных к государственной тайне).

7. Договором, указанным в пункте 1 настоящей статьи, должны быть предусмотрены:

1) порядок направления привлекаемой организацией в страховую организацию, иностранную страховую организацию, общество взаимного страхования, саморегулируемую организацию в сфере финансового рынка, объединяющую страховые организации и иностранные страховые организации, саморегулируемую организацию в сфере финансового рынка, объединяющую общества взаимного страхования, профессиональное объединение страховщиков на ежеквартальной основе информации о соблюдении целевых показателей оказания услуг привлекаемой организацией в части обеспечения защиты информации и операционной надежности, а также состав такой информации;

2) формы и порядок направления привлекаемой организацией в страховую организацию, иностранную страховую организацию, общество взаимного страхования, саморегулируемую организацию в сфере финансового рынка, объединяющую страховые организации и иностранные страховые организации, саморегулируемую организацию в сфере финансового рынка, объединяющую общества взаимного страхования, профессиональное объединение страховщиков информации об инцидентах, связанных с нарушением требований к обеспечению защиты информации, инцидентах, связанных с нарушением требований к операционной надежности, которые произошли в период деятельности привлекаемой организации, осуществляемой на основании указанного договора, в течение двух часов с момента их выявления привлекаемой организацией;

3) ответственность привлекаемой организации и ее работников за разглашение полученной от страховой организации, иностранной страховой организации, общества взаимного страхования, саморегулируемой организации в сфере финансового рынка, объединяющей страховые организации и иностранные страховые организации, саморегулируемой организации в сфере финансового рынка, объединяющей общества взаимного страхования, профессионального объединения страховщиков в соответствии с настоящим Законом и другими федеральными законами информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне);

4) порядок направления уведомления, предусмотренного пунктом 6 настоящей статьи.

8. В случае разглашения привлекаемой организацией и (или) ее работниками информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), полученной от страховой организации, иностранной страховой организации, общества взаимного страхования, саморегулируемой организации в сфере финансового рынка, объединяющей страховые организации и иностранные страховые организации, саморегулируемой организации в сфере финансового рынка, объединяющей общества взаимного страхования, профессионального объединения страховщиков в соответствии с настоящим Законом и другими федеральными законами, страховая организация, иностранная страховая организация, общество взаимного страхования, саморегулируемая организация в сфере финансового рынка, объединяющая страховые организации и иностранные страховые организации, саморегулируемая организация в сфере финансового рынка, объединяющая общества взаимного страхования, профессиональное объединение страховщиков и привлекаемая организация несут ответственность в соответствии с законодательством Российской Федерации.

9. Страховая организация (за исключением страховой медицинской организации, осуществляющей деятельность исключительно в сфере обязательного медицинского страхования), страховой брокер, иностранная страховая организация, общество взаимного страхования обязаны хранить с использованием информационных систем и их компонентов сведения об операциях (о сделках) не менее пяти лет с момента их совершения.".

Статья 3

Главу 2 Федерального закона от 22 апреля 1996 года N 39-ФЗ "О рынке ценных бумаг" (Собрание законодательства Российской Федерации, 1996, N 17, ст. 1918) дополнить статьей 10.2-3 следующего содержания:

"Статья 10.2-3. Взаимодействие профессиональных участников рынка ценных бумаг и организаций, привлекаемых к обработке информации ограниченного доступа

1. Профессиональные участники рынка ценных бумаг, указанные в статьях 7, 8 и 8.1 настоящего Федерального закона, в соответствии с порядком и требованиями, которые установлены Банком России на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", вправе поручить по истечении 60 дней, следующих за днем направления уведомления в Банк России в соответствии с пунктом 2 настоящей статьи, при отсутствии решения Банка России, принятого на основании пункта 1 части четвертой статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", организации, указанной в пункте 3 настоящей статьи (далее для целей настоящей статьи - привлекаемая организация), с учетом ограничений, установленных законодательством Российской Федерации, осуществление сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения информации ограниченного доступа, указанной в подпункте 3 пункта 5 статьи 8.1 и статье 8.6 настоящего Федерального закона (за исключением сведений, отнесенных к государственной тайне), с использованием информационных систем и их компонентов, принадлежащих на законном основании привлекаемой организации, находящихся на территории Российской Федерации, на основании заключенного в соответствии с гражданским законодательством с привлекаемой организацией договора. Профессиональные участники рынка ценных бумаг, указанные в статьях 7, 8 и 8.1 настоящего Федерального закона, вправе поручить привлекаемой организации осуществление сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения персональных данных в соответствии с настоящим пунктом без согласия субъектов персональных данных при условии соответствия договора, предусмотренного настоящим пунктом, требованиям части 3 статьи 6 Федерального закона от 27 июля 2006 года N 152-ФЗ "О персональных данных". Привлекаемая организация, которой профессиональный участник рынка ценных бумаг, указанный в статьях 7, 8 и 8.1 настоящего Федерального закона, поручил осуществлять указанные в настоящем пункте действия с информацией ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), осуществляет с такой информацией только те действия, которые соответствуют правам и обязанностям данного профессионального участника рынка ценных бумаг при обработке такой информации.

2. Профессиональные участники рынка ценных бумаг, указанные в статьях 7, 8 и 8.1 настоящего Федерального закона, обязаны уведомить Банк России о намерении поручить привлекаемой организации осуществление указанных в пункте 1 настоящей статьи действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) до такого поручения. К уведомлению, указанному в настоящем пункте, прилагаются заключение и (или) отчет организации, которая имеет лицензии федерального органа исполнительной власти, уполномоченного в области противодействия техническим разведкам и технической защиты информации, и (или) федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности, полученные в порядке, предусмотренном законодательством Российской Федерации, и соответствует требованиям, установленным на основании пункта 2 части первой статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", а также в соответствии с требованиями, установленными на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", проводит операционный аудит привлекаемой организации, включая оценку соответствия привлекаемой организации установленным на основании пункта 1 части первой статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)" требованиям к обеспечению защиты информации и требованиям к операционной надежности (далее для целей настоящей статьи - проверяющая организация). Указанное уведомление направляется в форме электронного документа, подписывается усиленной квалифицированной электронной подписью уполномоченного лица и должно содержать следующие сведения:

1) наименование, адрес профессионального участника рынка ценных бумаг, указанного в статьях 7, 8 и 8.1 настоящего Федерального закона;

2) фамилии, имена, отчества (при наличии), номера контактных телефонов, адреса электронной почты работников привлекаемой организации, которые осуществляют функции по обеспечению информационной безопасности привлекаемой организации, а также специальных должностных лиц привлекаемой организации, ответственных за обеспечение сохранности информации ограниченного доступа;

3) наименование привлекаемой организации, которой планируется поручить осуществление указанных в пункте 1 настоящей статьи действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне);

4) сведения, подтверждающие соответствие привлекаемой организации требованиям, установленным статьей 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", и соответствие проверяющей организации требованиям, установленным на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)".

3. Под привлекаемыми организациями понимаются организации, осуществляющие деятельность в области информационных технологий, аккредитованные в порядке, установленном законодательством Российской Федерации, а также банки с универсальной лицензией, некредитные финансовые организации - юридические лица, которые указаны в пункте 1 (за исключением профессиональных участников рынка ценных бумаг, указанных в статьях 4.1 и 6.1 настоящего Федерального закона) и пунктах 8 и 9 (за исключением иностранных страховых организаций) части первой статьи 76.1 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", которые находятся под контролем Российской Федерации, и (или) субъекта Российской Федерации, и (или) муниципального образования, и (или) гражданина Российской Федерации, не имеющего гражданства другого государства, и (или) контролируемых ими совместно или по отдельности лиц. Для целей настоящей статьи под контролем понимается возможность определять решения, принимаемые банками с универсальной лицензией, некредитными финансовыми организациями - юридическими лицами, указанными в настоящем пункте, в силу наличия права прямо или косвенно распоряжаться более чем 50 процентами общего количества голосов, приходящихся на голосующие акции (доли), составляющие уставный капитал данных банков с универсальной лицензией, некредитных финансовых организаций - юридических лиц.

4. Привлекаемая организация и ее работники в соответствии с порядком и требованиями, которые установлены Банком России на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", обязаны обеспечить защиту полученной от профессиональных участников рынка ценных бумаг, указанных в статьях 7, 8 и 8.1 настоящего Федерального закона, в соответствии с настоящим Федеральным законом и другими федеральными законами информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), в том числе контроль за отсутствием несанкционированного доступа к информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), и в случае ее разглашения несут ответственность в соответствии с законодательством Российской Федерации и договором, заключенным в соответствии с гражданским законодательством между привлекаемой организацией и профессиональным участником рынка ценных бумаг, указанным в статьях 7, 8 и 8.1 настоящего Федерального закона.

5. Привлекаемая организация в соответствии с требованиями, установленными на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", осуществляет внутренний контроль и ежегодно проводит операционный аудит, включая оценку соответствия привлекаемой организации установленным на основании пункта 1 части первой статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)" требованиям к обеспечению защиты информации и требованиям к операционной надежности, с привлечением проверяющей организации. Подготовленные по результатам проведения операционного аудита привлекаемой организации заключение и (или) отчет проверяющей организации направляются профессиональному участнику рынка ценных бумаг, который поручил привлекаемой организации в соответствии с пунктом 1 настоящей статьи осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), в привлекаемую организацию, а также в Банк России.

6. Привлекаемая организация обязана уведомить профессионального участника рынка ценных бумаг, который в соответствии с пунктом 1 настоящей статьи поручил привлекаемой организации осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), о намерении расторгнуть договор, предусмотренный пунктом 1 настоящей статьи, не позднее шести месяцев до предполагаемой даты расторжения этого договора и обеспечить сохранность информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) до момента ее передачи такому профессиональному участнику рынка ценных бумаг. Профессиональный участник рынка ценных бумаг, который в соответствии с пунктом 1 настоящей статьи поручил привлекаемой организации осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), до предполагаемой даты расторжения договора, предусмотренного пунктом 1 настоящей статьи, обязан принять от привлекаемой организации ранее переданную ей указанным профессиональным участником рынка ценных бумаг информацию ограниченного доступа (за исключением сведений, отнесенных к государственной тайне).

7. Договором, указанным в пункте 1 настоящей статьи, должны быть предусмотрены:

1) порядок направления привлекаемой организацией профессиональному участнику рынка ценных бумаг, указанному в статьях 7, 8 и 8.1 настоящего Федерального закона, на ежеквартальной основе информации о соблюдении целевых показателей оказания услуг привлекаемой организацией в части обеспечения защиты информации и операционной надежности, а также состав такой информации;

2) формы и порядок направления привлекаемой организацией профессиональному участнику рынка ценных бумаг, указанному в статьях 7, 8 и 8.1 настоящего Федерального закона, информации об инцидентах, связанных с нарушением требований к обеспечению защиты информации, инцидентах, связанных с нарушением требований к операционной надежности, которые произошли в период деятельности привлекаемой организации, осуществляемой на основании указанного договора, в течение двух часов с момента их выявления привлекаемой организацией;

3) ответственность привлекаемой организации и ее работников за разглашение полученной от профессиональных участников рынка ценных бумаг, указанных в статьях 7, 8 и 8.1 настоящего Федерального закона, в соответствии с настоящим Федеральным законом и другими федеральными законами информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне);

4) порядок направления уведомления, предусмотренного пунктом 6 настоящей статьи.

8. В случае разглашения привлекаемой организацией и (или) ее работниками информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), полученной от профессиональных участников рынка ценных бумаг, указанных в статьях 7, 8 и 8.1 настоящего Федерального закона, в соответствии с настоящим Федеральным законом и другими федеральными законами, профессиональные участники рынка ценных бумаг, указанные в статьях 7, 8 и 8.1 настоящего Федерального закона, и привлекаемая организация несут ответственность в соответствии с законодательством Российской Федерации.

9. Профессиональные участники рынка ценных бумаг (за исключением профессиональных участников рынка ценных бумаг, осуществляющих деятельность исключительно по инвестиционному консультированию) обязаны хранить с использованием информационных систем и их компонентов сведения о совершенных их клиентами операциях (сделках) в течение не менее пяти лет с момента их совершения.".

Статья 4

Статью 15 Федерального закона от 7 мая 1998 года N 75-ФЗ "О негосударственных пенсионных фондах" (Собрание законодательства Российской Федерации, 1998, N 19, ст. 2071; 2013, N 19, ст. 2326; N 30, ст. 4084; N 52, ст. 6975; 2014, N 30, ст. 4219; 2023, N 29, ст. 5317) дополнить частями седьмой - шестнадцатой следующего содержания:

"Фонд в соответствии с порядком и требованиями, которые установлены Банком России на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", вправе поручить по истечении 60 дней, следующих за днем направления уведомления в Банк России в соответствии с частью восьмой настоящей статьи, при отсутствии решения Банка России, принятого на основании пункта 1 части четвертой статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", организации, указанной в части девятой настоящей статьи (далее для целей настоящей статьи - привлекаемая организация), с учетом ограничений, установленных законодательством Российской Федерации, осуществление сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения информации ограниченного доступа, указанной в настоящей статье (за исключением сведений, отнесенных к государственной тайне), с использованием информационных систем и их компонентов, принадлежащих на законном основании привлекаемым организациям и находящихся на территории Российской Федерации, на основании заключенного в соответствии с гражданским законодательством с привлекаемой организацией договора. Фонд вправе поручить привлекаемой организации осуществление сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения персональных данных в соответствии с настоящей частью без согласия субъектов персональных данных при условии соответствия договора, предусмотренного настоящей частью, требованиям части 3 статьи 6 Федерального закона от 27 июля 2006 года N 152-ФЗ "О персональных данных". Привлекаемая организация, которой фонд поручил осуществлять указанные в настоящей части действия с информацией ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), осуществляет с такой информацией только те действия, которые соответствуют правам и обязанностям данного фонда при обработке такой информации.

