Порядок составления и представления отчетности по форме 0416071 "Сведения об оценке выполнения филиалом иностранного банка требований к обеспечению защиты информации"

Порядок

составления и представления отчетности по форме 0416071

"Сведения об оценке выполнения филиалом иностранного банка

требований к обеспечению защиты информации"

1. Отчетность по форме 0416071 "Сведения об оценке выполнения филиалом иностранного банка требований к обеспечению защиты информации" (далее - Отчет) составляется в целях получения Банком России сведений о результатах оценки соответствия выполнения требований к обеспечению защиты информации (далее - оценка соответствия), установленных:

Положением Банка России от 30 января 2025 года N 851-П "Об установлении обязательных для кредитных организаций, иностранных банков, осуществляющих деятельность на территории Российской Федерации через свои филиалы, требований к обеспечению защиты информации при осуществлении банковской деятельности в целях противодействия осуществлению переводов денежных средств без согласия клиента" <1> (далее - Положение Банка России N 851-П) - при осуществлении банковской деятельности, связанной с осуществлением перевода денежных средств;

--------------------------------

<1> Зарегистрировано Минюстом России 6 марта 2025 года, регистрационный N 81462.

Положением Банка России от 17 августа 2023 года N 821-П "О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств" <2> (далее - Положение Банка России N 821-П) - при осуществлении деятельности оператора по переводу денежных средств или оператора услуг платежной инфраструктуры, являющегося операционным центром;

--------------------------------

<2> Зарегистрировано Минюстом России 6 декабря 2023 года, регистрационный N 76286.

Положением Банка России от 20 апреля 2021 года N 757-П "Об установлении обязательных для некредитных финансовых организаций требований к обеспечению защиты информации при осуществлении деятельности в сфере финансовых рынков в целях противодействия осуществлению незаконных финансовых операций" <3> (далее - Положение Банка России N 757-П) - при совмещении деятельности филиала иностранного банка с деятельностью некредитной финансовой организации.

--------------------------------

<3> Зарегистрировано Минюстом России 15 июня 2021 года, регистрационный N 63880.

В Отчете заполняются все строки и графы, предусмотренные для заполнения (если иное не установлено настоящим Порядком). В случае отсутствия данных по одному или нескольким показателям в соответствующей графе (строке) Отчета проставляется 0 (ноль) для числовых показателей и "-" (прочерк) для символьных показателей.

Отчет должен быть подписан руководителем филиала иностранного банка (его заместителем).

2. Отчет представляется филиалом иностранного банка по состоянию на дату проведения оценки соответствия в следующие сроки:

2.1. Не реже одного раза в два года не позднее 30 рабочих дней со дня завершения проведения оценки соответствия согласно требованиям, установленным:

пунктом 13 Положения Банка России N 851-П - при осуществлении банковской деятельности, связанной с осуществлением перевода денежных средств;

пунктами 2.3 и 6.7 Положения Банка России N 821-П - при осуществлении деятельности оператора по переводу денежных средств или оператора услуг платежной инфраструктуры, являющегося операционным центром.

2.2. Не реже одного раза в три года не позднее 30 рабочих дней со дня завершения проведения оценки соответствия согласно требованию, установленному подпунктом 1.5.3 пункта 1.5 Положения Банка России N 757-П, - при совмещении деятельности филиала иностранного банка с деятельностью некредитной финансовой организации из числа указанных в подпункте 1.4.3 пункта 1.4 Положения Банка России N 757-П.

3. Заполнение филиалом иностранного банка сведений о выполнении требований к обеспечению защиты информации осуществляется по результатам проведения оценки соответствия по следующим направлениям:

оценка выполнения требований к обеспечению защиты информации, применяемых с использованием технологических мер защиты информации (направление "Технологические меры");

оценка выполнения требований к обеспечению защиты информации, применяемых в отношении прикладного программного обеспечения автоматизированных систем и приложений (направление "Безопасность программного обеспечения");

оценка выполнения требований к обеспечению защиты информации, применяемых в отношении объектов информационной инфраструктуры (направление "Безопасность информационной инфраструктуры").

