О национальной платежной системе

1. Операторы по переводу денежных средств, банковские платежные агенты (субагенты), операторы услуг информационного обмена, поставщики платежных приложений, операторы платежных систем, операторы услуг платежной инфраструктуры, операторы электронных платформ, оператор платформы цифрового рубля обязаны обеспечивать защиту информации о средствах и методах обеспечения информационной безопасности, персональных данных и об иной информации, подлежащей обязательной защите в соответствии с законодательством Российской Федерации. Правительство Российской Федерации по согласованию с федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, Банком России устанавливает требования к защите указанной информации.

(Часть 1 изменена с 1 марта 2027 г. - Федеральный закон от 26 июня 2026 г. № 210-ФЗ)

1.1. Запрещается размещение в информационно-телекоммуникационных сетях, в том числе в сети "Интернет", информации, позволяющей в целях неправомерного завладения или создания условий для неправомерного завладения денежными средствами клиентов операторов по переводу денежных средств, банковских платежных агентов (субагентов), операторов услуг информационного обмена, поставщиков платежных приложений, операторов платежных систем, операторов услуг платежной инфраструктуры осуществлять доступ к информационным системам операторов по переводу денежных средств, банковских платежных агентов (субагентов), операторов услуг информационного обмена, поставщиков платежных приложений, операторов платежных систем, операторов услуг платежной инфраструктуры, электронным средствам платежа или программному обеспечению, которое применяется указанными клиентами с использованием технического устройства, подключенного к информационно-телекоммуникационной сети "Интернет", и используется при предоставлении (получении) услуг операторов по переводу денежных средств, банковских платежных агентов (субагентов), операторов услуг информационного обмена, поставщиков платежных приложений, операторов платежных систем, операторов услуг платежной инфраструктуры, а также к базам данных, содержащим полученную с использованием информационно-телекоммуникационных сетей, в том числе сети "Интернет", информацию об указанных клиентах.

(Статья 27 дополнена частью 1.1 с 1 декабря 2021 г. - Федеральный закон от 1 июля 2021 г. N 250-ФЗ)

1.2. Оператор по переводу денежных средств обязан применять в отношении своего программного обеспечения, используемого клиентом - физическим лицом в целях осуществления переводов денежных средств, включая мобильное приложение и официальный сайт в информационно-телекоммуникационной сети "Интернет", средства защиты информации, прошедшие в установленном порядке процедуру оценки соответствия требованиям, установленным законодательством Российской Федерации в области обеспечения безопасности информации, позволяющие осуществлять выявление и контроль случаев воздействия вредоносного программного обеспечения на программное обеспечение, используемое клиентом - физическим лицом в целях осуществления переводов денежных средств, до момента списания денежных средств клиента, включая совершение перевода денежных средств или операции с использованием платежных карт, перевода электронных денежных средств или перевода денежных средств с использованием сервиса быстрых платежей платежной системы Банка России (далее - средства защиты информации от воздействия вредоносного программного обеспечения).

(Статья 27 дополнена частью 1.2 с 1 марта 2027 г. - Федеральный закон от 26 июня 2026 г. № 210-ФЗ)

1.3. Оператор по переводу денежных средств обязан предоставить клиенту - физическому лицу возможность использования средств защиты информации от воздействия вредоносного программного обеспечения на пользовательском оборудовании (оконечном оборудовании) клиента - физического лица, если указанный клиент предоставил согласие на обеспечение защиты оператором по переводу денежных средств своего программного обеспечения, используемого клиентом - физическим лицом в целях осуществления переводов денежных средств, включая мобильное приложение и официальный сайт в информационно-телекоммуникационной сети "Интернет", от воздействия вредоносного программного обеспечения путем подключения указанным клиентом средств защиты информации от воздействия вредоносного программного обеспечения на пользовательское оборудование (оконечное оборудование) указанного клиента.

(Статья 27 дополнена частью 1.3 с 1 марта 2027 г. - Федеральный закон от 26 июня 2026 г. № 210-ФЗ)

1.4. Оператор по переводу денежных средств обязан включать в договор с клиентом - физическим лицом положения о праве клиента - физического лица дать согласие на обеспечение защиты оператором по переводу денежных средств своего программного обеспечения, используемого клиентом - физическим лицом в целях осуществления переводов денежных средств, включая мобильное приложение и официальный сайт в информационно-телекоммуникационной сети "Интернет", от воздействия вредоносного программного обеспечения путем подключения клиентом - физическим лицом средств защиты информации от воздействия вредоносного программного обеспечения на пользовательское оборудование (оконечное оборудование) клиента - физического лица либо отказаться от предоставления такого согласия.

(Статья 27 дополнена частью 1.4 с 1 марта 2027 г. - Федеральный закон от 26 июня 2026 г. № 210-ФЗ)

2. Контроль и надзор за выполнением требований, установленных Правительством Российской Федерации, осуществляются федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий и без права ознакомления с защищаемой информацией.