Фонд обязан уведомить Банк России о намерении поручить привлекаемой организации осуществление указанных в части седьмой настоящей статьи действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) до такого поручения. К уведомлению, указанному в настоящей части, прилагаются заключение и (или) отчет организации, которая имеет лицензии федерального органа исполнительной власти, уполномоченного в области противодействия техническим разведкам и технической защиты информации, и (или) федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности, полученные в порядке, предусмотренном законодательством Российской Федерации, и соответствует требованиям, установленным на основании пункта 2 части первой статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", а также в соответствии с требованиями, установленными на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", проводит операционный аудит привлекаемой организации, включая оценку соответствия привлекаемой организации установленным на основании пункта 1 части первой статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)" требованиям к обеспечению защиты информации и требованиям к операционной надежности (далее для целей настоящей статьи - проверяющая организация). Указанное уведомление направляется в форме электронного документа, подписывается усиленной квалифицированной электронной подписью уполномоченного лица и должно содержать следующие сведения:

наименование, адрес фонда;

фамилии, имена, отчества (при наличии), номера контактных телефонов, адреса электронной почты работников привлекаемой организации, которые осуществляют функции по обеспечению информационной безопасности привлекаемой организации, а также специальных должностных лиц привлекаемой организации, ответственных за обеспечение сохранности информации ограниченного доступа;

наименование привлекаемой организации, которой планируется поручить осуществление указанных в части седьмой настоящей статьи действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне);

сведения, подтверждающие соответствие привлекаемой организации требованиям, установленным статьей 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", и соответствие проверяющей организации требованиям, установленным на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)".

Под привлекаемыми организациями понимаются организации, осуществляющие деятельность в области информационных технологий, аккредитованные в порядке, установленном законодательством Российской Федерации, а также банки с универсальной лицензией, некредитные финансовые организации - юридические лица, которые указаны в пункте 1 (за исключением профессиональных участников рынка ценных бумаг, указанных в статьях 4.1 и 6.1 Федерального закона от 22 апреля 1996 года N 39-ФЗ "О рынке ценных бумаг") и пунктах 8 и 9 (за исключением иностранных страховых организаций) части первой статьи 76.1 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", которые находятся под контролем Российской Федерации, и (или) субъекта Российской Федерации, и (или) муниципального образования, и (или) гражданина Российской Федерации, не имеющего гражданства другого государства, и (или) контролируемых ими совместно или по отдельности лиц. Для целей настоящей статьи под контролем понимается возможность определять решения, принимаемые банками с универсальной лицензией, некредитными финансовыми организациями - юридическими лицами, указанными в настоящей части, в силу наличия права прямо или косвенно распоряжаться более чем пятьюдесятью процентами общего количества голосов, приходящихся на голосующие акции (доли), составляющие уставный капитал данных банков с универсальной лицензией, некредитных финансовых организаций - юридических лиц.

Привлекаемая организация и ее работники в соответствии с порядком и требованиями, которые установлены Банком России на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", обязаны обеспечить защиту полученной в соответствии с настоящим Федеральным законом и другими федеральными законами от фонда информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), в том числе контроль за отсутствием несанкционированного доступа к указанной информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), и в случае ее разглашения несут ответственность в соответствии с законодательством Российской Федерации и договором, заключенным в соответствии с гражданским законодательством между привлекаемой организацией и фондом.

Привлекаемая организация в соответствии с требованиями, установленными на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", осуществляет внутренний контроль и ежегодно проводит операционный аудит, включая оценку соответствия привлекаемой организации установленным на основании пункта 1 части первой статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)" требованиям к обеспечению защиты информации и требованиям к операционной надежности, с привлечением проверяющей организации. Подготовленные по результатам проведения операционного аудита привлекаемой организации заключение и (или) отчет проверяющей организации направляются в фонд, который поручил привлекаемой организации в соответствии с частью седьмой настоящей статьи осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), привлекаемую организацию, а также в Банк России.

Привлекаемая организация обязана уведомить фонд, который поручил привлекаемой организации в соответствии с частью седьмой настоящей статьи осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), о намерении расторгнуть договор, предусмотренный частью седьмой настоящей статьи, не позднее шести месяцев до предполагаемой даты расторжения этого договора и обеспечить сохранность информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) до момента ее передачи указанному фонду. Фонд, который в соответствии с частью седьмой настоящей статьи поручил привлекаемой организации осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), до предполагаемой даты расторжения договора, предусмотренного частью седьмой настоящей статьи, обязан принять от привлекаемой организации ранее переданную ей указанным фондом информацию ограниченного доступа (за исключением сведений, отнесенных к государственной тайне).

Договором, указанным в части седьмой настоящей статьи, должны быть предусмотрены:

порядок направления привлекаемой организацией в фонд на ежеквартальной основе информации о соблюдении целевых показателей оказания услуг привлекаемой организацией в части обеспечения защиты информации и операционной надежности, а также состав такой информации;

формы и порядок направления привлекаемой организацией в фонд информации об инцидентах, связанных с нарушением требований к обеспечению защиты информации, инцидентах, связанных с нарушением требований к операционной надежности, которые произошли в период деятельности привлекаемой организации, осуществляемой на основании указанного договора, в течение двух часов с момента их выявления привлекаемой организацией;

ответственность привлекаемой организации и ее работников за разглашение полученной от фонда в соответствии с настоящим Федеральным законом и другими федеральными законами информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне);

порядок направления уведомления, предусмотренного частью двенадцатой настоящей статьи.

В случае разглашения привлекаемой организацией и (или) ее работниками информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), полученной от фонда в соответствии с настоящим Федеральным законом и другими федеральными законами, фонд и привлекаемая организация несут ответственность в соответствии с законодательством Российской Федерации.

Требования частей седьмой - четырнадцатой настоящей статьи не распространяются на случаи передачи информации, предусмотренные частями пятой и шестой настоящей статьи.

Фонд обязан хранить с использованием информационных систем и их компонентов сведения о совершенных операциях (сделках) в части осуществления деятельности по негосударственному пенсионному обеспечению и формированию долгосрочных сбережений в течение не менее пяти лет с момента их совершения.".

Статья 5

Внести в Федеральный закон от 7 августа 2001 года N 115-ФЗ "О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма" (Собрание законодательства Российской Федерации, 2001, N 33, ст. 3418; 2002, N 44, ст. 4296; 2004, N 31, ст. 3224; 2006, N 31, ст. 3446; 2007, N 16, ст. 1831; N 49, ст. 6036; 2009, N 23, ст. 2776; 2010, N 30, ст. 4007; 2011, N 27, ст. 3873; N 46, ст. 6406; 2013, N 26, ст. 3207; N 52, ст. 6968; 2014, N 19, ст. 2315; N 23, ст. 2934; N 30, ст. 4219; 2015, N 1, ст. 37; N 18, ст. 2614; N 24, ст. 3367; N 27, ст. 3945, 4001; 2016, N 1, ст. 23, 27, 43, 44; N 26, ст. 3860; N 27, ст. 4196; 2017, N 31, ст. 4830; 2018, N 1, ст. 54, 66; N 18, ст. 2560, 2576; N 53, ст. 8491; 2019, N 12, ст. 1222, 1223; N 27, ст. 3534, 3538; N 30, ст. 4152; N 31, ст. 4418, 4430; N 49, ст. 6953; N 51, ст. 7490; N 52, ст. 7798; 2020, N 9, ст. 1138; N 15, ст. 2239; N 29, ст. 4518; N 30, ст. 4738; N 31, ст. 5018; 2021, N 1, ст. 18, 75; N 9, ст. 1469; N 24, ст. 4183; N 27, ст. 5061, 5094, 5171, 5183; N 47, ст. 7739; N 52, ст. 8982; 2022, N 1, ст. 52; N 16, ст. 2613; N 27, ст. 4620; N 29, ст. 5298; 2023, N 1, ст. 16, 54; N 12, ст. 1887, 1889; N 18, ст. 3242; N 25, ст. 4449; N 29, ст. 5316, 5326; N 43, ст. 7602; 2024, N 12, ст. 1569; N 23, ст. 3057, 3060; N 31, ст. 4470; N 33, ст. 4950, 4971; N 53, ст. 8531, 8532; 2025, N 14, ст. 1574; N 15, ст. 1793; N 17, ст. 2110; N 21, ст. 2526; N 51, ст. 7981, 7998; N 52, ст. 8309; 2026, N 8, ст. 779; N 24, ст. 3104) следующие изменения:

1) статью 7 дополнить пунктом 4.1 следующего содержания:

"4.1. Кредитные организации вправе в соответствии со статьями 30.2 и 30.3 Федерального закона "О банках и банковской деятельности" осуществлять запись, накопление, хранение, извлечение, использование, удаление, уничтожение информации, образующейся в соответствии с настоящим Федеральным законом и принятыми на его основе нормативными актами Центрального банка Российской Федерации, с использованием информационных систем и их компонентов, принадлежащих на законном основании банку с универсальной лицензией, организации, осуществляющей деятельность в области информационных технологий, аккредитованной в порядке, установленном законодательством Российской Федерации, иностранному банку.

Профессиональные участники рынка ценных бумаг, указанные в статьях 7, 8 и 8.1 Федерального закона от 22 апреля 1996 года N 39-ФЗ "О рынке ценных бумаг", негосударственные пенсионные фонды, страховые организации, иностранные страховые организации, общества взаимного страхования, микрофинансовые организации в соответствии с федеральными законами, регулирующими деятельность указанных организаций, вправе осуществлять запись, накопление, хранение, извлечение, использование, удаление, уничтожение информации, образующейся в соответствии с настоящим Федеральным законом и принятыми на его основе нормативными актами Центрального банка Российской Федерации, с использованием информационных систем и их компонентов, принадлежащих на законном основании банку с универсальной лицензией, профессиональному участнику рынка ценных бумаг (за исключением профессиональных участников рынка ценных бумаг, указанных в статьях 4.1 и 6.1 Федерального закона от 22 апреля 1996 года N 39-ФЗ "О рынке ценных бумаг"), страховой организации (за исключением страховых медицинских организаций, осуществляющих деятельность исключительно в сфере обязательного медицинского страхования), страховому брокеру, обществу взаимного страхования, организации, осуществляющей деятельность в области информационных технологий, аккредитованной в порядке, установленном законодательством Российской Федерации.";

2) статью 7.1-1 дополнить пунктом 5 следующего содержания:

"5. Организаторы торговли, клиринговые организации, центральные контрагенты в соответствии с федеральными законами, регулирующими деятельность указанных организаций, вправе осуществлять запись, накопление, хранение, извлечение, использование, удаление, уничтожение информации, образующейся в соответствии с настоящим Федеральным законом и принятыми на его основе нормативными актами Центрального банка Российской Федерации, с использованием информационных систем и их компонентов, принадлежащих на законном основании банку с универсальной лицензией, профессиональному участнику рынка ценных бумаг (за исключением профессиональных участников рынка ценных бумаг, указанных в статьях 4.1 и 6.1 Федерального закона от 22 апреля 1996 года N 39-ФЗ "О рынке ценных бумаг"), страховой организации (за исключением страховых медицинских организаций, осуществляющих деятельность исключительно в сфере обязательного медицинского страхования), страховому брокеру, обществу взаимного страхования, организатору торговли, клиринговой организации, центральному контрагенту, организации, осуществляющей деятельность в области информационных технологий, аккредитованной в порядке, установленном законодательством Российской Федерации.".

Статья 6

Федеральный закон от 29 ноября 2001 года N 156-ФЗ "Об инвестиционных фондах" (Собрание законодательства Российской Федерации, 2001, N 49, ст. 4562) дополнить статьей 45.1 следующего содержания:

"Статья 45.1. Взаимодействие специализированного депозитария с организациями, привлекаемыми к обработке информации ограниченного доступа

1. Специализированный депозитарий в соответствии с порядком и требованиями, которые установлены Банком России на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", вправе поручить по истечении 60 дней, следующих за днем направления уведомления в Банк России в соответствии с пунктом 2 настоящей статьи, при отсутствии решения Банка России, принятого на основании пункта 1 части четвертой статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", организации, указанной в пункте 3 настоящей статьи (далее для целей настоящей статьи - привлекаемая организация), с учетом ограничений, установленных законодательством Российской Федерации, осуществление сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) с использованием информационных систем и их компонентов, принадлежащих на законном основании привлекаемой организации и находящихся на территории Российской Федерации, на основании заключенного в соответствии с гражданским законодательством с привлекаемой организацией договора. Специализированный депозитарий вправе поручить привлекаемой организации осуществление сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения персональных данных в соответствии с настоящим пунктом без согласия субъектов персональных данных при условии соответствия договора, предусмотренного настоящим пунктом, требованиям части 3 статьи 6 Федерального закона от 27 июля 2006 года N 152-ФЗ "О персональных данных". Привлекаемая организация, которой специализированный депозитарий поручил осуществлять указанные в настоящем пункте действия с информацией ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), осуществляет с такой информацией только те действия, которые соответствуют правам и обязанностям данного специализированного депозитария при обработке такой информации.

2. Специализированный депозитарий обязан уведомить Банк России о намерении поручить привлекаемой организации осуществление указанных в пункте 1 настоящей статьи действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) до такого поручения. К уведомлению, указанному в настоящем пункте, прилагаются заключение и (или) отчет организации, которая имеет лицензии федерального органа исполнительной власти, уполномоченного в области противодействия техническим разведкам и технической защиты информации, и (или) федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности, полученные в порядке, предусмотренном законодательством Российской Федерации, и соответствует требованиям, установленным на основании пункта 2 части первой статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", а также в соответствии с требованиями, установленными на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", проводит операционный аудит привлекаемой организации, включая оценку соответствия привлекаемой организации установленным на основании пункта 1 части первой статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)" требованиям к обеспечению защиты информации и требованиям к операционной надежности (далее для целей настоящей статьи - проверяющая организация). Указанное уведомление направляется в форме электронного документа, подписывается усиленной квалифицированной электронной подписью уполномоченного лица и должно содержать следующие сведения:

1) наименование, адрес специализированного депозитария;

2) фамилии, имена, отчества (при наличии), номера контактных телефонов, адреса электронной почты работников привлекаемой организации, которые осуществляют функции по обеспечению информационной безопасности привлекаемой организации, а также специальных должностных лиц привлекаемой организации, ответственных за обеспечение сохранности информации ограниченного доступа;

3) наименование привлекаемой организации, которой планируется поручить осуществление указанных в пункте 1 настоящей статьи действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне);

4) сведения, подтверждающие соответствие привлекаемой организации требованиям, установленным статьей 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", и соответствие проверяющей организации требованиям, установленным на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)".

