Банки, платежные организации, поставщики услуг по информированию о счетах, эмитенты электронных денег, страховые и перестраховочные компании, а также страховые и перестраховочные посредники, не относящиеся к малым и средним предприятиям, с 1 января 2029 г. должны будут соблюдать единые требования к управлению цифровыми рисками и обеспечению киберустойчивости. Это предусматривает проект Положения об операционной цифровой устойчивости финансового сектора, вынесенный Нацбанком на общественные консультации.

Документ частично внедряет европейский регламент DORA (Digital Operational Resilience Act), применяемый в ЕС с января 2025 г., и устанавливает требования к управлению рисками в сфере информационно-коммуникационных технологий (ИКТ), выявлению и регистрации инцидентов, обеспечению непрерывности деятельности, резервному копированию и восстановлению данных, тестированию цифровой устойчивости, обмену сведениями о киберугрозах и контролю рисков, возникающих при привлечении сторонних поставщиков ИКТ-услуг.

Финансовые организации должны будут утвердить внутреннюю систему управления ИКТ-рисками, определить критически важные функции, вести учет информационных активов и зависимостей, разработать планы обеспечения непрерывности деятельности и восстановления после сбоев, регулярно проверять их работоспособность, а также обеспечить резервирование систем и сохранность данных.

Ответственность за утверждение и контроль этой системы будет возложена на руководящие органы организаций. Крупные инциденты, связанные с ИКТ, потребуется классифицировать, регистрировать и сообщать о них НБМ через централизованную платформу обмена информацией. Первоначальное уведомление необходимо будет направить до конца следующего рабочего дня, после чего представить промежуточный и итоговый отчеты. Инцидент, вызвавший недоступность систем или ИКТ-сервисов, поддерживающих критические или важные функции, более чем на 3 часа, будет считаться крупным. 

Проект также предусматривает ежегодное тестирование систем, поддерживающих критические и важные функции, а для организаций, определенных НБМ, — углубленное тестирование на проникновение на основе анализа угроз не реже одного раза в 3 года. Финансовые организации должны будут вести реестр договоров со сторонними поставщиками ИКТ-услуг, оценивать риски до их привлечения и включать в контракты требования к безопасности, доступу к данным, аудиту, управлению инцидентами, субподряду и прекращению сотрудничества. Нормы будут применяться с учетом принципа пропорциональности, а для микропредприятий предусмотрены отдельные исключения.

Как отмечается в пояснительной записке к проекту, действующая национальная нормативная база фрагментирована: требования к ИКТ-рискам, информационной безопасности и непрерывности деятельности сейчас применяются преимущественно к поставщикам платежных услуг, а для страховщиков, перестраховщиков и страховых посредников специальные требования в этой сфере отсутствуют. Кроме того, действующие нормы не регулируют углубленное тестирование на проникновение на основе анализа угроз, ведение реестра договоров со сторонними поставщиками ИКТ-услуг, минимальные условия таких договоров и единый порядок сообщения об инцидентах. 

По оценке НБМ, положение затронет как минимум 27 поднадзорных организаций, включая 10 банков, 2 платежные организации, 6 эмитентов электронных денег и 9 страховых компаний. Чтобы участники рынка успели адаптироваться к новым требованиям, положение предлагается ввести в действие с 1 января 2029 г. До этого времени регулятор должен утвердить формы уведомлений и отчетов, определить порядок их рассмотрения и согласовать механизм обмена информацией с Агентством кибербезопасности. Участникам рынка предстоит оценить расхождения с новыми требованиями и обновить системы управления ИКТ-рисками, договоры со сторонними поставщиками и информационные реестры.

Консультации по проекту проводятся до 8 ноября 2026 г.