3. Операторы по переводу денежных средств, банковские платежные агенты (субагенты), операторы услуг информационного обмена, поставщики платежных приложений, операторы платежных систем, операторы услуг платежной инфраструктуры, операторы электронных платформ обязаны обеспечивать защиту информации при осуществлении переводов денежных средств в соответствии с требованиями, установленными Банком России, согласованными с федеральными органами исполнительной власти, предусмотренными частью 2 настоящей статьи. Контроль за соблюдением установленных требований осуществляется Банком России в рамках надзора в национальной платежной системе в установленном им порядке, согласованном с федеральными органами исполнительной власти, предусмотренными частью 2 настоящей статьи.

(Часть 3 изменена с 25 июля 2022 г. - Федеральный закон от 14 июля 2022 г. N 331-ФЗ)

4. Операторы по переводу денежных средств, операторы платежных систем, операторы услуг платежной инфраструктуры, операторы электронных платформ обязаны реализовывать мероприятия по противодействию осуществлению переводов денежных средств без добровольного согласия клиента в порядке, установленном Банком России.

(Часть 4 изменена с 25 июля 2024 г. - Федеральный закон от 24 июля 2023 г. N 369-ФЗ)

5. В целях обеспечения защиты информации при осуществлении переводов денежных средств Банк России осуществляет формирование и ведение базы данных о случаях и попытках осуществления переводов денежных средств без добровольного согласия клиента, а также по форме, размещаемой на официальном сайте Банка России в информационно-телекоммуникационной сети "Интернет", предоставляет информацию обо всех случаях и (или) попытках осуществления переводов денежных средств без добровольного согласия клиента, включая информацию, указанную в настоящей части, операторам по переводу денежных средств, операторам платежных систем, операторам услуг платежной инфраструктуры, операторам электронных платформ. В базу данных о случаях и попытках осуществления переводов денежных средств без добровольного согласия клиента включаются в том числе информация о случаях внесения наличных денежных средств без добровольного согласия лица, вносящего наличные денежные средства, полученная от кредитной организации в соответствии с частью четвертой статьи 24.3 Федерального закона "О банках и банковской деятельности", информация о случаях и попытках заключения договоров потребительского займа без добровольного согласия клиента, полученная от микрофинансовой организации в соответствии с частью 11 статьи 9 Федерального закона от 2 июля 2010 года № 151-ФЗ "О микрофинансовой деятельности и микрофинансовых организациях", информация о случаях и попытках осуществления сделок и операций с цифровыми валютами без добровольного согласия клиента, а именно без согласия клиента или с согласия клиента, полученного под влиянием обмана или при злоупотреблении доверием, полученная от организации, осуществляющей обмен цифровых валют, цифрового депозитария в соответствии с законодательством Российской Федерации о цифровых валютах и цифровых правах, а также информация о переводах денежных средств без добровольного согласия клиента и переводах денежных средств, связанных с переводами денежных средств без добровольного согласия клиента, в отношении которых от федерального органа исполнительной власти в сфере внутренних дел в соответствии с частью 8 настоящей статьи получены сведения о совершенных противоправных действиях.

(Часть 5 изменена с 1 сентября 2027 г. - Федеральный закон от 4 августа 2026 г. № 283-ФЗ → перейти к закону)

6. Операторы по переводу денежных средств, операторы платежных систем, операторы услуг платежной инфраструктуры, операторы электронных платформ обязаны направлять в Банк России информацию обо всех случаях и (или) попытках осуществления переводов денежных средств без добровольного согласия клиента в порядке, установленном Банком России, и по форме, размещаемой на официальном сайте Банка России в информационно-телекоммуникационной сети "Интернет". В целях формирования и ведения базы данных о случаях и попытках осуществления переводов денежных средств без добровольного согласия клиента Банк России вправе запрашивать и получать у операторов по переводу денежных средств, операторов платежных систем, операторов услуг платежной инфраструктуры, операторов электронных платформ в порядке, установленном Банком России, и по форме, размещаемой на официальном сайте Банка России в информационно-телекоммуникационной сети "Интернет", информацию обо всех случаях и (или) попытках осуществления переводов денежных средств без добровольного согласия клиента, а также информацию о переводах денежных средств, связанных с переводами денежных средств без добровольного согласия клиента, в отношении которых от федерального органа исполнительной власти в сфере внутренних дел в соответствии с частью 8 настоящей статьи получены сведения о совершенных противоправных действиях.

(Часть 6 изменена с 1 сентября 2025 г. - Федеральный закон от 13 февраля 2025 г. N 9-ФЗ)

6.1. Операторы по переводу денежных средств направляют в государственную информационную систему противодействия правонарушениям, совершаемым с использованием информационных и коммуникационных технологий, информацию об абонентских номерах, используемых при обслуживании клиента, в составе и порядке, которые установлены Банком России по согласованию с федеральным органом исполнительной власти, осуществляющим функции по выработке и реализации государственной политики и нормативно-правовому регулированию в сфере информационных технологий.