3. Под привлекаемыми организациями понимаются организации, осуществляющие деятельность в области информационных технологий, аккредитованные в порядке, установленном законодательством Российской Федерации, а также банки с универсальной лицензией, некредитные финансовые организации - юридические лица, которые указаны в пункте 1 (за исключением профессиональных участников рынка ценных бумаг, указанных в статьях 4.1 и 6.1 Федерального закона от 22 апреля 1996 года N 39-ФЗ "О рынке ценных бумаг") и пунктах 5 - 9 (за исключением иностранных страховых организаций) части первой статьи 76.1 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", находятся под контролем Российской Федерации, и (или) субъекта Российской Федерации, и (или) муниципального образования, и (или) гражданина Российской Федерации, не имеющего гражданства другого государства, и (или) контролируемых ими совместно или по отдельности лиц. Для целей настоящей статьи под контролем понимается возможность определять решения, принимаемые банками с универсальной лицензией, некредитными финансовыми организациями - юридическими лицами, указанными в настоящем пункте, в силу наличия права прямо или косвенно распоряжаться более чем пятьюдесятью процентами общего количества голосов, приходящихся на голосующие акции (доли), составляющие уставный капитал данных банков с универсальной лицензией, некредитных финансовых организаций - юридических лиц.

4. Привлекаемая организация и ее работники обязаны обеспечить защиту полученной от специализированного депозитария в соответствии с настоящим Федеральным законом и другими федеральными законами информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) и в случае ее разглашения несут ответственность в соответствии с законодательством Российской Федерации и договором, заключенным в соответствии с гражданским законодательством между привлекаемой организацией и специализированным депозитарием.

5. Привлекаемая организация в соответствии с требованиями, установленными на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", осуществляет внутренний контроль и ежегодно проводит операционный аудит, включая оценку соответствия привлекаемой организации установленным на основании пункта 1 части первой статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)" требованиям к обеспечению защиты информации и требованиям к операционной надежности, с привлечением проверяющей организации. Подготовленные по результатам проведения операционного аудита привлекаемой организации заключение и (или) отчет проверяющей организации направляются в специализированный депозитарий, который поручил привлекаемой организации в соответствии с пунктом 1 настоящей статьи осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), привлекаемую организацию, а также в Банк России.

6. Привлекаемая организация обязана уведомить специализированного депозитария, который поручил привлекаемой организации в соответствии с пунктом 1 настоящей статьи осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), о намерении расторгнуть договор, предусмотренный пунктом 1 настоящей статьи, не позднее шести месяцев до предполагаемой даты расторжения этого договора и обеспечить сохранность информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) до момента ее передачи такому специализированному депозитарию. Специализированный депозитарий, который в соответствии с пунктом 1 настоящей статьи поручил привлекаемой организации осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), до предполагаемой даты расторжения договора, предусмотренного пунктом 1 настоящей статьи, обязан принять от привлекаемой организации ранее переданную ей указанным специализированным депозитарием информацию ограниченного доступа (за исключением сведений, отнесенных к государственной тайне).

7. Договором, указанным в пункте 1 настоящей статьи, должны быть предусмотрены:

1) порядок направления привлекаемой организацией в специализированный депозитарий на ежеквартальной основе информации о соблюдении целевых показателей оказания услуг привлекаемой организацией в части обеспечения защиты информации и операционной надежности, а также состав такой информации;

2) формы и порядок направления привлекаемой организацией в специализированный депозитарий информации об инцидентах, связанных с нарушением требований к обеспечению защиты информации, инцидентах, связанных с нарушением требований к операционной надежности, которые произошли в период деятельности привлекаемой организации, осуществляемой на основании указанного договора, в течение двух часов с момента их выявления привлекаемой организацией;

3) ответственность привлекаемой организации и ее работников за разглашение полученной от специализированного депозитария в соответствии с настоящим Федеральным законом и другими федеральными законами информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне);

4) порядок направления уведомления, предусмотренного пунктом 6 настоящей статьи.

8. В случае разглашения привлекаемой организацией и (или) ее работниками информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), полученной от специализированного депозитария в соответствии с настоящим Федеральным законом и другими федеральными законами, специализированный депозитарий и привлекаемая организация несут ответственность в соответствии с законодательством Российской Федерации.".

Статья 7

Внести в Федеральный закон от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)" (Собрание законодательства Российской Федерации, 2002, N 28, ст. 2790; 2013, N 27, ст. 3438; 2014, N 52, ст. 7543; 2018, N 32, ст. 5115; 2019, N 18, ст. 2198; 2020, N 14, ст. 2021; 2021, N 1, ст. 18; N 50, ст. 8405; 2022, N 1, ст. 53; 2024, N 53, ст. 8531; 2025, N 21, ст. 2526; N 52, ст. 8330) следующие изменения:

1) дополнить статьей 57.5-3 следующего содержания:

"Статья 57.5-3. Банк России в целях обеспечения защиты информации и операционной надежности при оказании банковских услуг:

1) устанавливает для кредитных организаций по согласованию с федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, федеральным органом исполнительной власти, осуществляющим функции по выработке и реализации государственной политики и нормативно-правовому регулированию в сфере информационных технологий, и федеральным органом исполнительной власти, осуществляющим функции по противодействию легализации (отмыванию) доходов, полученных преступным путем, финансированию терроризма, экстремистской деятельности и финансированию распространения оружия массового уничтожения, порядок привлечения организации, привлекаемой кредитными организациями к осуществлению сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) с использованием информационных систем и их компонентов, в соответствии со статьями 30.2 и 30.3 Федерального закона "О банках и банковской деятельности" (далее также - организация, привлекаемая кредитными организациями) и взаимодействия с организацией, привлекаемой кредитными организациями, а также требования к организации, привлекаемой кредитными организациями. Такие требования должны содержать:

а) требования к обеспечению защиты информации, включая контроль за отсутствием несанкционированного доступа к информации;

б) требования к операционной надежности;

в) требования к информационным системам и их компонентам;

г) критерии, свидетельствующие о том, что организация, привлекаемая кредитными организациями, не может далее привлекаться к указанному в настоящем пункте новому взаимодействию с кредитными организациями, некредитными финансовыми организациями или лицами, оказывающими профессиональные услуги на финансовом рынке;

д) требования к осуществлению внутреннего контроля организациями, привлекаемыми кредитными организациями;

2) устанавливает для кредитных организаций по согласованию с федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, и федеральным органом исполнительной власти, осуществляющим функции по противодействию легализации (отмыванию) доходов, полученных преступным путем, финансированию терроризма, экстремистской деятельности и финансированию распространения оружия массового уничтожения, порядок согласования привлечения банком с универсальной лицензией, находящимся под контролем иностранного банка, иностранного банка в соответствии со статьей 30.3 Федерального закона "О банках и банковской деятельности";

3) устанавливает по согласованию с федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, и федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, требования к организациям, которые имеют лицензии федерального органа исполнительной власти, уполномоченного в области противодействия техническим разведкам и технической защиты информации, и (или) федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности, полученные в порядке, предусмотренном законодательством Российской Федерации, и в соответствии с требованиями, установленными на основании настоящей статьи, проводят операционный аудит организации, привлекаемой кредитными организациями, включая оценку соответствия организации, привлекаемой кредитными организациями, установленным на основании пункта 1 настоящей части требованиям к обеспечению защиты информации и требованиям к операционной надежности (далее для целей настоящей статьи - проверяющая организация), требования к проведению операционного аудита организации, привлекаемой кредитными организациями.

Банк России вправе направить в кредитную организацию и (или) проверяющую организацию обязательные для исполнения запросы о представлении в Банк России сведений, подтверждающих соответствие организации, привлекаемой кредитными организациями, требованиям, установленным статьей 30.2 Федерального закона "О банках и банковской деятельности" и настоящей статьей, и соответствие проверяющей организации требованиям, установленным на основании настоящей статьи, заключения и (или) отчета проверяющей организации по результатам проведения операционного аудита организации, привлекаемой кредитными организациями. Запрашиваемые сведения и документы направляются в Банк России в сроки, указанные в таких запросах. По результатам рассмотрения указанных в настоящей части сведений, заключения и (или) отчета проверяющей организации в случае выявления несоответствия проверяющей организации требованиям, установленным на основании настоящей статьи, Банк России вправе рекомендовать проведение повторного операционного аудита с привлечением другой проверяющей организации.

Банк России в течение 60 дней, следующих за днем получения уведомления о намерении поручить организации, привлекаемой кредитными организациями, осуществление сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), заключения и (или) отчета проверяющей организации, направленных в соответствии со статьей 30.2 Федерального закона "О банках и банковской деятельности", принимает одно из следующих решений:

1) о запрете привлечения кредитной организацией организации, привлекаемой кредитными организациями, к осуществлению сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) в случае несоблюдения порядка и требований, которые установлены Банком России на основании настоящей статьи, и требований, предусмотренных настоящей статьей, и об уведомлении кредитной организации о таком решении до истечения указанного в настоящей части срока;

2) о разрешении привлечения кредитной организацией организации, привлекаемой кредитными организациями, к осуществлению сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне).

Банк России совместно с федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, и федеральным органом исполнительной власти, осуществляющим функции по противодействию легализации (отмыванию) доходов, полученных преступным путем, финансированию терроризма, экстремистской деятельности и финансированию распространения оружия массового уничтожения, осуществляет согласование привлечения банком с универсальной лицензией, находящимся под контролем иностранного банка, иностранного банка в соответствии со статьей 30.3 Федерального закона "О банках и банковской деятельности" к осуществлению сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) в соответствии с порядком и требованиями, которые установлены Банком России на основании части первой настоящей статьи, при условии соблюдения указанных в части девятой статьи 30.2 Федерального закона "О банках и банковской деятельности" требований к организации, привлекаемой кредитными организациями, а также следующих требований:

1) иностранный банк в соответствии с законодательством соответствующего иностранного государства обладает правом на осуществление банковской деятельности и осуществляет такую деятельность не менее трех лет до момента принятия Банком России решения о согласовании привлечения банком с универсальной лицензией, находящимся под контролем иностранного банка, иностранного банка к осуществлению сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) в соответствии со статьей 30.3 Федерального закона "О банках и банковской деятельности";

2) имеется соглашение между Банком России и уполномоченным органом надзора соответствующего иностранного государства, на территории которого фактически размещается иностранный банк, об обмене информацией в форме, принятой в международной практике;

3) отсутствуют основания предполагать, что привлечение банком с универсальной лицензией, находящимся под контролем иностранного банка, иностранного банка в соответствии со статьей 30.3 Федерального закона "О банках и банковской деятельности" к осуществлению сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) создаст угрозу стабильности банковской системы Российской Федерации и (или) интересам лиц, с которыми осуществляются банковские операции и сделки банком с универсальной лицензией, находящимся под контролем иностранного банка.

Банк России вправе направить в банк с универсальной лицензией, находящийся под контролем иностранного банка, обязательный для исполнения запрос о представлении в Банк России сведений, подтверждающих соответствие иностранного банка требованиям, установленным частью девятой статьи 30.2 Федерального закона "О банках и банковской деятельности", а также настоящей статьей, заключения и (или) отчета проверяющей организации по результатам проведения операционного аудита иностранного банка. Запрашиваемые сведения и документы направляются в Банк России в сроки, указанные в таком запросе. По результатам рассмотрения указанных в настоящей части сведений, заключения и (или) отчета проверяющей организации в случае выявления несоответствия проверяющей организации требованиям, установленным на основании пункта 3 части первой настоящей статьи, Банк России вправе рекомендовать проведение повторного операционного аудита с привлечением другой проверяющей организации.

Банк России принимает решение об отказе в согласовании привлечения банком с универсальной лицензией, находящимся под контролем иностранного банка, иностранного банка в соответствии со статьей 30.3 Федерального закона "О банках и банковской деятельности" к осуществлению сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) в случае несоблюдения требований, предусмотренных частью четвертой настоящей статьи, и требований, предусмотренных частью девятой статьи 30.2 Федерального закона "О банках и банковской деятельности", а также в случае получения от указанных в части первой статьи 30.3 Федерального закона "О банках и банковской деятельности" федеральных органов исполнительной власти решений о запрете привлечения банком с универсальной лицензией, находящимся под контролем иностранного банка, иностранного банка в соответствии со статьей 30.3 Федерального закона "О банках и банковской деятельности".

Банк России осуществляет контроль за соблюдением кредитными организациями порядка и требований, которые установлены на основании части первой настоящей статьи.";

2) статью 74 дополнить частью двадцать второй следующего содержания:

"В случае нарушения кредитной организацией порядка и требований, которые установлены на основании статьи 57.5-3 настоящего Федерального закона, Банк России помимо применения мер, предусмотренных частью первой настоящей статьи, имеет право запретить обработку информации ограниченного доступа с использованием информационных систем и их компонентов, принадлежащих на законном основании организации, привлекаемой кредитными организациями, на срок до шести месяцев.";

3) дополнить статьей 76.4-5 следующего содержания:

"Статья 76.4-5. Банк России в целях обеспечения защиты информации и операционной надежности при оказании финансовых услуг (за исключением банковских услуг):

1) устанавливает для некредитных финансовых организаций по согласованию с федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, федеральным органом исполнительной власти, осуществляющим функции по выработке и реализации государственной политики и нормативно-правовому регулированию в сфере информационных технологий, и федеральным органом исполнительной власти, осуществляющим функции по противодействию легализации (отмыванию) доходов, полученных преступным путем, финансированию терроризма, экстремистской деятельности и финансированию распространения оружия массового уничтожения, порядок привлечения организации, привлекаемой некредитными финансовыми организациями к осуществлению сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) с использованием информационных систем и их компонентов, которые принадлежат на законном основании указанной организации, и соответствуют требованиям, установленным частью второй настоящей статьи (далее - организация, привлекаемая некредитными финансовыми организациями), и взаимодействия с организацией, привлекаемой некредитными финансовыми организациями, а также требования к организации, привлекаемой некредитными финансовыми организациями. В указанный порядок включаются положения о видах некредитных финансовых организаций, которые вправе привлекать организацию, привлекаемую некредитными финансовыми организациями, и взаимодействовать с организацией, привлекаемой некредитными финансовыми организациями, и о видах информации, которая может обрабатываться в рамках таких привлечения и взаимодействия. Такие требования должны содержать:

а) требования к обеспечению защиты информации, включая контроль за отсутствием несанкционированного доступа к указанной информации;

б) требования к операционной надежности;

в) требования к информационным системам и их компонентам;

г) критерии, свидетельствующие о том, что организация, привлекаемая некредитными финансовыми организациями, не может далее привлекаться к указанному в настоящем пункте новому взаимодействию с кредитными организациями, некредитными финансовыми организациями или лицами, оказывающими профессиональные услуги на финансовом рынке;

д) требования к осуществлению внутреннего контроля организациями, привлекаемыми некредитными финансовыми организациями;

2) устанавливает по согласованию с федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, и федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, требования к организациям, которые имеют лицензии федерального органа исполнительной власти, уполномоченного в области противодействия техническим разведкам и технической защиты информации, и (или) федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности, полученные в порядке, предусмотренном законодательством Российской Федерации, и в соответствии с требованиями, установленными на основании настоящей статьи, проводят операционный аудит организации, привлекаемой некредитными финансовыми организациями, включая оценку соответствия организации, привлекаемой некредитными финансовыми организациями, установленным на основании пункта 1 настоящей части требованиям к обеспечению защиты информации и требованиям к операционной надежности (далее для целей настоящей статьи - проверяющая организация), требования к проведению операционного аудита организации, привлекаемой некредитными финансовыми организациями.