4. Заполнение филиалом иностранного банка сведений раздела 1 Отчета (далее - раздел 1) осуществляется по результатам оценки соответствия, проведенной в отношении выполнения требований к технологическим мерам защиты информации (далее - требования по направлению "Технологические меры"), установленных нормативными актами Банка России, указанными в абзацах втором - четвертом пункта 1 настоящего Порядка.

4.1. В графе 2 раздела 1 указывается направление деятельности филиала иностранного банка с использованием следующих кодов:

В случае если филиал иностранного банка не реализует какое-либо направление деятельности, предусмотренное абзацем первым настоящего подпункта, по данному направлению деятельности графа 2 раздела 1 не заполняется.

4.2. В графе 3 раздела 1 указывается вид деятельности филиала иностранного банка с использованием следующих кодов:

В случае если филиал иностранного банка не осуществляет какой-либо вид деятельности, предусмотренный абзацем первым настоящего подпункта, по данному виду деятельности графа 3 раздела 1 не заполняется.

4.3. В графе 4 раздела 1 указывается вид оценки соответствия с использованием следующих кодов:

4.4. В графе 5 раздела 1 указывается значение оценки соответствия в отношении требований по направлению "Технологические меры".

5. Заполнение филиалом иностранного банка раздела 2 Отчета (далее - раздел 2) осуществляется по результатам оценки соответствия, проведенной в отношении выполнения требований к прикладному программному обеспечению автоматизированных систем и приложений, установленных нормативными актами Банка России, указанными в абзацах втором - четвертом пункта 1 настоящего Порядка (далее - требования по направлению "Безопасность программного обеспечения").

5.1. В графе 2 раздела 2 указывается направление деятельности филиала иностранного банка с использованием кодов, указанных в подпункте 4.1 пункта 4 настоящего Порядка.

В случае если филиал иностранного банка не реализует какое-либо направление деятельности, предусмотренное подпунктом 4.1 пункта 4 настоящего Порядка, по данному направлению деятельности графа 2 раздела 2 не заполняется.

5.2. В графе 3 раздела 2 указывается вид деятельности филиала иностранного банка с использованием следующих кодов:

В случае если филиал иностранного банка не осуществляет какой-либо вид деятельности, предусмотренный абзацем первым настоящего подпункта, по данному виду деятельности графа 3 раздела 2 не заполняется.

5.3. В графе 4 раздела 2 указывается вид оценки соответствия с использованием следующих кодов:

--------------------------------

<4> Подпункт 13 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 года N 1085 "Вопросы Федеральной службы по техническому и экспортному контролю".

5.4. В графе 5 раздела 2 указывается значение оценки соответствия в отношении требований по направлению "Безопасность программного обеспечения".

5.5. В графе 5 раздела 2 для вида оценки признака, характеризующего использование прикладного программного обеспечения автоматизированных систем и приложений, которые сертифицированы в системе сертификации ФСТЭК России или в отношении которых проведена оценка соответствия требованиям к ОУД (далее - ППО ОС), указывается значение "сертификация ФСТЭК России", если филиал иностранного банка обеспечивает использование прикладного программного обеспечения автоматизированных систем и приложений, сертифицированных в системе сертификации ФСТЭК России.

В графе 5 раздела 2 для вида оценки ППО ОС указывается значение "оценка соответствия ОУД", если филиал иностранного банка обеспечивает использование прикладного программного обеспечения автоматизированных систем и приложений, в отношении которых проведена оценка соответствия требованиям к ОУД.

6. Заполнение филиалом иностранного банка раздела 3 Отчета (далее - раздел 3) осуществляется в соответствии с требованиями к методике оценки соответствия, установленными разделом 7 национального стандарта Российской Федерации ГОСТ Р 57580.2-2018 "Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Методика оценки соответствия" <5> (далее - ГОСТ Р 57580.2-2018).

