Статья 12.
Главу 3 Федерального закона от 27 июня 2011 года № 161-ФЗ «О национальной платежной системе» (Собрание законодательства Российской Федерации, 2011, № 27, ст. 3872) дополнить статьей 19.3 следующего содержания:
«Статья 19.3. Взаимодействие операционных центров, не являющихся кредитными организациями, с организациями, привлекаемыми к обработке информации ограниченного доступа
1. Операционный центр, не являющийся кредитной организацией, в соответствии с порядком и требованиями, которые установлены Банком России на основании настоящей статьи, вправе поручить по истечении 60 дней, следующих за днем направления уведомления в Банк России в соответствии с частью 2 настоящей статьи, при отсутствии решения Банка России, принятого на основании пункта 1 части 12 настоящей статьи, организации, указанной в части 3 настоящей статьи (далее для целей настоящей статьи - привлекаемая организация), с учетом ограничений, установленных законодательством Российской Федерации, осуществление сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) с использованием информационных систем и их компонентов, принадлежащих на законном основании привлекаемой организации и находящихся на территории Российской Федерации, на основании заключенного в соответствии с гражданским законодательством с привлекаемой организацией договора. Операционный центр, не являющийся кредитной организацией, вправе поручить привлекаемой организации осуществление сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения персональных данных в соответствии с настоящей частью без согласия субъектов персональных данных при условии соответствия договора, предусмотренного настоящей частью, требованиям части 3 статьи 6 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных». Привлекаемая организация, которой операционный центр, не являющийся кредитной организацией, поручил осуществлять указанные в настоящей части действия с информацией ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), осуществляет с такой информацией только те действия, которые соответствуют правам и обязанностям данного операционного центра, не являющегося кредитной организацией, при обработке такой информации. Положения настоящей части не распространяются на случаи осуществления трансграничного перевода денежных средств, а также на случаи, если передача указанной в настоящей части информации требуется для рассмотрения заявлений клиентов участников платежной системы, касающихся использования электронных средств платежа без добровольного согласия клиентов.
2. Операционный центр, не являющийся кредитной организацией, обязан уведомить Банк России о намерении поручить привлекаемой организации осуществление указанных в части 1 настоящей статьи действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) до такого поручения. К уведомлению, указанному в настоящей части, прилагаются заключение и (или) отчет организации, которая имеет лицензии федерального органа исполнительной власти, уполномоченного в области противодействия техническим разведкам и технической защиты информации, и (или) федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности, полученные в порядке, предусмотренном законодательством Российской Федерации, и соответствует требованиям, установленным на основании части 9 настоящей статьи, а также в соответствии с требованиями, установленными на основании настоящей статьи, проводит операционный аудит привлекаемой организации, включая оценку соответствия привлекаемой организации установленным на основании части 8 настоящей статьи требованиям к обеспечению защиты информации (далее для целей настоящей статьи - проверяющая организация). Указанное уведомление направляется в форме электронного документа, подписывается усиленной квалифицированной электронной подписью уполномоченного лица и должно содержать следующие сведения:
1) наименование, адрес операционного центра, не являющегося кредитной организацией;
2) фамилии, имена, отчества (при наличии), номера контактных телефонов, адреса электронной почты работников привлекаемой организации, которые осуществляют функции по обеспечению информационной безопасности привлекаемой организации, а также специальных должностных лиц привлекаемой организации, ответственных за обеспечение сохранности информации ограниченного доступа;
3) наименование привлекаемой организации, которой планируется поручить осуществление указанных в части 1 настоящей статьи действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне);
4) сведения, подтверждающие соответствие привлекаемой организации требованиям, установленным настоящей статьей, и соответствие проверяющей организации требованиям, установленным на основании части 9 настоящей статьи.
3. Под привлекаемыми организациями понимаются организации, осуществляющие деятельность в области информационных технологий, аккредитованные в порядке, установленном законодательством Российской Федерации, а также банки с универсальной лицензией, операционные центры, не являющиеся кредитными организациями, которые находятся под контролем Российской Федерации, и (или) субъекта Российской Федерации, и (или) муниципального образования, и (или) гражданина Российской Федерации, не имеющего гражданства другого государства, и (или) контролируемых ими совместно или по отдельности лиц. Для целей настоящей статьи под контролем понимается возможность определять решения, принимаемые банками с универсальной лицензией, операционными центрами, не являющимися кредитными организациями, указанными в настоящей части, в силу наличия права прямо или косвенно распоряжаться более чем пятьюдесятью процентами общего количества голосов, приходящихся на голосующие акции (доли), составляющие уставный капитал данных банков с универсальной лицензией, операционных центров, не являющихся кредитными организациями.