(Статья 27 дополнена частью 6.1 с 1 марта 2027 г. - Федеральный закон от 26 июня 2026 г. № 210-ФЗ)

6.2. В целях формирования и ведения базы данных о случаях и попытках осуществления переводов денежных средств без добровольного согласия клиента операторы по переводу денежных средств обязаны направлять в Банк России в рамках реализуемой ими системы управления рисками сведения о клиентах операторов по переводу денежных средств и (или) об их электронных средствах платежа в порядке, установленном Банком России, и по форме, размещаемой на официальном сайте Банка России в информационно-телекоммуникационной сети "Интернет".

(Статья 27 дополнена частью 6.2 с 1 марта 2027 г. - Федеральный закон от 26 июня 2026 г. № 210-ФЗ)

7. Операторы по переводу денежных средств, операторы платежных систем, операторы услуг платежной инфраструктуры, операторы электронных платформ получают от Банка России в установленном им порядке и по форме, размещаемой на официальном сайте Банка России в информационно-телекоммуникационной сети "Интернет", информацию, содержащуюся в базе данных о случаях и попытках осуществления переводов денежных средств без добровольного согласия клиента, включая информацию, указанную в части 5 настоящей статьи.

(Часть 7 изменена с 1 сентября 2025 г. - Федеральный закон от 13 февраля 2025 г. N 9-ФЗ)

8. Банк России предоставляет федеральному органу исполнительной власти в сфере внутренних дел информацию, содержащуюся в базе данных о случаях и попытках осуществления переводов денежных средств без добровольного согласия клиента, указанной в части 5 настоящей статьи, на основании полученных от указанного федерального органа исполнительной власти сведений о совершенных противоправных действиях. Порядок информационного обмена, форма и перечень предоставляемых сторонами сведений закрепляются в соглашении, заключаемом между Банком России и федеральным органом исполнительной власти в сфере внутренних дел.

(Часть 8 изменена с 25 июля 2024 г. - Федеральный закон от 24 июля 2023 г. N 369-ФЗ)

9. Положения частей 3, 4, 6 и 7 настоящей статьи распространяются на филиалы иностранных банков.

(Статья 27 дополнена частью 9 с 1 сентября 2024 г. - Федеральный закон от 8 августа 2024 г. N 275-ФЗ)

10. Банк России направляет в государственную информационную систему противодействия правонарушениям, совершаемым с использованием информационных и коммуникационных технологий, информацию об абонентских номерах, в том числе об абонентских номерах, использованных в качестве идентификатора получателя денежных средств по переводам денежных средств без добровольного согласия клиента, информацию о специальных кодах номеров документов, удостоверяющих личность, индивидуальные номера налогоплательщиков - индивидуальных предпринимателей, которые содержатся в базе данных о случаях и попытках осуществления переводов денежных средств без добровольного согласия клиента.

(Статья 27 дополнена частью 10 с 1 марта 2027 г. - Федеральный закон от 26 июня 2026 г. № 210-ФЗ)

11. Информация, содержащаяся в базе данных о случаях и попытках осуществления переводов денежных средств без добровольного согласия клиента, за исключением информации об абонентских номерах подвижной радиотелефонной связи, включенной в базу данных о случаях и попытках осуществления переводов денежных средств без добровольного согласия клиента, исключается из базы данных о случаях и попытках осуществления переводов денежных средств без добровольного согласия клиента по истечении:

(Статья 27 дополнена частью 11 с 1 марта 2027 г. - Федеральный закон от 26 июня 2026 г. № 210-ФЗ)

1) одного года со дня включения этой информации в базу данных о случаях и попытках осуществления переводов денежных средств без добровольного согласия клиента в случае, если эта информация включена в базу данных о случаях и попытках осуществления переводов денежных средств без добровольного согласия клиента впервые;

2) трех лет со дня повторного включения этой информации в базу данных о случаях и попытках осуществления переводов денежных средств без добровольного согласия клиента в случае, если эта информация включена в базу данных о случаях и попытках осуществления переводов денежных средств без добровольного согласия клиента повторно.

12. Информация об абонентских номерах подвижной радиотелефонной связи, включенная в базу данных о случаях и попытках осуществления переводов денежных средств без добровольного согласия клиента, исключается из базы данных о случаях и попытках осуществления переводов денежных средств без добровольного согласия клиента по истечении 180 дней со дня ее включения в базу данных о случаях и попытках осуществления переводов денежных средств без добровольного согласия клиента.

(Статья 27 дополнена частью 12 с 1 марта 2027 г. - Федеральный закон от 26 июня 2026 г. № 210-ФЗ)

13. Банк России исключает информацию в отношении клиента и (или) его электронного средства платежа, в том числе информацию о совершенных противоправных действиях, полученную в соответствии с частью 8 настоящей статьи от федерального органа исполнительной власти в сфере внутренних дел, из базы данных о случаях и попытках осуществления переводов денежных средств без добровольного согласия клиента до истечения указанных в части 11 настоящей статьи сроков, если от федерального органа исполнительной власти в сфере внутренних дел получена информация о прекращении уголовного преследования в отношении такого клиента.

(Статья 27 дополнена частью 13 с 1 марта 2027 г. - Федеральный закон от 26 июня 2026 г. № 210-ФЗ)