Зарегистрировано в Минюсте России 27 августа 2026 г. N 88020

ЦЕНТРАЛЬНЫЙ БАНК РОССИЙСКОЙ ФЕДЕРАЦИИ

УКАЗАНИЕ
от 22 июля 2026 г. N 7419-У

О ВНЕСЕНИИ ИЗМЕНЕНИЙ
В ПОЛОЖЕНИЕ БАНКА РОССИИ ОТ 13 ЯНВАРЯ 2025 ГОДА N 850-П

На основании статьи 57.5 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)":

1. Внести в Положение Банка России от 13 января 2025 года N 850-П "Об обязательных для кредитных организаций, иностранных банков, осуществляющих деятельность на территории Российской Федерации через свои филиалы, требованиях к операционной надежности при осуществлении банковской деятельности в целях обеспечения непрерывности оказания банковских услуг" <1> следующие изменения:

--------------------------------

<1> Зарегистрировано Минюстом России 15 апреля 2025 года, регистрационный N 81853.

1.1. В абзаце первом пункта 1 слова "далее - пороговый уровень допустимого времени простоя" заменить словами "далее - время простоя".

1.2. Абзац первый пункта 2 изложить в следующей редакции:

"2. Кредитные организации, филиалы иностранных банков в рамках обеспечения операционной надежности не должны допускать превышения предусмотренных приложением 1 к настоящему Положению значений порогового уровня допустимого времени простоя и (или) деградации технологических процессов, за исключением периодов времени простоя и (или) деградации технологических процессов, вызванных недоступностью государственных информационных систем, указанных в пункте 1 части 1 статьи 13 Федерального закона от 27 июля 2006 года N 149-ФЗ "Об информации, информационных технологиях и о защите информации", и (или) информационных систем оператора услуг платежной инфраструктуры платежной системы Банка России, и (или) национальной системы платежных карт, и (или) информационной системы оператора платформы цифрового рубля, по технологическим процессам, в рамках которых осуществление банковских и иных операций зависит от доступности указанных в настоящем абзаце информационных систем.".

1.3. В пункте 4:

абзац первый после слов "и соблюдать" дополнить словами ", за исключением периодов времени простоя и (или) деградации технологических процессов, вызванных недоступностью информационных систем, указанных в абзаце первом пункта 2 настоящего Положения,";

в абзаце втором слово "совершенных" заменить словами "не совершенных";

в абзаце седьмом слова "не ниже" заменить словами "не выше".

1.4. Пункт 5 изложить в следующей редакции:

"5. В случаях несоблюдения в течение временного периода, превышающего пять минут, сигнального значения допустимой доли деградации технологических процессов кредитные организации должны фиксировать:

фактическое время простоя и (или) деградации технологического процесса, исчисляемое по каждому инциденту операционной надежности (с момента нарушения технологического процесса, приводящего к неоказанию или ненадлежащему оказанию банковских услуг, в связи с возникновением события или серии связанных событий, вызванных информационными угрозами и (или) сбоями объектов информационной инфраструктуры, до момента восстановления технологического процесса);

фактическую долю деградации технологического процесса в рамках отдельного инцидента операционной надежности, рассчитываемую по формуле:

где:

ФД - фактическая доля деградации технологического процесса;

К_t - общее количество банковских и иных операций, осуществленных во время простоя и (или) деградации технологического процесса;

ОК_t - ожидаемое во время простоя и (или) деградации технологического процесса количество банковских и иных операций, осуществляемых в рамках данного технологического процесса, в случае непрерывного оказания банковских услуг;

наименования информационных систем, указанных в абзаце первом пункта 2 настоящего Положения, даты и время начала и окончания периодов времени простоя и (или) деградации технологических процессов, вызванных недоступностью информационных систем, указанных в абзаце первом пункта 2 настоящего Положения (при наличии указанных периодов);

суммарное время простоя и (или) деградации технологического процесса за последние двенадцать календарных месяцев, за исключением периодов времени простоя и (или) деградации технологических процессов, вызванных недоступностью информационных систем, указанных в абзаце первом пункта 2 настоящего Положения.