Организация, привлекаемая некредитными финансовыми организациями, должна соответствовать следующим требованиям:

1) в отношении организации, привлекаемой некредитными финансовыми организациями, не проводится процедура ликвидации юридического лица, не принято решение о ее исключении из единого государственного реестра юридических лиц в соответствии с законодательством Российской Федерации о государственной регистрации юридических лиц, отсутствует решение (определение) арбитражного суда о введении процедуры банкротства в соответствии с законодательством Российской Федерации о несостоятельности (банкротстве), а также в течение последних двух лет не принимались меры в соответствии со статьей 76.9-4-1 настоящего Федерального закона;

2) в штате организации, привлекаемой некредитными финансовыми организациями, имеются работники, которые осуществляют функции по обеспечению информационной безопасности организации, привлекаемой некредитными финансовыми организациями, а также специальные должностные лица, ответственные за обеспечение сохранности информации, указанной в части первой настоящей статьи;

3) у руководителя организации, привлекаемой некредитными финансовыми организациями, отсутствует неснятая или непогашенная судимость за совершение преступления в сфере экономики или преступления в сфере компьютерной информации;

4) привлечение организации, привлекаемой некредитными финансовыми организациями, и взаимодействие с ней осуществляются в соответствии с порядком, установленным Банком России на основании части первой настоящей статьи;

5) организация, привлекаемая некредитными финансовыми организациями, осуществляет внутренний контроль и ежегодно проводит операционный аудит, включая оценку соответствия организации, привлекаемой некредитными финансовыми организациями, требованиям к обеспечению защиты информации и требованиям к операционной надежности, установленным на основании пункта 1 части первой настоящей статьи, с привлечением проверяющей организации;

6) организация, привлекаемая некредитными финансовыми организациями, лицо, осуществляющее функции единоличного исполнительного органа организации, привлекаемой некредитными финансовыми организациями, отсутствуют в перечне организаций и физических лиц, в отношении которых имеются сведения об их причастности к экстремистской деятельности или терроризму, либо в составляемых в рамках реализации полномочий, предусмотренных главой VII Устава ООН, Советом Безопасности ООН или органами, специально созданными решениями Совета Безопасности ООН, перечнях организаций и физических лиц, связанных с террористическими организациями и террористами или с распространением оружия массового уничтожения;

7) в отношении организации, привлекаемой некредитными финансовыми организациями, лица, осуществляющего функции единоличного исполнительного органа организации, привлекаемой некредитными финансовыми организациями, отсутствует принятое межведомственным координационным органом, осуществляющим функции по противодействию финансированию терроризма и экстремистской деятельности, решение о замораживании (блокировании) денежных средств или иного имущества лица в соответствии со статьей 7.4 Федерального закона от 7 августа 2001 года N 115-ФЗ "О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма";

8) организация, привлекаемая некредитными финансовыми организациями, лицо, осуществляющее функции единоличного исполнительного органа организации, привлекаемой некредитными финансовыми организациями, не являются блокируемыми лицами в соответствии с частью 2.1 статьи 3 Федерального закона от 30 декабря 2006 года N 281-ФЗ "О специальных экономических мерах и принудительных мерах";

9) организация, привлекаемая некредитными финансовыми организациями, лицо, осуществляющее функции единоличного исполнительного органа организации, привлекаемой некредитными финансовыми организациями, не являются лицами, осуществляющими деятельность на территории Российской Федерации без полученной в установленном порядке лицензии, в случае, если законодательство Российской Федерации в отношении такой деятельности предусматривает ее наличие, либо лицами, оказывающими услуги с использованием сайта в информационно-телекоммуникационной сети "Интернет", в случае, если доменное имя этого сайта, указатель страницы этого сайта содержатся в Едином реестре доменных имен, указателей страниц сайтов в информационно-телекоммуникационной сети "Интернет" и сетевых адресов, позволяющих идентифицировать сайты в информационно-телекоммуникационной сети "Интернет", содержащие информацию, распространение которой в Российской Федерации запрещено;

10) лицо, осуществляющее функции единоличного исполнительного органа организации, привлекаемой некредитными финансовыми организациями, не включено в реестр контролируемых лиц, предусмотренный законодательством о правовом положении иностранных граждан в Российской Федерации;

11) организация, привлекаемая некредитными финансовыми организациями, не отнесена Банком России к высокой степени (уровню) риска совершения подозрительных операций в соответствии со статьей 9.1 настоящего Федерального закона;

12) организация, привлекаемая некредитными финансовыми организациями, соответствует иным требованиям, установленным Банком России на основании настоящей статьи.

Банк России вправе направить в некредитную финансовую организацию и (или) проверяющую организацию обязательные для исполнения запросы о представлении в Банк России сведений, подтверждающих соответствие организации, привлекаемой некредитными финансовыми организациями, требованиям, установленным настоящей статьей, и проверяющей организации требованиям, установленным на основании настоящей статьи, заключения и (или) отчета проверяющей организации по результатам проведения операционного аудита организации, привлекаемой некредитными финансовыми организациями. Запрашиваемые сведения и документы направляются в Банк России в сроки, указанные в таких запросах. По результатам рассмотрения указанных в настоящей части сведений, заключения и (или) отчета проверяющей организации в случае выявления несоответствия проверяющей организации требованиям, установленным на основании пункта 2 части первой настоящей статьи, Банк России вправе рекомендовать проведение повторного операционного аудита с привлечением другой проверяющей организации.

Банк России в течение 60 дней, следующих за днем получения уведомления о намерении поручить организации, привлекаемой некредитными финансовыми организациями, осуществление сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), заключения и (или) отчета проверяющей организации по результатам проведения операционного аудита принимает одно из следующих решений:

1) о запрете привлечения некредитной финансовой организацией организации, привлекаемой некредитными финансовыми организациями, к осуществлению сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) в случае несоблюдения порядка и требований, которые установлены Банком России на основании настоящей статьи, и требований, предусмотренных настоящей статьей, и об уведомлении некредитной финансовой организации о таком решении до истечения указанного в настоящей части срока;

2) о разрешении привлечения некредитной финансовой организацией организации, привлекаемой некредитными финансовыми организациями, к осуществлению сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне).

Банк России осуществляет контроль за соблюдением некредитными финансовыми организациями порядка и требований, которые установлены в соответствии с частью первой настоящей статьи.";

4) главу X.1 дополнить статьей 76.9-4-1 следующего содержания:

"Статья 76.9-4-1. В случае нарушения некредитной финансовой организацией порядка и требований, которые установлены на основании статьи 76.4-5 настоящего Федерального закона, Банк России помимо применения иных установленных законодательством Российской Федерации мер в отношении некредитной финансовой организации имеет право запретить обработку информации ограниченного доступа с использованием информационных систем и их компонентов, принадлежащих на законном основании организации, привлекаемой некредитными финансовыми организациями, на срок до шести месяцев.";

5) дополнить статьей 76.9-6-1 следующего содержания:

"Статья 76.9-6-1. Банк России в целях обеспечения защиты информации при оказании профессиональных услуг:

1) устанавливает для лиц, оказывающих профессиональные услуги на финансовом рынке (за исключением кредитных рейтинговых агентств, аудиторских организаций, указанных в части 3 статьи 5.1 Федерального закона от 30 декабря 2008 года N 307-ФЗ "Об аудиторской деятельности"), по согласованию с федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, федеральным органом исполнительной власти, осуществляющим функции по выработке и реализации государственной политики и нормативно-правовому регулированию в сфере информационных технологий, порядок привлечения организации, привлекаемой лицами, оказывающими профессиональные услуги на финансовом рынке, к осуществлению сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) с использованием информационных систем и их компонентов, которые принадлежат на законном основании указанной организации, и соответствуют требованиям, установленным частью второй настоящей статьи (далее - организация, привлекаемая лицами, оказывающими профессиональные услуги на финансовом рынке), и взаимодействия с организацией, привлекаемой лицами, оказывающими профессиональные услуги на финансовом рынке, а также требования к организации, привлекаемой лицами, оказывающими профессиональные услуги на финансовом рынке. Такие требования должны содержать:

а) требования к обеспечению защиты информации;

б) требования к информационным системам и их компонентам;

в) критерии, свидетельствующие о том, что организация, привлекаемая лицами, оказывающими профессиональные услуги на финансовом рынке, не может далее привлекаться к указанному в настоящем пункте новому взаимодействию с кредитными организациями, некредитными финансовыми организациями или лицами, оказывающими профессиональные услуги на финансовом рынке;

г) требования к осуществлению внутреннего контроля организациями, привлекаемыми лицами, оказывающими профессиональные услуги на финансовом рынке;

2) устанавливает по согласованию с федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, и федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, требования к организациям, которые имеют лицензии федерального органа исполнительной власти, уполномоченного в области противодействия техническим разведкам и технической защиты информации, и (или) федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности, полученные в порядке, предусмотренном законодательством Российской Федерации, и в соответствии с требованиями, установленными на основании настоящей статьи, проводят операционный аудит организации, привлекаемой лицами, оказывающими профессиональные услуги на финансовом рынке, включая оценку соответствия организации, привлекаемой лицами, оказывающими профессиональные услуги на финансовом рынке, установленным на основании пункта 1 настоящей части требованиям к обеспечению защиты информации (далее для целей настоящей статьи - проверяющая организация), требования к проведению операционного аудита организации, привлекаемой лицами, оказывающими профессиональные услуги на финансовом рынке.

Организация, привлекаемая лицами, оказывающими профессиональные услуги на финансовом рынке, должна соответствовать следующим требованиям:

1) в отношении организации, привлекаемой лицами, оказывающими профессиональные услуги на финансовом рынке, не проводится процедура ликвидации юридического лица, не принято решение о ее исключении из единого государственного реестра юридических лиц в соответствии с законодательством Российской Федерации о государственной регистрации юридических лиц, отсутствует решение (определение) арбитражного суда о введении процедуры банкротства в соответствии с законодательством Российской Федерации о несостоятельности (банкротстве), а также в течение последних двух лет не принимались меры в соответствии со статьей 76.9-14 настоящего Федерального закона;

2) в штате организации, привлекаемой лицами, оказывающими профессиональные услуги на финансовом рынке, имеются работники, которые осуществляют функции по обеспечению информационной безопасности организации, привлекаемой лицами, оказывающими профессиональные услуги на финансовом рынке, а также специальные должностные лица, ответственные за обеспечение сохранности информации, указанной в части первой настоящей статьи;

3) у руководителя организации, привлекаемой лицами, оказывающими профессиональные услуги на финансовом рынке, отсутствует неснятая или непогашенная судимость за совершение преступления в сфере экономики или преступления в сфере компьютерной информации;

4) привлечение организации, привлекаемой лицами, оказывающими профессиональные услуги на финансовом рынке, и взаимодействие с ней осуществляются в соответствии с порядком, установленным Банком России на основании части первой настоящей статьи;

5) организация, привлекаемая лицами, оказывающими профессиональные услуги на финансовом рынке, осуществляет внутренний контроль и ежегодно проводит операционный аудит, включая оценку соответствия организации, привлекаемой лицами, оказывающими профессиональные услуги на финансовом рынке, требованиям к обеспечению защиты информации, установленным на основании пункта 1 части первой настоящей статьи, с привлечением проверяющих организаций;

6) организация, привлекаемая лицами, оказывающими профессиональные услуги на финансовом рынке, лицо, осуществляющее функции единоличного исполнительного органа организации, привлекаемой лицами, оказывающими профессиональные услуги на финансовом рынке, не являются блокируемыми лицами в соответствии с частью 2.1 статьи 3 Федерального закона от 30 декабря 2006 года N 281-ФЗ "О специальных экономических мерах и принудительных мерах";

7) организация, привлекаемая лицами, оказывающими профессиональные услуги на финансовом рынке, лицо, осуществляющее функции единоличного исполнительного органа организации, привлекаемой лицами, оказывающими профессиональные услуги на финансовом рынке, не являются лицами, осуществляющими деятельность на территории Российской Федерации без полученной в установленном порядке лицензии, в случае, если законодательство Российской Федерации в отношении такой деятельности предусматривает ее наличие, либо лицами, оказывающими услуги с использованием сайта в информационно-телекоммуникационной сети "Интернет", в случае, если доменное имя этого сайта, указатель страницы этого сайта содержатся в Едином реестре доменных имен, указателей страниц сайтов в информационно-телекоммуникационной сети "Интернет" и сетевых адресов, позволяющих идентифицировать сайты в информационно-телекоммуникационной сети "Интернет", содержащие информацию, распространение которой в Российской Федерации запрещено;

8) лицо, осуществляющее функции единоличного исполнительного органа организации, привлекаемой лицом, оказывающим профессиональные услуги на финансовом рынке, не включено в реестр контролируемых лиц, предусмотренный законодательством о правовом положении иностранных граждан в Российской Федерации;

9) организация, привлекаемая лицами, оказывающими профессиональные услуги на финансовом рынке, соответствует иным требованиям, установленным Банком России на основании настоящей статьи.

