Авторы подчеркивают, что привлечение сторонних IT-провайдеров — это объективная необходимость и общепринятая практика. Это позволит финансовым организациям оптимизировать затраты на создание и поддержку собственной инфраструктуры и сохранить конкурентоспособность и киберустойчивость в условиях, когда наращивание внутренних компетенций в сфере информационной безопасности затруднено или невозможно.
Законопроект вводит в правовое поле новый субъект — поставщика услуг аутсорсинга IT и облачных услуг. На такие компании будет распространяться юридическая ответственность за разглашение банковской тайны и иных видов охраняемой законом тайны.
Регулированием сферы займется Банк России. Он совместно с уполномоченными федеральными органами исполнительной власти получит право устанавливать обязательные для финансового сектора требования к порядку взаимодействия с такими аутсорсинговыми компаниями. Эти нормы будут включать стандарты защиты информации и операционной надежности информационных систем поставщиков и определять механизмы контроля за их соблюдением.
Кредитные организации смогут передавать данные на обработку строго аккредитованным IT-компаниям или банкам, которые имеют универсальную лицензию, а их контрольный пакет акций прямо или косвенно принадлежит государству, регионам, муниципалитетам или гражданам России без иностранного гражданства. Если финансовая организация хочет обратиться к услугам IT-аутсорсинга, то она должна заранее направить уведомление об этом в ЦБ.
Согласие клиентов на передачу их персональных данных не нужно, но договор с подрядчиком должен строго соответствовать требованиям закона «О персональных данных». Исполнитель в соответствии с законопроектом должен ежегодно проходить операционный аудит и направлять его результаты как заказчику, так и в Центробанк.
В штате поставщика IT-аутсорсинга и облачных услуг должны быть сотрудники, ответственные за информационную безопасность. Руководитель компании не должен иметь неснятой или непогашенной судимости за преступления в сфере экономики или компьютерной информации. Кроме того, ни сама организация, ни ее руководитель не должны находиться в перечне «блокируемых лиц» в рамках закона о специальных экономических мерах.