4. Привлекаемая организация и ее работники обязаны обеспечить защиту информации ограниченного доступа, полученной в соответствии с настоящим Федеральным законом и другими федеральными законами от операционного центра, не являющегося кредитной организацией (за исключением сведений, отнесенных к государственной тайне), и в случае ее разглашения несут ответственность в соответствии с законодательством Российской Федерации и договором, заключенным в соответствии с гражданским законодательством между привлекаемой организацией и операционным центром, не являющимся кредитной организацией.
5. Привлекаемая организация в соответствии с требованиями, установленными на основании настоящей статьи, осуществляет внутренний контроль и ежегодно проводит операционный аудит, включая оценку соответствия привлекаемой организации установленным на основании части 8 настоящей статьи требованиям к обеспечению защиты информации, с привлечением проверяющей организации. Подготовленные по результатам проведения операционного аудита привлекаемой организации заключение и (или) отчет проверяющей организации направляются в операционный центр, не являющийся кредитной организацией, который поручил привлекаемой организации в соответствии с частью 1 настоящей статьи осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), привлекаемую организацию, а также в Банк России.
6. Привлекаемая организация обязана уведомить операционный центр, не являющийся кредитной организацией, который поручил привлекаемой организации в соответствии с частью 1 настоящей статьи осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), о намерении расторгнуть договор, предусмотренный частью 1 настоящей статьи, не позднее шести месяцев до предполагаемой даты расторжения этого договора и обеспечить сохранность такой информации до момента ее передачи в такой операционный центр, не являющийся кредитной организацией. Операционный центр, не являющийся кредитной организацией, который в соответствии с частью 1 настоящей статьи поручил привлекаемой организации осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), до предполагаемой даты расторжения договора, предусмотренного частью 1 настоящей статьи, обязан принять от привлекаемой организации ранее переданную ей указанным операционным центром, не являющимся кредитной организацией, информацию ограниченного доступа.
7. Договором, указанным в части 1 настоящей статьи, должны быть предусмотрены:
1) порядок направления привлекаемой организацией в операционный центр, не являющийся кредитной организацией, на ежеквартальной основе информации о соблюдении целевых показателей оказания услуг привлекаемой организацией в части обеспечения защиты информации, а также состав такой информации;
2) формы и порядок направления привлекаемой организацией в операционный центр, не являющийся кредитной организацией, информации об инцидентах, связанных с нарушением требований к обеспечению защиты информации, которые произошли в период деятельности привлекаемой организации, осуществляемой на основании указанного договора, в течение двух часов с момента их выявления привлекаемой организацией;
3) ответственность привлекаемой организации и ее работников за разглашение полученной от операционного центра, не являющегося кредитной организацией, в соответствии с настоящим Федеральным законом и другими федеральными законами информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне);
4) порядок направления уведомления, предусмотренного частью 6 настоящей статьи.
8. Банк России устанавливает по согласованию с федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, и федеральным органом исполнительной власти, осуществляющим функции по выработке и реализации государственной политики и нормативно-правовому регулированию в сфере информационных технологий, порядок привлечения привлекаемой организации и взаимодействия с привлекаемой организацией и требования к привлекаемой организации. Такие требования должны содержать:
1) требования к обеспечению защиты информации;
2) требования к информационным системам;
3) критерии, свидетельствующие о том, что привлекаемая организация не может далее привлекаться к указанному в настоящей статье новому взаимодействию с кредитными организациями, некредитными финансовыми организациями или лицами, оказывающими профессиональные услуги на финансовом рынке;
4) требования к осуществлению внутреннего контроля привлекаемой организацией.
9. Банк России устанавливает по согласованию с федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, и федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, требования к проверяющей организации, требования к проведению операционного аудита привлекаемой организации.