Банк России вправе направить лицу, оказывающему профессиональные услуги на финансовом рынке, и (или) проверяющей организации обязательные для исполнения запросы о представлении в Банк России сведений, подтверждающих соответствие организации, привлекаемой лицами, оказывающими профессиональные услуги на финансовом рынке, требованиям, установленным настоящей статьей, и проверяющей организации требованиям, установленным на основании настоящей статьи, заключения и (или) отчета проверяющей организации по результатам проведения операционного аудита организации, привлекаемой лицами, оказывающими профессиональные услуги на финансовом рынке. Запрашиваемые сведения и документы направляются в Банк России в сроки, указанные в таких запросах. По результатам рассмотрения указанных в настоящей части сведений, заключения и (или) отчета проверяющей организации в случае выявления несоответствия проверяющей организации требованиям, установленным на основании пункта 2 части первой настоящей статьи, Банк России вправе рекомендовать проведение повторного операционного аудита с привлечением другой проверяющей организации.

Банк России в течение 60 дней, следующих за днем получения уведомления о намерении поручить организации, привлекаемой лицами, оказывающими профессиональные услуги на финансовом рынке, осуществление сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), заключения и (или) отчета проверяющей организации по результатам проведения операционного аудита принимает одно из следующих решений:

1) о запрете привлечения лицами, оказывающими профессиональные услуги на финансовом рынке, организации, привлекаемой лицами, оказывающими профессиональные услуги на финансовом рынке, к осуществлению сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) в случае несоблюдения порядка и требований, которые установлены Банком России на основании настоящей статьи, требований, предусмотренных настоящей статьей, и об уведомлении лица, оказывающего профессиональные услуги на финансовом рынке, о таком решении до истечения указанного в настоящей части срока;

2) о разрешении привлечения лицами, оказывающими профессиональные услуги на финансовом рынке, организации, привлекаемой лицами, оказывающими профессиональные услуги на финансовом рынке, к осуществлению сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне).

Банк России осуществляет контроль за соблюдением лицами, оказывающими профессиональные услуги на финансовом рынке, порядка и требований, которые установлены в соответствии с частью первой настоящей статьи.";

6) главу X.1-1 дополнить статьей 76.9-14 следующего содержания:

"Статья 76.9-14. В случае нарушения лицом, оказывающим профессиональные услуги на финансовом рынке, порядка и требований, которые установлены на основании статьи 76.9-6-1 настоящего Федерального закона, Банк России помимо применения иных установленных законодательством Российской Федерации мер в отношении лица, оказывающего профессиональные услуги на финансовом рынке, имеет право запретить обработку информации ограниченного доступа с использованием информационных систем и их компонентов, принадлежащих на законном основании организации, привлекаемой лицами, оказывающими профессиональные услуги на финансовом рынке, на срок до шести месяцев.".

Статья 8

Внести в статью 23 Федерального закона от 10 декабря 2003 года N 173-ФЗ "О валютном регулировании и валютном контроле" (Собрание законодательства Российской Федерации, 2003, N 50, ст. 4859; 2005, N 30, ст. 3101; 2007, N 29, ст. 3480; 2010, N 47, ст. 6028; 2011, N 29, ст. 4291; N 50, ст. 7348, 7351; 2013, N 30, ст. 4084; 2014, N 11, ст. 1098; 2015, N 27, ст. 3972; N 48, ст. 6716; 2016, N 27, ст. 4218; 2017, N 47, ст. 6851; 2018, N 1, ст. 11; N 15, ст. 2035; N 31, ст. 4835; N 49, ст. 7524; 2019, N 31, ст. 4424; N 42, ст. 5806; 2020, N 31, ст. 5050; N 52, ст. 8592; 2021, N 8, ст. 1199; N 27, ст. 5052; 2022, N 29, ст. 5320; N 50, ст. 8805; 2024, N 1, ст. 28; N 12, ст. 1569; N 33, ст. 4971) следующие изменения:

1) абзац первый части 8 после слов "должностные лица" дополнить словами ", организации, привлекаемые в соответствии с частью 8.3 настоящей статьи, соответствующие требованиям, предусмотренным статьями 57.5-3, 76.4-5, 76.9-6-1 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)" (далее для целей настоящей статьи - привлекаемые организации),";

2) дополнить частью 8.3 следующего содержания:

"8.3. Уполномоченный банк в порядке, предусмотренном статьями 30.2 и 30.3 Федерального закона "О банках и банковской деятельности", вправе поручить привлекаемой организации с учетом ограничений, установленных законодательством Российской Федерации, осуществление сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения информации, связанной с проведением резидентами и нерезидентами валютных операций, открытием и ведением счетов, исполнением резидентами требований части 5 статьи 24 настоящего Федерального закона, с использованием информационных систем и их компонентов, принадлежащих на законном основании привлекаемой организации и находящихся на территории Российской Федерации, на основании заключенного в соответствии с гражданским законодательством с привлекаемой организацией договора. Требования настоящей части не распространяются на информацию, содержащуюся в ведомостях банковского контроля (включая сами ведомости банковского контроля), а также на данные по операциям, которые уполномоченный банк ведет в соответствии с требованиями, установленными Банком России.

В случае разглашения привлекаемой организацией и (или) ее работниками информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), полученной от уполномоченного банка в соответствии с настоящим Федеральным законом и другими федеральными законами, уполномоченный банк и привлекаемая организация несут ответственность в соответствии с законодательством Российской Федерации.".

Статья 9

Статью 9 Федерального закона от 30 декабря 2004 года N 218-ФЗ "О кредитных историях" (Собрание законодательства Российской Федерации, 2005, N 1, ст. 44; 2014, N 26, ст. 3395; 2020, N 31, ст. 5061) дополнить частями 7 - 15 следующего содержания:

"7. Бюро кредитных историй в соответствии с порядком и требованиями, которые установлены Банком России на основании статьи 76.9-6-1 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", вправе поручить по истечении 60 дней, следующих за днем направления уведомления в Банк России в соответствии с частью 8 настоящей статьи, при отсутствии решения Банка России, принятого на основании пункта 1 части четвертой статьи 76.9-6-1 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", организации, указанной в части 9 настоящей статьи (далее для целей настоящей статьи - привлекаемая организация), с учетом ограничений, установленных законодательством Российской Федерации, осуществление сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) с использованием информационных систем и их компонентов, принадлежащих на законном основании привлекаемым организациям и находящихся на территории Российской Федерации, на основании заключенного в соответствии с гражданским законодательством с привлекаемой организацией договора. Бюро кредитных историй вправе поручить привлекаемой организации осуществление сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения персональных данных в соответствии с настоящей частью без согласия субъектов персональных данных при условии соответствия договора, предусмотренного настоящей частью, требованиям части 3 статьи 6 Федерального закона от 27 июля 2006 года N 152-ФЗ "О персональных данных". Привлекаемая организация, которой бюро кредитных историй поручило осуществлять указанные в настоящей части действия с информацией ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), осуществляет с такой информацией только те действия, которые соответствуют правам и обязанностям данного бюро кредитных историй при обработке такой информации.

8. Бюро кредитных историй обязано уведомить Банк России о намерении поручить привлекаемой организации осуществление указанных в части 7 настоящей статьи действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) до такого поручения. К уведомлению, указанному в настоящей части, прилагаются заключение и (или) отчет организации, которая имеет лицензии федерального органа исполнительной власти, уполномоченного в области противодействия техническим разведкам и технической защиты информации, и (или) федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности, полученные в порядке, предусмотренном законодательством Российской Федерации, и соответствует требованиям, установленным на основании пункта 2 части первой статьи 76.9-6-1 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", а также в соответствии с требованиями, установленными на основании статьи 76.9-6-1 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", проводит операционный аудит привлекаемой организации, включая оценку соответствия привлекаемой организации установленным на основании пункта 1 части первой статьи 76.9-6-1 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)" требованиям к обеспечению защиты информации и требованиям к операционной надежности (далее для целей настоящей статьи - проверяющая организация). Указанное уведомление направляется в форме электронного документа, подписывается усиленной квалифицированной электронной подписью уполномоченного лица и должно содержать следующие сведения:

1) наименование, адрес бюро кредитных историй;

2) фамилии, имена, отчества (при наличии), номера контактных телефонов, адреса электронной почты работников привлекаемой организации, которые осуществляют функции по обеспечению информационной безопасности привлекаемой организации, а также специальных должностных лиц привлекаемой организации, ответственных за обеспечение сохранности информации ограниченного доступа;

3) наименование привлекаемой организации, которой планируется поручить осуществление указанных в части 7 настоящей статьи действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне);

4) сведения, подтверждающие соответствие привлекаемой организации требованиям, установленным статьей 76.9-6-1 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", и соответствие проверяющей организации требованиям, установленным на основании статьи 76.9-6-1 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)".

9. Под привлекаемыми организациями понимаются организации, осуществляющие деятельность в области информационных технологий, аккредитованные в порядке, установленном законодательством Российской Федерации, бюро кредитных историй, которые находятся под контролем Российской Федерации, и (или) субъекта Российской Федерации, и (или) муниципального образования, и (или) гражданина Российской Федерации, не имеющего гражданства другого государства, и (или) контролируемых ими совместно или по отдельности лиц. Для целей настоящей статьи под контролем понимается возможность определять решения, принимаемые бюро кредитных историй, указанными в настоящей части, в силу наличия права прямо или косвенно распоряжаться более чем пятьюдесятью процентами общего количества голосов, приходящихся на голосующие акции (доли), составляющие уставный капитал данных бюро кредитных историй.

10. Привлекаемая организация и ее работники обязаны обеспечить защиту информации ограниченного доступа, полученной от бюро кредитных историй в соответствии с настоящим Федеральным законом и другими федеральными законами (за исключением сведений, отнесенных к государственной тайне), и в случае ее разглашения несут ответственность в соответствии с законодательством Российской Федерации и договором, заключенным в соответствии с гражданским законодательством между привлекаемой организацией и бюро кредитных историй.

11. Привлекаемая организация в соответствии с требованиями, установленными на основании статьи 76.9-6-1 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", осуществляет внутренний контроль и ежегодно проводит операционный аудит, включая оценку соответствия привлекаемой организации установленным на основании пункта 1 части первой статьи 76.9-6-1 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)" требованиям к обеспечению защиты информации, с привлечением проверяющей организации. Подготовленные по результатам проведения операционного аудита привлекаемой организации заключение и (или) отчет проверяющей организации направляются в бюро кредитных историй, которое поручило привлекаемой организации в соответствии с частью 7 настоящей статьи осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), привлекаемую организацию, а также в Банк России.

12. Привлекаемая организация обязана уведомить бюро кредитных историй, которое поручило привлекаемой организации в соответствии с частью 7 настоящей статьи осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), о намерении расторгнуть договор, предусмотренный частью 7 настоящей статьи, не позднее шести месяцев до предполагаемой даты расторжения этого договора и обеспечить сохранность такой информации до момента ее передачи указанному бюро кредитных историй. Бюро кредитных историй, которое в соответствии с частью 7 настоящей статьи поручило привлекаемой организации осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), до предполагаемой даты расторжения договора, предусмотренного частью 7 настоящей статьи, обязано принять от привлекаемой организации ранее переданную ей указанным бюро кредитных историй информацию ограниченного доступа.

13. Договором, указанным в части 7 настоящей статьи, должны быть предусмотрены:

1) порядок направления привлекаемой организацией в бюро кредитных историй на ежеквартальной основе информации о соблюдении целевых показателей оказания услуг привлекаемой организацией в части обеспечения защиты информации, а также состав такой информации;

2) формы и порядок направления привлекаемой организацией в бюро кредитных историй информации об инцидентах, связанных с нарушением требований к обеспечению защиты информации, которые произошли в период деятельности привлекаемой организации, осуществляемой на основании указанного договора, в течение двух часов с момента их выявления привлекаемой организацией;

3) ответственность привлекаемой организации и ее работников за разглашение полученной от бюро кредитных историй в соответствии с настоящим Федеральным законом и другими федеральными законами информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне);

4) порядок направления уведомления, предусмотренного частью 12 настоящей статьи.

14. В случае разглашения привлекаемой организацией и (или) ее работниками информации ограниченного доступа, полученной от бюро кредитных историй в соответствии с настоящим Федеральным законом и другими федеральными законами (за исключением сведений, отнесенных к государственной тайне), бюро кредитных историй и привлекаемая организация несут ответственность в соответствии с законодательством Российской Федерации.

15. Требования частей 7 - 14 настоящей статьи не распространяются на случаи заключения договоров, предусмотренные частью 3 настоящей статьи.".

Статья 10

Статью 9 Федерального закона от 2 июля 2010 года N 151-ФЗ "О микрофинансовой деятельности и микрофинансовых организациях" (Собрание законодательства Российской Федерации, 2010, N 27, ст. 3435; 2013, N 30, ст. 4084; N 51, ст. 6695; 2015, N 29, ст. 4357; 2016, N 1, ст. 27; 2018, N 53, ст. 8440; 2019, N 31, ст. 4430; 2020, N 29, ст. 4506; 2021, N 24, ст. 4210; N 50, ст. 8405; 2025, N 7, ст. 541; N 14, ст. 1574; N 52, ст. 8332) дополнить частями 15 - 23 следующего содержания:

"15. Микрофинансовая организация в соответствии с порядком и требованиями, которые установлены Банком России на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", вправе поручить по истечении 60 дней, следующих за днем направления уведомления в Банк России в соответствии с частью 16 настоящей статьи, при отсутствии решения Банка России, принятого на основании пункта 1 части четвертой статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", организации, указанной в части 17 настоящей статьи (далее для целей настоящей статьи - привлекаемая организация), с учетом ограничений, установленных законодательством Российской Федерации, осуществление сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения информации ограниченного доступа, в том числе сведений о заемщиках и об их операциях (за исключением сведений, отнесенных к государственной тайне), с использованием информационных систем и их компонентов, принадлежащих на законном основании привлекаемым организациям и находящихся на территории Российской Федерации, на основании заключенного в соответствии с гражданским законодательством с привлекаемой организацией договора. Микрофинансовая организация вправе поручить привлекаемой организации осуществление сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения персональных данных в соответствии с настоящей частью без согласия субъектов персональных данных при условии соответствия договора, предусмотренного настоящей частью, требованиям части 3 статьи 6 Федерального закона от 27 июля 2006 года N 152-ФЗ "О персональных данных". Привлекаемая организация, которой микрофинансовая организация поручила осуществлять указанные в настоящей части действия с информацией ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), осуществляет с такой информацией только те действия, которые соответствуют правам и обязанностям данной микрофинансовой организации при обработке такой информации.

