Федеральный закон от 02.11.2026 № 350-ФЗ о требованиях к ИТ-аутсорсингу обработки данных на финансовом рынке
Кредитные организации, микрофинансовые организации, страховщики, негосударственные пенсионные фонды и ряд профучастников рынка ценных бумаг получили право передавать обработку информации ограниченного доступа и персональных данных аккредитованным сторонним исполнителям под российским контролем. Федеральный закон вступает в силу 3 ноября 2027 года.
Кредитные организации получили право поручать сторонним исполнителям сбор, хранение, использование и уничтожение информации ограниченного доступа — включая персональные данные без согласия их субъектов, кроме сведений, отнесённых к государственной тайне.
Привлекать к такой обработке можно только аккредитованные ИТ-компании или банки с универсальной лицензией, которые находятся под контролем Российской Федерации, её субъекта, муниципального образования либо гражданина России без иностранного гражданства.
К привлекаемой организации предъявляются следующие требования:
- для обработки сведений она должна использовать собственные информационные системы, размещённые на территории России;
- кредитная организация обязана уведомить Банк России о намерении поручить обработку до заключения договора;
- договор должен предусматривать ежеквартальную отчётность исполнителя о соблюдении целевых показателей защиты информации и операционной надёжности;
- исполнитель должен ежегодно проводить операционный аудит и направлять его результаты кредитной организации и Банку России.
Такие же правила распространяются на МФО, страховщиков, НПФ и ряд профучастников рынка ценных бумаг. Организации, которые уже поручили обработку данных сторонним исполнителям, обязаны привести договоры в соответствие с новыми требованиями в течение 180 дней со дня вступления закона в силу.
Краткая справка о документе
- Дата принятия: 02.11.2026
- Дата вступления в силу: 03.11.2027