10. Привлекаемая организация должна соответствовать следующим требованиям:
1) в отношении привлекаемой организации не проводится процедура ликвидации юридического лица, не принято решение о ее исключении из единого государственного реестра юридических лиц в соответствии с законодательством Российской Федерации о государственной регистрации юридических лиц, отсутствует решение (определение) арбитражного суда о введении процедуры банкротства в соответствии с законодательством Российской Федерации о несостоятельности (банкротстве), а также в течение последних двух лет не принимались меры за нарушение порядка и требований, установленных на основании настоящей статьи;
2) в штате привлекаемой организации имеются работники, которые осуществляют функции по обеспечению информационной безопасности привлекаемой организации, а также специальные должностные лица, ответственные за обеспечение сохранности информации, указанной в части 1 настоящей статьи;
3) у руководителя привлекаемой организации отсутствует неснятая или непогашенная судимость за совершение преступления в сфере экономики или преступления в сфере компьютерной информации;
4) привлечение привлекаемой организации и взаимодействие с ней осуществляются в соответствии с порядком, установленным Банком России на основании части 8 настоящей статьи;
5) привлекаемая организация осуществляет внутренний контроль и ежегодно проводит операционный аудит, включая оценку соответствия привлекаемой организации требованиям к обеспечению защиты информации, установленным на основании части 8 настоящей статьи, с привлечением проверяющей организации;
6) привлекаемая организация, лицо, осуществляющее функции единоличного исполнительного органа привлекаемой организации, не являются блокируемыми лицами в соответствии с частью 2.1 статьи 3 Федерального закона от 30 декабря 2006 года № 281-ФЗ «О специальных экономических мерах и принудительных мерах»;
7) привлекаемая организация, лицо, осуществляющее функции единоличного исполнительного органа привлекаемой организации, не являются лицами, осуществляющими деятельность на территории Российской Федерации без полученной в установленном порядке лицензии, в случае, если законодательство Российской Федерации в отношении такой деятельности предусматривает ее наличие, либо лицами, оказывающими услуги с использованием сайта в информационно-телекоммуникационной сети «Интернет», в случае, если доменное имя этого сайта, указатель страницы этого сайта содержатся в Едином реестре доменных имен, указателей страниц сайтов в информационно-телекоммуникационной сети «Интернет» и сетевых адресов, позволяющих идентифицировать сайты в информационно-телекоммуникационной сети «Интернет», содержащие информацию, распространение которой в Российской Федерации запрещено;
8) лицо, осуществляющее функции единоличного исполнительного органа привлекаемой организации, не включено в реестр контролируемых лиц, предусмотренный законодательством о правовом положении иностранных граждан в Российской Федерации;
9) привлекаемая организация соответствует иным требованиям, установленным Банком России на основании настоящей статьи.
11. Банк России вправе направить операционному центру, не являющемуся кредитной организацией, и (или) проверяющей организации обязательные для исполнения запросы о представлении в Банк России сведений, подтверждающих соответствие привлекаемой организации требованиям, установленным настоящей статьей, и соответствие проверяющей организации требованиям, установленным на основании части 9 настоящей статьи, заключения и (или) отчета проверяющей организации по результатам проведения операционного аудита привлекаемой организации. Запрашиваемые сведения и документы направляются в Банк России в сроки, указанные в таких запросах. По результатам рассмотрения указанных в настоящей части сведений, заключения и (или) отчета проверяющей организации в случае выявления несоответствия проверяющей организации требованиям, установленным на основании части 9 настоящей статьи, Банк России вправе рекомендовать проведение повторного операционного аудита с привлечением другой проверяющей организации.
12. Банк России в течение 60 дней, следующих за днем получения уведомления, заключения и (или) отчета проверяющей организации, направленных в Банк России в соответствии с настоящей статьей, принимает одно из следующих решений:
1) о запрете привлечения операционным центром, не являющимся кредитной организацией, привлекаемой организации в целях осуществления сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) в случае несоблюдения порядка и требований, которые установлены Банком России на основании настоящей статьи, и требований, предусмотренных настоящей статьей, и об уведомлении операционного центра, не являющегося кредитной организацией, о таком решении до истечения указанного в настоящей части срока;
2) о разрешении привлечения операционным центром, не являющимся кредитной организацией, привлекаемой организации в целях осуществления сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне).
13. Банк России осуществляет контроль за соблюдением операционным центром, не являющимся кредитной организацией, порядка и требований, установленных на основании настоящей статьи.
14. В случае разглашения привлекаемой организацией и (или) ее работниками информации ограниченного доступа, полученной от операционного центра, не являющегося кредитной организацией, в соответствии с настоящим Федеральным законом и другими федеральными законами (за исключением сведений, отнесенных к государственной тайне), операционный центр, не являющийся кредитной организацией, и привлекаемая организация несут ответственность в соответствии с законодательством Российской Федерации.».