16. Микрофинансовая организация обязана уведомить Банк России о намерении поручить привлекаемой организации осуществление указанных в части 15 настоящей статьи действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) до такого поручения. К уведомлению, указанному в настоящей части, прилагаются заключение и (или) отчет организации, которая имеет лицензии федерального органа исполнительной власти, уполномоченного в области противодействия техническим разведкам и технической защиты информации, и (или) федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности, полученные в порядке, предусмотренном законодательством Российской Федерации, и соответствует требованиям, установленным на основании пункта 2 части первой статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", а также в соответствии с требованиями, установленными на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", проводит операционный аудит привлекаемой организации, включая оценку соответствия привлекаемой организации установленным на основании пункта 1 части первой статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)" требованиям к обеспечению защиты информации и требованиям к операционной надежности (далее для целей настоящей статьи - проверяющая организация). Указанное уведомление направляется в форме электронного документа, подписывается усиленной квалифицированной электронной подписью уполномоченного лица и должно содержать следующие сведения:

1) наименование, адрес микрофинансовой организации;

2) фамилии, имена, отчества (при наличии), номера контактных телефонов, адреса электронной почты работников привлекаемой организации, которые осуществляют функции по обеспечению информационной безопасности привлекаемой организации, а также специальных должностных лиц привлекаемой организации, ответственных за обеспечение сохранности информации ограниченного доступа;

3) наименование привлекаемой организации, которой планируется поручить осуществление указанных в части 15 настоящей статьи действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне);

4) сведения, подтверждающие соответствие привлекаемой организации требованиям, установленным статьей 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", и соответствие проверяющей организации требованиям, установленным на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)".

17. Под привлекаемыми организациями понимаются организации, осуществляющие деятельность в области информационных технологий, аккредитованные в порядке, установленном законодательством Российской Федерации, а также банки с универсальной лицензией, некредитные финансовые организации - юридические лица, которые указаны в пункте 1 (за исключением профессиональных участников рынка ценных бумаг, указанных в статьях 4.1 и 6.1 Федерального закона от 22 апреля 1996 года N 39-ФЗ "О рынке ценных бумаг"), пунктах 8 и 9 (за исключением иностранных страховых организаций) и пункте 11 части первой статьи 76.1 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", которые находятся под контролем Российской Федерации, и (или) субъекта Российской Федерации, и (или) муниципального образования, и (или) гражданина Российской Федерации, не имеющего гражданства другого государства, и (или) контролируемых ими совместно или по отдельности лиц. Для целей настоящей статьи под контролем понимается возможность определять решения, принимаемые банками с универсальной лицензией, некредитными финансовыми организациями - юридическими лицами, указанными в настоящей части, в силу наличия права прямо или косвенно распоряжаться более чем пятьюдесятью процентами общего количества голосов, приходящихся на голосующие акции (доли), составляющие уставный капитал данных банков с универсальной лицензией, некредитных финансовых организаций - юридических лиц.

18. Привлекаемая организация и ее работники обязаны обеспечить защиту информации ограниченного доступа, полученной от микрофинансовой организации в соответствии с настоящим Федеральным законом и другими федеральными законами (за исключением сведений, отнесенных к государственной тайне), в соответствии с порядком и требованиями, которые установлены Банком России на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", и в случае ее разглашения несут ответственность в соответствии с законодательством Российской Федерации и договором, заключенным в соответствии с гражданским законодательством между привлекаемой организацией и микрофинансовой организацией.

19. Привлекаемая организация в соответствии с требованиями, установленными на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", осуществляет внутренний контроль и ежегодно проводит операционный аудит, включая оценку соответствия привлекаемой организации установленным на основании пункта 1 части первой статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)" требованиям к обеспечению защиты информации и требованиям к операционной надежности, с привлечением проверяющей организации. Подготовленные по результатам проведения операционного аудита привлекаемой организации заключение и (или) отчет проверяющей организации направляются в микрофинансовую организацию, которая поручила привлекаемой организации в соответствии с частью 15 настоящей статьи осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), привлекаемую организацию, а также в Банк России.

20. Привлекаемая организация обязана уведомить микрофинансовую организацию, которая поручила привлекаемой организации в соответствии с частью 15 настоящей статьи осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), о намерении расторгнуть договор, предусмотренный частью 15 настоящей статьи, не позднее шести месяцев до предполагаемой даты расторжения этого договора и обеспечить сохранность такой информации до момента ее передачи такой микрофинансовой организации. Микрофинансовая организация, которая в соответствии с частью 15 настоящей статьи поручила привлекаемой организации осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), до предполагаемой даты расторжения договора, предусмотренного частью 15 настоящей статьи, обязана принять от привлекаемой организации ранее переданную ей указанной микрофинансовой организацией информацию ограниченного доступа.

21. Договором, указанным в части 15 настоящей статьи, должны быть предусмотрены:

1) порядок направления привлекаемой организацией в микрофинансовую организацию на ежеквартальной основе информации о соблюдении целевых показателей оказания услуг привлекаемой организацией в части обеспечения защиты информации и операционной надежности, а также состав такой информации;

2) формы и порядок направления привлекаемой организацией в микрофинансовую организацию информации об инцидентах, связанных с нарушением требований к обеспечению защиты информации, инцидентах, связанных с нарушением требований к операционной надежности, которые произошли в период деятельности привлекаемой организации, осуществляемой на основании указанного договора, в течение двух часов с момента их выявления привлекаемой организацией;

3) ответственность привлекаемой организации и ее работников за разглашение полученной от микрофинансовой организации в соответствии с настоящим Федеральным законом и другими федеральными законами информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне);

4) порядок направления уведомления, предусмотренного частью 20 настоящей статьи.

22. В случае разглашения привлекаемой организацией и (или) ее работниками информации ограниченного доступа, полученной от микрофинансовой организации в соответствии с настоящим Федеральным законом и другими федеральными законами (за исключением сведений, отнесенных к государственной тайне), микрофинансовая организация и привлекаемая организация несут ответственность в соответствии с законодательством Российской Федерации.

23. Микрофинансовая организация обязана хранить с использованием информационных систем и их компонентов сведения о совершенных ее клиентами операциях (сделках) не менее пяти лет с момента их совершения.".

Статья 11

Статью 5 Федерального закона от 7 февраля 2011 года N 7-ФЗ "О клиринге, клиринговой деятельности и центральном контрагенте" (Собрание законодательства Российской Федерации, 2011, N 7, ст. 904; N 48, ст. 6728; 2013, N 30, ст. 4084; 2014, N 11, ст. 1098; 2015, N 27, ст. 4001; N 29, ст. 4357; 2016, N 1, ст. 23; 2017, N 30, ст. 4456; 2018, N 24, ст. 3399; 2023, N 29, ст. 5317; 2024, N 31, ст. 4458) дополнить частями 14.1 - 14.8 следующего содержания:

"14.1. Клиринговая организация, лицо, осуществляющее функции центрального контрагента, в соответствии с порядком и требованиями, которые установлены Банком России на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", вправе поручить по истечении 60 дней, следующих за днем направления уведомления в Банк России в соответствии с частью 14.2 настоящей статьи, при отсутствии решения Банка России, принятого на основании пункта 1 части четвертой статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", организации, указанной в части 14.3 настоящей статьи (далее для целей настоящей статьи - привлекаемая организация), с учетом ограничений, установленных законодательством Российской Федерации, осуществление сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) с использованием информационных систем и их компонентов, принадлежащих на законном основании привлекаемой организации и находящихся на территории Российской Федерации, на основании заключенного в соответствии с гражданским законодательством с привлекаемой организацией договора. Клиринговая организация, лицо, осуществляющее функции центрального контрагента, вправе поручить привлекаемой организации осуществление сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения персональных данных в соответствии с настоящей частью без согласия субъектов персональных данных при условии соответствия договора, предусмотренного настоящей частью, требованиям части 3 статьи 6 Федерального закона от 27 июля 2006 года N 152-ФЗ "О персональных данных". Привлекаемая организация, которой клиринговая организация, лицо, осуществляющее функции центрального контрагента, поручили осуществлять указанные в настоящей части действия с информацией ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), осуществляет с такой информацией только те действия, которые соответствуют правам и обязанностям данных клиринговой организации, лица, осуществляющего функции центрального контрагента, при обработке такой информации.

14.2. Клиринговая организация, лицо, осуществляющее функции центрального контрагента, обязаны уведомить Банк России о намерении поручить привлекаемой организации осуществление указанных в части 14.1 настоящей статьи действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) до такого поручения. К уведомлению, указанному в настоящей части, прилагаются заключение и (или) отчет организации, которая имеет лицензии федерального органа исполнительной власти, уполномоченного в области противодействия техническим разведкам и технической защиты информации, и (или) федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности, полученные в порядке, предусмотренном законодательством Российской Федерации, и соответствует требованиям, установленным на основании пункта 2 части первой статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", а также в соответствии с требованиями, установленными на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", проводит операционный аудит привлекаемой организации, включая оценку соответствия привлекаемой организации установленным на основании пункта 1 части первой статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)" требованиям к обеспечению защиты информации и требованиям к операционной надежности (далее для целей настоящей статьи - проверяющая организация). Указанное уведомление направляется в форме электронного документа, подписывается усиленной квалифицированной электронной подписью уполномоченного лица и должно содержать следующие сведения:

1) наименования, адреса клиринговой организации, лица, осуществляющего функции центрального контрагента;

2) фамилии, имена, отчества (при наличии), номера контактных телефонов, адреса электронной почты работников привлекаемой организации, которые осуществляют функции по обеспечению информационной безопасности привлекаемой организации, а также специальных должностных лиц привлекаемой организации, ответственных за обеспечение сохранности информации ограниченного доступа;

3) наименование привлекаемой организации, которой планируется поручить осуществление указанных в части 14.1 настоящей статьи действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне);

4) сведения, подтверждающие соответствие привлекаемой организации требованиям, установленным статьей 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", и соответствие проверяющей организации требованиям, установленным на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)".

14.3. Под привлекаемыми организациями понимаются организации, осуществляющие деятельность в области информационных технологий, аккредитованные в порядке, установленном законодательством Российской Федерации, а также банки с универсальной лицензией, некредитные финансовые организации - юридические лица, которые указаны в пункте 1 (за исключением профессиональных участников рынка ценных бумаг, указанных в статьях 4.1 и 6.1 Федерального закона от 22 апреля 1996 года N 39-ФЗ "О рынке ценных бумаг") и пунктах 5 - 9 (за исключением иностранных страховых организаций) части первой статьи 76.1 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", которые находятся под контролем Российской Федерации, и (или) субъекта Российской Федерации, и (или) муниципального образования, и (или) гражданина Российской Федерации, не имеющего гражданства другого государства, и (или) контролируемых ими совместно или по отдельности лиц. Для целей настоящей статьи под контролем понимается возможность определять решения, принимаемые банками с универсальной лицензией, некредитными финансовыми организациями - юридическими лицами, указанными в настоящей части, в силу наличия права прямо или косвенно распоряжаться более чем пятьюдесятью процентами общего количества голосов, приходящихся на голосующие акции (доли), составляющие уставный капитал данных банков с универсальной лицензией, некредитных финансовых организаций - юридических лиц.

14.4. Привлекаемая организация и ее работники обязаны обеспечить защиту информации ограниченного доступа, полученной от клиринговой организации, лица, осуществляющего функции центрального контрагента, в соответствии с настоящим Федеральным законом и другими федеральными законами (за исключением сведений, отнесенных к государственной тайне), и в случае ее разглашения несут ответственность в соответствии с законодательством Российской Федерации и договором, заключенным в соответствии с гражданским законодательством между привлекаемой организацией и клиринговой организацией, лицом, осуществляющим функции центрального контрагента.

14.5. Привлекаемая организация в соответствии с требованиями, установленными на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", осуществляет внутренний контроль и ежегодно проводит операционный аудит, включая оценку соответствия привлекаемой организации установленным на основании пункта 1 части первой статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)" требованиям к обеспечению защиты информации и требованиям к операционной надежности, с привлечением проверяющей организации. Подготовленные по результатам проведения операционного аудита привлекаемой организации заключение и (или) отчет проверяющей организации направляются соответственно в клиринговую организацию, лицу, осуществляющему функции центрального контрагента, которые поручили привлекаемой организации в соответствии с частью 14.1 настоящей статьи осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), в привлекаемую организацию, а также в Банк России.

14.6. Привлекаемая организация обязана уведомить клиринговую организацию, лицо, осуществляющее функции центрального контрагента, которые поручили привлекаемой организации в соответствии с частью 14.1 настоящей статьи осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), о намерении расторгнуть договор, предусмотренный частью 14.1 настоящей статьи, не позднее шести месяцев до предполагаемой даты расторжения этого договора и обеспечить сохранность такой информации до момента ее передачи такой клиринговой организации, лицу, осуществляющему функции центрального контрагента. Клиринговая организация, лицо, осуществляющее функции центрального контрагента, которые в соответствии с частью 14.1 настоящей статьи поручили привлекаемой организации осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), до предполагаемой даты расторжения договора, предусмотренного частью 14.1 настоящей статьи, обязаны принять от привлекаемой организации ранее переданную ей указанными клиринговой организацией, лицом, осуществляющем функции центрального контрагента, информацию ограниченного доступа.