--------------------------------

<5> Утвержден приказом Федерального агентства по техническому регулированию и метрологии от 28 марта 2018 года N 156-ст (М., ФГУП "Стандартинформ", 2018) и введен в действие 1 сентября 2018 года.

6.1. В графе 2 раздела 3 указывается направление деятельности филиала иностранного банка с использованием кодов, указанных в подпункте 4.1 пункта 4 настоящего Порядка.

В случае если филиал иностранного банка не реализует какое-либо направление деятельности, предусмотренное в подпункте 4.1 пункта 4 настоящего Порядка, по данному направлению деятельности графа 2 раздела 3 не заполняется.

6.2. В графе 3 раздела 3 указывается вид деятельности филиала иностранного банка с использованием следующих кодов:

В случае если филиал иностранного банка не осуществляет какой-либо вид деятельности, предусмотренный абзацем первым настоящего подпункта, по данному виду деятельности графа 3 раздела 3 не заполняется.

6.3. В графе 4 раздела 3 указывается наименование процесса системы защиты информации с использованием следующих кодов:

--------------------------------

<6> Национальный стандарт Российской Федерации ГОСТ Р 57580.1-2017 "Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Базовый состав организационных и технических мер", утвержденный приказом Федерального агентства по техническому регулированию и метрологии от 8 августа 2017 года N 822-ст (М., ФГУП "Стандартинформ", 2017) и введенный в действие 1 января 2018 года (далее - ГОСТ Р 57580.1-2017).

6.4. В графе 5 раздела 3 указываются направления защиты информации с использованием следующих кодов:

6.5. В графе 6 раздела 3 указываются значения оценки соответствия по каждому из направлений защиты информации, предусмотренных в подпункте 6.4 настоящего пункта, по результатам оценки соответствия, проведенной в соответствии с разделом 6 ГОСТ Р 57580.2-2018.

6.6. В графе 6 строки "Применение организационных и технических мер защиты информации на этапах жизненного цикла автоматизированной системы, Еде" раздела 3 указывается результат оценки, характеризующий применение организационных и технических мер защиты информации на этапах жизненного цикла автоматизированной системы, в соответствии с пунктом 7.6 ГОСТ Р 57580.2-2018.

В графе 6 строки "Количество нарушений защиты информации, выявленных в результате оценки соответствия, Z" раздела 3 указывается количество нарушений защиты информации, выявленных представителями проверяющей организации в процессе оценки соответствия, проведенной в соответствии с пунктом 7.10 ГОСТ Р 57580.2-2018.

В графе 6 строки "Итоговая оценка соответствия, R" раздела 3 указывается значение итоговой оценки соответствия, рассчитанное в соответствии с пунктом 7.10 ГОСТ Р 57580.2-2018.

7. В разделе 4 Отчета (далее - раздел 4) указываются сведения об организации, привлеченной филиалом иностранного банка для проведения оценки соответствия и имеющей лицензию на осуществление деятельности по технической защите конфиденциальной информации, на проведение работ и услуг, предусмотренных подпунктами "б", "д" или "е" пункта 4 Положения о лицензировании деятельности по технической защите конфиденциальной информации, утвержденного постановлением Правительства Российской Федерации от 3 февраля 2012 года N 79 (далее - проверяющая организация).

7.1. В графе 2 раздела 4 указывается наименование проверяющей организации.

7.2. В графе 3 раздела 4 указывается идентификационный номер налогоплательщика (ИНН) проверяющей организации.

7.3. В графе 4 раздела 4 указывается дата проведения оценки соответствия в формате "дд.мм.гггг", где "дд" - день, "мм" - месяц, "гггг" - год.

7.4. В графе 5 раздела 4 указывается стоимость оценки соответствия в рублях.