Требования к некредитным финкомпаниям по защите информации ужесточат с 2027 года

ЦБ РФ расширил перечень некредитных финансовых организаций, которые со следующего года должны усилить уровень безопасности информации при проведении операций с клиентами. Соответствующее Указание Банка России от 28 октября 2025 г. № 7219-У "Указание Банка России "О внесении изменений в Положение Банка России от 20 апреля 2021 года № 757-П" опубликовано на сайте регулятора. Документ зарегистрирован в Минюсте России в начале февраля.

Речь идет о корректировке Положения Банка России от 20 апреля 2021 г. № 757-П "Об установлении обязательных для некредитных финансовых организаций требований к обеспечению защиты информации при осуществлении деятельности в сфере финансовых рынков в целях противодействия осуществлению незаконных финансовых операций". Так, указанием, в том числе, вносятся поправки в подп. 1.4.3 п. 1.4, связанный с требованиями ГОСТа Р 57580.1-2017 (Национальный стандарт РФ ГОСТ Р 57580.1-2017 "Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Базовый состав организационных и технических мер").

Регулятором также вводятся дополнительные меры по информационной безопасности для страховых фирм, НПФ и регистраторов. В их числе:

• привлечение независимых специалистов не реже одного раза в три года для проверки защиты данных с учетом требований ГОСТа Р 57580.2-2018 (Национального стандарта РФ ГОСТ Р 57580.2-2018 "Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Методика оценки соответствия");
• анализ программного обеспечения и приложения (в том числе, которые предоставляются клиентам) на соответствие требованиям по защите данных.

Кроме того, Указанием № 7219-У установлены новые требования к МФО, а именно: обязательное использование антивирусных программ; регистрация событий, которые связаны с защитой данных.

Также в числе поправок:

• уточнение требований к использованию электронной подписи и средств криптографической защиты;
• установление порядка регистрации информации о действиях клиентов при приеме электронных сообщений к исполнению в автоматизированных системах и приложениях.