14.7. Договором, указанным в части 14.1 настоящей статьи, должны быть предусмотрены:

1) порядок направления привлекаемой организацией в клиринговую организацию, лицу, осуществляющему функции центрального контрагента, на ежеквартальной основе информации о соблюдении целевых показателей оказания услуг привлекаемой организацией в части обеспечения защиты информации и операционной надежности, а также состав такой информации;

2) формы и порядок направления привлекаемой организацией в клиринговую организацию, лицу, осуществляющему функции центрального контрагента, информации об инцидентах, связанных с нарушением требований к обеспечению защиты информации, инцидентах, связанных с нарушением требований к операционной надежности, которые произошли в период деятельности привлекаемой организации, осуществляемой на основании указанного договора, в течение двух часов с момента их выявления привлекаемой организацией;

3) ответственность привлекаемой организации и ее работников за разглашение полученной в соответствии с настоящим Федеральным законом и другими федеральными законами от клиринговой организации, лица, осуществляющего функции центрального контрагента, информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне);

4) порядок направления уведомления, предусмотренного частью 14.6 настоящей статьи.

14.8. В случае разглашения привлекаемой организацией и (или) ее работниками информации ограниченного доступа, полученной от клиринговой организации, лица, осуществляющего функции центрального контрагента, в соответствии с настоящим Федеральным законом и другими федеральными законами (за исключением сведений, отнесенных к государственной тайне), клиринговая организация, лицо, осуществляющее функции центрального контрагента, и привлекаемая организация несут ответственность в соответствии с законодательством Российской Федерации.".

Статья 12

Главу 3 Федерального закона от 27 июня 2011 года N 161-ФЗ "О национальной платежной системе" (Собрание законодательства Российской Федерации, 2011, N 27, ст. 3872) дополнить статьей 19.3 следующего содержания:

"Статья 19.3. Взаимодействие операционных центров, не являющихся кредитными организациями, с организациями, привлекаемыми к обработке информации ограниченного доступа

1. Операционный центр, не являющийся кредитной организацией, в соответствии с порядком и требованиями, которые установлены Банком России на основании настоящей статьи, вправе поручить по истечении 60 дней, следующих за днем направления уведомления в Банк России в соответствии с частью 2 настоящей статьи, при отсутствии решения Банка России, принятого на основании пункта 1 части 12 настоящей статьи, организации, указанной в части 3 настоящей статьи (далее для целей настоящей статьи - привлекаемая организация), с учетом ограничений, установленных законодательством Российской Федерации, осуществление сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) с использованием информационных систем и их компонентов, принадлежащих на законном основании привлекаемой организации и находящихся на территории Российской Федерации, на основании заключенного в соответствии с гражданским законодательством с привлекаемой организацией договора. Операционный центр, не являющийся кредитной организацией, вправе поручить привлекаемой организации осуществление сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения персональных данных в соответствии с настоящей частью без согласия субъектов персональных данных при условии соответствия договора, предусмотренного настоящей частью, требованиям части 3 статьи 6 Федерального закона от 27 июля 2006 года N 152-ФЗ "О персональных данных". Привлекаемая организация, которой операционный центр, не являющийся кредитной организацией, поручил осуществлять указанные в настоящей части действия с информацией ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), осуществляет с такой информацией только те действия, которые соответствуют правам и обязанностям данного операционного центра, не являющегося кредитной организацией, при обработке такой информации. Положения настоящей части не распространяются на случаи осуществления трансграничного перевода денежных средств, а также на случаи, если передача указанной в настоящей части информации требуется для рассмотрения заявлений клиентов участников платежной системы, касающихся использования электронных средств платежа без добровольного согласия клиентов.

2. Операционный центр, не являющийся кредитной организацией, обязан уведомить Банк России о намерении поручить привлекаемой организации осуществление указанных в части 1 настоящей статьи действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) до такого поручения. К уведомлению, указанному в настоящей части, прилагаются заключение и (или) отчет организации, которая имеет лицензии федерального органа исполнительной власти, уполномоченного в области противодействия техническим разведкам и технической защиты информации, и (или) федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности, полученные в порядке, предусмотренном законодательством Российской Федерации, и соответствует требованиям, установленным на основании части 9 настоящей статьи, а также в соответствии с требованиями, установленными на основании настоящей статьи, проводит операционный аудит привлекаемой организации, включая оценку соответствия привлекаемой организации установленным на основании части 8 настоящей статьи требованиям к обеспечению защиты информации (далее для целей настоящей статьи - проверяющая организация). Указанное уведомление направляется в форме электронного документа, подписывается усиленной квалифицированной электронной подписью уполномоченного лица и должно содержать следующие сведения:

1) наименование, адрес операционного центра, не являющегося кредитной организацией;

2) фамилии, имена, отчества (при наличии), номера контактных телефонов, адреса электронной почты работников привлекаемой организации, которые осуществляют функции по обеспечению информационной безопасности привлекаемой организации, а также специальных должностных лиц привлекаемой организации, ответственных за обеспечение сохранности информации ограниченного доступа;

3) наименование привлекаемой организации, которой планируется поручить осуществление указанных в части 1 настоящей статьи действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне);

4) сведения, подтверждающие соответствие привлекаемой организации требованиям, установленным настоящей статьей, и соответствие проверяющей организации требованиям, установленным на основании части 9 настоящей статьи.

3. Под привлекаемыми организациями понимаются организации, осуществляющие деятельность в области информационных технологий, аккредитованные в порядке, установленном законодательством Российской Федерации, а также банки с универсальной лицензией, операционные центры, не являющиеся кредитными организациями, которые находятся под контролем Российской Федерации, и (или) субъекта Российской Федерации, и (или) муниципального образования, и (или) гражданина Российской Федерации, не имеющего гражданства другого государства, и (или) контролируемых ими совместно или по отдельности лиц. Для целей настоящей статьи под контролем понимается возможность определять решения, принимаемые банками с универсальной лицензией, операционными центрами, не являющимися кредитными организациями, указанными в настоящей части, в силу наличия права прямо или косвенно распоряжаться более чем пятьюдесятью процентами общего количества голосов, приходящихся на голосующие акции (доли), составляющие уставный капитал данных банков с универсальной лицензией, операционных центров, не являющихся кредитными организациями.

4. Привлекаемая организация и ее работники обязаны обеспечить защиту информации ограниченного доступа, полученной в соответствии с настоящим Федеральным законом и другими федеральными законами от операционного центра, не являющегося кредитной организацией (за исключением сведений, отнесенных к государственной тайне), и в случае ее разглашения несут ответственность в соответствии с законодательством Российской Федерации и договором, заключенным в соответствии с гражданским законодательством между привлекаемой организацией и операционным центром, не являющимся кредитной организацией.

5. Привлекаемая организация в соответствии с требованиями, установленными на основании настоящей статьи, осуществляет внутренний контроль и ежегодно проводит операционный аудит, включая оценку соответствия привлекаемой организации установленным на основании части 8 настоящей статьи требованиям к обеспечению защиты информации, с привлечением проверяющей организации. Подготовленные по результатам проведения операционного аудита привлекаемой организации заключение и (или) отчет проверяющей организации направляются в операционный центр, не являющийся кредитной организацией, который поручил привлекаемой организации в соответствии с частью 1 настоящей статьи осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), привлекаемую организацию, а также в Банк России.

6. Привлекаемая организация обязана уведомить операционный центр, не являющийся кредитной организацией, который поручил привлекаемой организации в соответствии с частью 1 настоящей статьи осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), о намерении расторгнуть договор, предусмотренный частью 1 настоящей статьи, не позднее шести месяцев до предполагаемой даты расторжения этого договора и обеспечить сохранность такой информации до момента ее передачи в такой операционный центр, не являющийся кредитной организацией. Операционный центр, не являющийся кредитной организацией, который в соответствии с частью 1 настоящей статьи поручил привлекаемой организации осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), до предполагаемой даты расторжения договора, предусмотренного частью 1 настоящей статьи, обязан принять от привлекаемой организации ранее переданную ей указанным операционным центром, не являющимся кредитной организацией, информацию ограниченного доступа.

7. Договором, указанным в части 1 настоящей статьи, должны быть предусмотрены:

1) порядок направления привлекаемой организацией в операционный центр, не являющийся кредитной организацией, на ежеквартальной основе информации о соблюдении целевых показателей оказания услуг привлекаемой организацией в части обеспечения защиты информации, а также состав такой информации;

2) формы и порядок направления привлекаемой организацией в операционный центр, не являющийся кредитной организацией, информации об инцидентах, связанных с нарушением требований к обеспечению защиты информации, которые произошли в период деятельности привлекаемой организации, осуществляемой на основании указанного договора, в течение двух часов с момента их выявления привлекаемой организацией;

3) ответственность привлекаемой организации и ее работников за разглашение полученной от операционного центра, не являющегося кредитной организацией, в соответствии с настоящим Федеральным законом и другими федеральными законами информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне);

4) порядок направления уведомления, предусмотренного частью 6 настоящей статьи.

8. Банк России устанавливает по согласованию с федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, и федеральным органом исполнительной власти, осуществляющим функции по выработке и реализации государственной политики и нормативно-правовому регулированию в сфере информационных технологий, порядок привлечения привлекаемой организации и взаимодействия с привлекаемой организацией и требования к привлекаемой организации. Такие требования должны содержать:

1) требования к обеспечению защиты информации;

2) требования к информационным системам;

3) критерии, свидетельствующие о том, что привлекаемая организация не может далее привлекаться к указанному в настоящей статье новому взаимодействию с кредитными организациями, некредитными финансовыми организациями или лицами, оказывающими профессиональные услуги на финансовом рынке;

4) требования к осуществлению внутреннего контроля привлекаемой организацией.

9. Банк России устанавливает по согласованию с федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, и федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, требования к проверяющей организации, требования к проведению операционного аудита привлекаемой организации.

10. Привлекаемая организация должна соответствовать следующим требованиям:

1) в отношении привлекаемой организации не проводится процедура ликвидации юридического лица, не принято решение о ее исключении из единого государственного реестра юридических лиц в соответствии с законодательством Российской Федерации о государственной регистрации юридических лиц, отсутствует решение (определение) арбитражного суда о введении процедуры банкротства в соответствии с законодательством Российской Федерации о несостоятельности (банкротстве), а также в течение последних двух лет не принимались меры за нарушение порядка и требований, установленных на основании настоящей статьи;

2) в штате привлекаемой организации имеются работники, которые осуществляют функции по обеспечению информационной безопасности привлекаемой организации, а также специальные должностные лица, ответственные за обеспечение сохранности информации, указанной в части 1 настоящей статьи;

3) у руководителя привлекаемой организации отсутствует неснятая или непогашенная судимость за совершение преступления в сфере экономики или преступления в сфере компьютерной информации;

4) привлечение привлекаемой организации и взаимодействие с ней осуществляются в соответствии с порядком, установленным Банком России на основании части 8 настоящей статьи;

5) привлекаемая организация осуществляет внутренний контроль и ежегодно проводит операционный аудит, включая оценку соответствия привлекаемой организации требованиям к обеспечению защиты информации, установленным на основании части 8 настоящей статьи, с привлечением проверяющей организации;

6) привлекаемая организация, лицо, осуществляющее функции единоличного исполнительного органа привлекаемой организации, не являются блокируемыми лицами в соответствии с частью 2.1 статьи 3 Федерального закона от 30 декабря 2006 года N 281-ФЗ "О специальных экономических мерах и принудительных мерах";

7) привлекаемая организация, лицо, осуществляющее функции единоличного исполнительного органа привлекаемой организации, не являются лицами, осуществляющими деятельность на территории Российской Федерации без полученной в установленном порядке лицензии, в случае, если законодательство Российской Федерации в отношении такой деятельности предусматривает ее наличие, либо лицами, оказывающими услуги с использованием сайта в информационно-телекоммуникационной сети "Интернет", в случае, если доменное имя этого сайта, указатель страницы этого сайта содержатся в Едином реестре доменных имен, указателей страниц сайтов в информационно-телекоммуникационной сети "Интернет" и сетевых адресов, позволяющих идентифицировать сайты в информационно-телекоммуникационной сети "Интернет", содержащие информацию, распространение которой в Российской Федерации запрещено;

8) лицо, осуществляющее функции единоличного исполнительного органа привлекаемой организации, не включено в реестр контролируемых лиц, предусмотренный законодательством о правовом положении иностранных граждан в Российской Федерации;

9) привлекаемая организация соответствует иным требованиям, установленным Банком России на основании настоящей статьи.

11. Банк России вправе направить операционному центру, не являющемуся кредитной организацией, и (или) проверяющей организации обязательные для исполнения запросы о представлении в Банк России сведений, подтверждающих соответствие привлекаемой организации требованиям, установленным настоящей статьей, и соответствие проверяющей организации требованиям, установленным на основании части 9 настоящей статьи, заключения и (или) отчета проверяющей организации по результатам проведения операционного аудита привлекаемой организации. Запрашиваемые сведения и документы направляются в Банк России в сроки, указанные в таких запросах. По результатам рассмотрения указанных в настоящей части сведений, заключения и (или) отчета проверяющей организации в случае выявления несоответствия проверяющей организации требованиям, установленным на основании части 9 настоящей статьи, Банк России вправе рекомендовать проведение повторного операционного аудита с привлечением другой проверяющей организации.

12. Банк России в течение 60 дней, следующих за днем получения уведомления, заключения и (или) отчета проверяющей организации, направленных в Банк России в соответствии с настоящей статьей, принимает одно из следующих решений:

1) о запрете привлечения операционным центром, не являющимся кредитной организацией, привлекаемой организации в целях осуществления сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) в случае несоблюдения порядка и требований, которые установлены Банком России на основании настоящей статьи, и требований, предусмотренных настоящей статьей, и об уведомлении операционного центра, не являющегося кредитной организацией, о таком решении до истечения указанного в настоящей части срока;

2) о разрешении привлечения операционным центром, не являющимся кредитной организацией, привлекаемой организации в целях осуществления сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне).

13. Банк России осуществляет контроль за соблюдением операционным центром, не являющимся кредитной организацией, порядка и требований, установленных на основании настоящей статьи.

14. В случае разглашения привлекаемой организацией и (или) ее работниками информации ограниченного доступа, полученной от операционного центра, не являющегося кредитной организацией, в соответствии с настоящим Федеральным законом и другими федеральными законами (за исключением сведений, отнесенных к государственной тайне), операционный центр, не являющийся кредитной организацией, и привлекаемая организация несут ответственность в соответствии с законодательством Российской Федерации.".

