Проект

ЦЕНТРАЛЬНЫЙ БАНК РОССИЙСКОЙ ФЕДЕРАЦИИ
(БАНК РОССИИ)

У К А З А Н И Е

«___» ____________ 2020 г.                                                                  №_____ -У
г. Москва

О внесении изменений в Положение Банка России от 17 апреля 2019 года № 683-П «Об установлении обязательных для кредитных организаций требований к обеспечению защиты информации при осуществлении банковской деятельности в целях противодействия осуществлению переводов денежных средств без согласия клиента»

На основании статьи 574 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)» (Собрание законодательства Российской Федерации, 2002, № 28, ст. 2790; 2020, № 14, ст. 2036):
1.	Внести в Положение Банка России от 17 апреля 2019 года № 683- П «Об установлении обязательных для кредитных организаций требований к обеспечению защиты информации при осуществлении банковской деятельности в целях противодействия осуществлению переводов денежных средств без согласия клиента», зарегистрированное Министерством юстиции Российской Федерации 16 мая 2019 года № 54637, следующие изменения.
1.1.	В подпункте 4.1 пункта 4:
а) в абзаце первом слово «сообщений,» заменить словом «сообщений», слова «сертифицированных в системе сертификации Федеральной службы по техническому и экспортному контролю на соответствие требованиям по безопасности информации, включая требования по анализу уязвимостей и контролю отсутствия недекларированных возможностей, или в отношении которых проведен анализ уязвимостей» заменить словами «прошедших сертификацию в системе сертификации Федеральной службы по техническому и экспортному контролю или оценку соответствия»;
б) в абзаце втором слова «анализа уязвимостей и контроля отсутствия недекларированных возможностей» заменить словами «оценки соответствия прикладного программного обеспечения автоматизированных систем и приложений».
1.2.	В подпункте 4.2 пункта 4:
а) слова «анализа уязвимостей в прикладном программном обеспечении» заменить словами «оценки соответствия прикладного программного обеспечения»;
б) слова «постановление Правительства Российской Федерации № 79» заменить словами «проверяющая организация»;
в) дополнить абзацем следующего содержания:
«По решению кредитной организации оценка соответствия прикладного программного обеспечения автоматизированных систем и приложений проводится самостоятельно или с привлечением проверяющей организации.».
1.3.	Дополнить пункт 4 подпунктом 4.3 следующего содержания:
«4.3. В случае принятия решения о необходимости проведения сертификации прикладного программного обеспечения автоматизированных систем и приложений кредитные организации, являющиеся системно значимыми кредитными организациями, кредитными организациями, признанными Банком России значимыми на рынке платежных услуг, должны обеспечить сертификацию прикладного программного обеспечения автоматизированных систем и приложений не ниже 4 уровня доверия в соответствии с приказом Федеральной службы по техническому и экспортному контролю от 30 июля 2018 года № 131 «Об утверждении Требований по безопасности информации, устанавливающих уровни доверия к средствам технической защиты информации и средствам обеспечения безопасности информационных технологий», зарегистрированным Министерством юстиции Российской Федерации 14 ноября 2018 года № 52686 (далее – приказ ФСТЭК России № 131).
Кредитные организации, не указанные в абзаце первом настоящего подпункта, должны обеспечить сертификацию прикладного программного обеспечения автоматизированных систем и приложений не ниже 5 уровня доверия в соответствии с приказом ФСТЭК России № 131.».
1.4.	Подпункт 5.1 пункта 5 дополнить абзацем вторым следующего содержания:
«В целях обеспечения контроля целостности электронных сообщений и подтверждения составления электронного сообщения уполномоченным на это лицом кредитные организации должны обеспечивать использование усиленной электронной подписи или с соблюдением применяемой технологии обработки защищаемой информации простой электронной подписи, иных аналогов собственноручной подписи, кодов, паролей и других средств при подписании электронных сообщений.».
1.5.	В подпункте 5.2.1 пункта 5:
а) в абзаце десятом слово «совершенной» заменить словом «совершаемой»;
б) дополнить абзацем следующего содержания:
«При осуществлении кредитными организациями подтверждения совершения банковских операций с использованием электронной почты, в том числе при представлении клиентам справок (выписок) по банковским операциям и банковским счетам, кредитные организации должны реализовывать механизмы подтверждения принадлежности клиенту адреса электронной почты, на который кредитной организацией направляются уведомления о совершенных банковских операциях.».
1.6.	В пункте 8:
а) дополнить новыми абзацами девятым и десятым следующего содержания:
«о сайтах в сети «Интернет», которые используются кредитной организацией для осуществления банковской деятельности, принадлежащих кредитной организации и (или) администрируемых в ее интересах, в том числе путем предоставления сведений в отчетности, предусмотренной нормативными актами Банка России;
о принятых мерах и проведенных мероприятиях по реагированию на выявленный кредитной организацией или Банком России инцидент защиты информации;»;
б) абзацы девятый и десятый считать соответственно абзацами одиннадцатым и тринадцатым;
в) дополнить новым абзацем двенадцатым следующего содержания:
«Кредитные организации должны предоставлять сведения по запросу Банка России при выявлении Банком России инцидентов защиты информации, включенных в перечень типов инцидентов.»;
г) абзац тринадцатый дополнить словами «(иной срок может быть указан в запросе Банка России)»;
д) дополнить новым абзацем четырнадцатым следующего содержания:
«Кредитные организации должны предоставлять в Банк России сведения с использованием технической инфраструктуры (автоматизированной системы) Банка России. В случае возникновения технической невозможности взаимодействия кредитных организаций с Банком России с использованием технической инфраструктуры (автоматизированной системы) Банка России кредитные организации должны предоставлять в Банк России сведения с использованием резервного способа взаимодействия. Информация о технической инфраструктуре (автоматизированной системе) Банка России, резервном способе взаимодействия размещается на официальном сайте Банка России в сети «Интернет».».
1.7.	В пункте 9 слова «сторонних организаций, имеющих лицензию на проведение работ и услуг, предусмотренных подпунктами «б», «д» или «е» пункта 4 Положения о лицензировании деятельности по технической защите конфиденциальной информации, утвержденного постановлением Правительства Российской Федерации № 79 (далее - проверяющая организация)» заменить словами «проверяющих организаций».
2.	Настоящее Указание вступает в силу по истечении 10 дней после дня его официального опубликования.

Председатель
Центрального банка
Российской Федерации	

Э.С. Набиуллина	

  Согласовано

Директор
Федеральной службы безопасности
Российской Федерации	

А.В. Бортников
	
Директор
Федеральной службы по техническому и экспортному контролю	

В.В. Селин