Статья 13

Статью 5 Федерального закона от 21 ноября 2011 года N 325-ФЗ "Об организованных торгах" (Собрание законодательства Российской Федерации, 2011, N 48, ст. 6726; 2013, N 30, ст. 4084; 2015, N 27, ст. 4001; N 29, ст. 4357; 2023, N 29, ст. 5317; 2024, N 31, ст. 4458; N 51, ст. 7847; 2025, N 31, ст. 4702) дополнить частями 17 - 24 следующего содержания:

"17. Организатор торговли в соответствии с порядком и требованиями, которые установлены Банком России на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", вправе поручить по истечении 60 дней, следующих за днем направления уведомления в Банк России в соответствии с частью 18 настоящей статьи, при отсутствии решения Банка России, принятого на основании пункта 1 части четвертой статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", организации, указанной в части 19 настоящей статьи (далее для целей настоящей статьи - привлекаемая организация), с учетом ограничений, установленных законодательством Российской Федерации, осуществление сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) с использованием информационных систем и их компонентов, принадлежащих на законном основании привлекаемой организации и находящихся на территории Российской Федерации, на основании заключенного в соответствии с гражданским законодательством с привлекаемой организацией договора. Организатор торговли вправе поручить привлекаемой организации осуществление сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения персональных данных в соответствии с настоящей частью без согласия субъектов персональных данных при условии соответствия договора, предусмотренного настоящей частью, требованиям части 3 статьи 6 Федерального закона от 27 июля 2006 года N 152-ФЗ "О персональных данных". Привлекаемая организация, которой организатор торговли поручил осуществлять указанные в настоящей части действия с информацией ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), осуществляет с такой информацией только те действия, которые соответствуют правам и обязанностям данного организатора торговли при обработке такой информации.

18. Организатор торговли обязан уведомить Банк России о намерении поручить привлекаемой организации осуществление указанных в части 17 настоящей статьи действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) до такого поручения. К уведомлению, указанному в настоящей части, прилагаются заключение и (или) отчет организации, которая имеет лицензии федерального органа исполнительной власти, уполномоченного в области противодействия техническим разведкам и технической защиты информации, и (или) федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности, полученные в порядке, предусмотренном законодательством Российской Федерации, и соответствует требованиям, установленным на основании пункта 2 части первой статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", а также в соответствии с требованиями, установленными на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", проводит операционный аудит привлекаемой организации, включая оценку соответствия привлекаемой организации установленным на основании пункта 1 части первой статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)" требованиям к обеспечению защиты информации и требованиям к операционной надежности (далее для целей настоящей статьи - проверяющая организация). Указанное уведомление направляется в форме электронного документа, подписывается усиленной квалифицированной электронной подписью уполномоченного лица и должно содержать следующие сведения:

1) наименование, адрес организатора торговли;

2) фамилии, имена, отчества (при наличии), номера контактных телефонов, адреса электронной почты работников привлекаемой организации, которые осуществляют функции по обеспечению информационной безопасности привлекаемой организации, а также специальных должностных лиц привлекаемой организации, ответственных за обеспечение сохранности информации ограниченного доступа;

3) наименование привлекаемой организации, которой планируется поручить осуществление указанных в части 17 настоящей статьи действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне);

4) сведения, подтверждающие соответствие привлекаемой организации требованиям, установленным статьей 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", и соответствие проверяющей организации требованиям, установленным на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)".

19. Под привлекаемыми организациями понимаются организации, осуществляющие деятельность в области информационных технологий, аккредитованные в порядке, установленном законодательством Российской Федерации, а также банки с универсальной лицензией, некредитные финансовые организации - юридические лица, которые указаны в пункте 1 (за исключением профессиональных участников рынка ценных бумаг, указанных в статьях 4.1 и 6.1 Федерального закона от 22 апреля 1996 года N 39-ФЗ "О рынке ценных бумаг") и пунктах 5 - 9 (за исключением иностранных страховых организаций) части первой статьи 76.1 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", которые находятся под контролем Российской Федерации, и (или) субъекта Российской Федерации, и (или) муниципального образования, и (или) гражданина Российской Федерации, не имеющего гражданства другого государства, и (или) контролируемых ими совместно или по отдельности лиц. Для целей настоящей статьи под контролем понимается возможность определять решения, принимаемые банками с универсальной лицензией, некредитными финансовыми организациями - юридическими лицами, указанными в настоящей части, в силу наличия права прямо или косвенно распоряжаться более чем пятьюдесятью процентами общего количества голосов, приходящихся на голосующие акции (доли), составляющие уставный капитал данных банков с универсальной лицензией, некредитных финансовых организаций - юридических лиц.

20. Привлекаемая организация и ее работники обязаны обеспечить защиту информации ограниченного доступа, полученной от организатора торговли в соответствии с настоящим Федеральным законом и другими федеральными законами (за исключением сведений, отнесенных к государственной тайне), и в случае ее разглашения несут ответственность в соответствии с законодательством Российской Федерации и договором, заключенным в соответствии с гражданским законодательством между привлекаемой организацией и организатором торговли.

21. Привлекаемая организация в соответствии с требованиями, установленными на основании статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", осуществляет внутренний контроль и ежегодно проводит операционный аудит, включая оценку соответствия привлекаемой организации установленным на основании пункта 1 части первой статьи 76.4-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)" требованиям к обеспечению защиты информации и требованиям к операционной надежности, с привлечением проверяющей организации. Подготовленные по результатам проведения операционного аудита привлекаемой организации заключение и (или) отчет проверяющей организации направляются организатору торговли, который поручил привлекаемой организации в соответствии с частью 17 настоящей статьи осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), в привлекаемую организацию, а также в Банк России.

22. Привлекаемая организация обязана уведомить организатора торговли, который поручил привлекаемой организации в соответствии с частью 17 настоящей статьи осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), о намерении расторгнуть договор, предусмотренный частью 17 настоящей статьи, не позднее шести месяцев до предполагаемой даты расторжения этого договора и обеспечить сохранность такой информации до момента ее передачи такому организатору торговли. Организатор торговли, который в соответствии с частью 17 настоящей статьи поручил привлекаемой организации осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), до предполагаемой даты расторжения договора, предусмотренного частью 17 настоящей статьи, обязан принять от привлекаемой организации ранее переданную ей указанным организатором торговли информацию ограниченного доступа.

23. Договором, указанным в части 17 настоящей статьи, должны быть предусмотрены:

1) порядок направления привлекаемой организацией организатору торговли на ежеквартальной основе информации о соблюдении целевых показателей оказания услуг привлекаемой организацией в части обеспечения защиты информации и операционной надежности, а также состав такой информации;

2) формы и порядок направления привлекаемой организацией организатору торговли информации об инцидентах, связанных с нарушением требований к обеспечению защиты информации, инцидентах, связанных с нарушением требований к операционной надежности, которые произошли в период деятельности привлекаемой организации, осуществляемой на основании указанного договора, в течение двух часов с момента их выявления привлекаемой организацией;

3) ответственность привлекаемых организаций и их работников за разглашение полученной от организатора торговли в соответствии с настоящим Федеральным законом и другими федеральными законами информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне);

4) порядок направления уведомления, предусмотренного частью 22 настоящей статьи.

24. В случае разглашения привлекаемой организацией и (или) ее работниками информации ограниченного доступа, полученной от организатора торговли в соответствии с настоящим Федеральным законом и другими федеральными законами (за исключением сведений, отнесенных к государственной тайне), организатор торговли и привлекаемая организация несут ответственность в соответствии с законодательством Российской Федерации.".

Статья 14

1. Настоящий Федеральный закон вступает в силу по истечении одного года после дня его официального опубликования.

2. Кредитные организации, некредитные финансовые организации, осуществляющие указанные в части первой статьи 76.1 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)" виды деятельности, лица, оказывающие профессиональные услуги на финансовом рынке, указанные в статье 76.9-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)" (за исключением кредитных рейтинговых агентств, аудиторских организаций, указанных в части 3 статьи 5.1 Федерального закона от 30 декабря 2008 года N 307-ФЗ "Об аудиторской деятельности"), операционные центры, не являющиеся кредитными организациями, которые до дня вступления в силу настоящего Федерального закона поручили привлекаемым организациям осуществление обработки информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) с использованием принадлежащих на законном основании привлекаемым организациям информационных систем и их компонентов на основании заключенных в соответствии с гражданским законодательством с привлекаемыми организациями договоров, обязаны в течение ста восьмидесяти дней со дня вступления в силу настоящего Федерального закона привести указанные договоры в соответствие с требованиями, установленными статьями 30.2 и 30.3 Федерального закона "О банках и банковской деятельности", статьей 6.3 Закона Российской Федерации от 27 ноября 1992 года N 4015-I "Об организации страхового дела в Российской Федерации", статьей 10.2-3 Федерального закона от 22 апреля 1996 года N 39-ФЗ "О рынке ценных бумаг", частями седьмой - шестнадцатой статьи 15 Федерального закона от 7 мая 1998 года N 75-ФЗ "О негосударственных пенсионных фондах", пунктом 4.1 статьи 7 и пунктом 5 статьи 7.1-1 Федерального закона от 7 августа 2001 года N 115-ФЗ "О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма", статьей 45.1 Федерального закона от 29 ноября 2001 года N 156-ФЗ "Об инвестиционных фондах", статьями 57.5-3, 76.4-5 и 76.9-6-1 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", частями 8 и 8.3 статьи 23 Федерального закона от 10 декабря 2003 года N 173-ФЗ "О валютном регулировании и валютном контроле" (в редакции настоящего Федерального закона), частями 7 - 15 статьи 9 Федерального закона от 30 декабря 2004 года N 218-ФЗ "О кредитных историях", частями 15 - 23 статьи 9 Федерального закона от 2 июля 2010 года N 151-ФЗ "О микрофинансовой деятельности и микрофинансовых организациях", частями 14.1 - 14.8 статьи 5 Федерального закона от 7 февраля 2011 года N 7-ФЗ "О клиринге, клиринговой деятельности и центральном контрагенте", статьей 19.3 Федерального закона от 27 июня 2011 года N 161-ФЗ "О национальной платежной системе", частями 17 - 24 статьи 5 Федерального закона от 21 ноября 2011 года N 325-ФЗ "Об организованных торгах". Банки с универсальной лицензией, находящиеся под контролем иностранного банка, которые до дня вступления в силу настоящего Федерального закона поручили иностранному банку осуществление обработки информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) с использованием информационных систем и их компонентов, принадлежащих на законном основании иностранному банку, на основании заключенного в соответствии с гражданским законодательством с иностранным банком договора, обязаны в течение ста восьмидесяти дней со дня вступления в силу настоящего Федерального закона привести указанные договоры в соответствие с требованиями, установленными статьями 30.2 и 30.3 Федерального закона "О банках и банковской деятельности" и статьей 57.5-3 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)".

3. Привлекаемые организации, которым кредитные организации, некредитные финансовые организации, осуществляющие указанные в части первой статьи 76.1 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)" виды деятельности, лица, оказывающие профессиональные услуги на финансовом рынке, указанные в статье 76.9-5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)" (за исключением кредитных рейтинговых агентств, аудиторских организаций, указанных в части 3 статьи 5.1 Федерального закона от 30 декабря 2008 года N 307-ФЗ "Об аудиторской деятельности"), операционные центры, не являющиеся кредитными организациями, до дня вступления в силу настоящего Федерального закона поручили осуществление обработки информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) с использованием информационных систем и их компонентов, принадлежащих на законном основании привлекаемым организациям, на основании заключенного в соответствии с гражданским законодательством договора, обязаны в течение одного года со дня вступления в силу настоящего Федерального закона провести операционный аудит в соответствии с требованиями, установленными статьями 30.2 и 30.3 Федерального закона "О банках и банковской деятельности", статьей 6.3 Закона Российской Федерации от 27 ноября 1992 года N 4015-I "Об организации страхового дела в Российской Федерации", статьей 10.2-3 Федерального закона от 22 апреля 1996 года N 39-ФЗ "О рынке ценных бумаг", частями седьмой - шестнадцатой статьи 15 Федерального закона от 7 мая 1998 года N 75-ФЗ "О негосударственных пенсионных фондах", пунктом 4.1 статьи 7 и пунктом 5 статьи 7.1-1 Федерального закона от 7 августа 2001 года N 115-ФЗ "О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма", статьей 45.1 Федерального закона от 29 ноября 2001 года N 156-ФЗ "Об инвестиционных фондах", статьями 57.5-3, 76.4-5 и 76.9-6-1 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", частями 8 и 8.3 статьи 23 Федерального закона от 10 декабря 2003 года N 173-ФЗ "О валютном регулировании и валютном контроле" (в редакции настоящего Федерального закона), частями 7 - 15 статьи 9 Федерального закона от 30 декабря 2004 года N 218-ФЗ "О кредитных историях", частями 15 - 23 статьи 9 Федерального закона от 2 июля 2010 года N 151-ФЗ "О микрофинансовой деятельности и микрофинансовых организациях", частями 14.1 - 14.8 статьи 5 Федерального закона от 7 февраля 2011 года N 7-ФЗ "О клиринге, клиринговой деятельности и центральном контрагенте", статьей 19.3 Федерального закона от 27 июня 2011 года N 161-ФЗ "О национальной платежной системе", частями 17 - 24 статьи 5 Федерального закона от 21 ноября 2011 года N 325-ФЗ "Об организованных торгах", и направить заключение и (или) отчет проверяющей организации по результатам его проведения в кредитные организации, некредитные финансовые организации, лицам, оказывающим профессиональные услуги на финансовом рынке, в операционные центры, не являющиеся кредитными организациями, и в Банк России. Банки с универсальной лицензией, находящиеся под контролем иностранного банка, которые до дня вступления в силу настоящего Федерального закона поручили иностранному банку осуществление обработки информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) с использованием информационных систем и их компонентов, принадлежащих на законном основании иностранному банку, на основании заключенного в соответствии с гражданским законодательством договора, обязаны в течение одного года со дня вступления в силу настоящего Федерального закона обеспечить проведение иностранным банком операционного аудита в соответствии с требованиями, установленными статьями 30.2 и 30.3 Федерального закона "О банках и банковской деятельности" и статьей 57.5-3 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", и направить заключение и (или) отчет проверяющей организации по результатам его проведения в Банк России.

Президент

Российской Федерации

В.ПУТИН

Москва, Кремль

2 ноября 2026 года

N 350-ФЗ