Филиалы иностранных банков в случае простоя технологических процессов в течение временного периода, превышающего значения порогового уровня допустимого времени простоя и (или) деградации технологических процессов, предусмотренных приложением 1 к настоящему Положению, должны фиксировать фактическое время простоя технологического процесса (с момента нарушения технологического процесса, приводящего к неоказанию банковских услуг, в связи с возникновением события или серии связанных событий, вызванных информационными угрозами и (или) сбоями объектов информационной инфраструктуры, до момента восстановления технологического процесса), а также наименования информационных систем, указанных в абзаце первом пункта 2 настоящего Положения, даты и время начала и окончания периодов времени простоя и (или) деградации технологических процессов, вызванных недоступностью информационных систем, указанных в абзаце первом пункта 2 настоящего Положения (при наличии указанных периодов).

При определении времени простоя и (или) деградации технологических процессов в расчет не включаются периоды времени плановых технологических операций, связанных с приостановлением (частичным приостановлением) технологических процессов и проводимых в соответствии с внутренними документами кредитных организаций, филиалов иностранных банков.".

1.5. Пункт 7 дополнить подпунктом 7.1(1) следующего содержания:

"7.1(1). Кредитные организации при организации учета состава объектов информационной инфраструктуры, задействованных при выполнении каждого технологического процесса, должны определять, фиксировать и актуализировать при каждом изменении следующую информацию:

сведения о наименовании, об этапах жизненного цикла, предусмотренных разделом 9 национального стандарта Российской Федерации ГОСТ Р 57580.1-2017 "Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Базовый состав организационных и технических мер" <2(1-1)>, автоматизированной системы, компонента автоматизированной системы, являющегося программным обеспечением, или средством вычислительной техники, или телекоммуникационным оборудованием и задействованного при выполнении технологических процессов (далее - компонент автоматизированной системы), а также об ожидаемой дате их завершения;

сведения об уникальном идентификационном номере и о функциональном назначении автоматизированной системы, указанных в плане мероприятий кредитной организации, согласованном Банком России в соответствии с частью первой статьи 57.5-1 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", или присвоенных кредитной организацией самостоятельно (в случае отсутствия указанного плана мероприятий);

сведения об идентификационном номере налогоплательщика (идентификационном номере налогоплательщика - иностранного лица в стране регистрации (Tax Identification Number) или его аналоге) разработчика автоматизированной системы, а также разработчика компонента автоматизированной системы, о цифровом коде страны разработчика автоматизированной системы, компонента автоматизированной системы в соответствии с Общероссийским классификатором стран мира;

сведения об отнесении автоматизированной системы к типовому объекту критической информационной инфраструктуры Российской Федерации в соответствии с перечнем типовых отраслевых объектов критической информационной инфраструктуры Российской Федерации, утвержденным распоряжением Правительства Российской Федерации от 26 февраля 2026 года N 360-р (при наличии указанных сведений);

сведения о классе автоматизированной системы в соответствии с классификатором программ для электронных вычислительных машин и баз данных, утвержденным пунктом 1 приказа Министерства цифрового развития, связи и массовых коммуникаций Российской Федерации от 22 сентября 2020 года N 486 <2(1-2)> (далее - классификатор программ для электронных вычислительных машин и баз данных), в случае отсутствия сведений, предусмотренных абзацем пятым настоящего подпункта;

перечень автоматизированных систем, которые являются источниками данных для автоматизированной системы, используемой при выполнении технологических процессов;

количество автоматизированных систем, а также количество средств вычислительной техники, телекоммуникационного оборудования, входящих в состав указанных автоматизированных систем, используемых при выполнении технологических процессов;

сведения о конфигурации (версии) программного обеспечения или о присвоенном разработчиком идентификаторе средства вычислительной техники, телекоммуникационного оборудования, используемых при выполнении технологических процессов (при наличии);

сведения о классе используемого при выполнении технологических процессов программного обеспечения, являющегося компонентом автоматизированной системы, в соответствии с классификатором программ для электронных вычислительных машин и баз данных;

сведения о классах используемых при выполнении технологических процессов средств вычислительной техники, телекоммуникационного оборудования, являющихся компонентами автоматизированной системы, в соответствии с классификатором программно-аппаратных комплексов, утвержденным пунктом 1 приказа Министерства цифрового развития, связи и массовых коммуникаций Российской Федерации от 31 января 2023 года N 62 <2(1-3)>;

сведения об архитектуре, в рамках которой функционирует компонент автоматизированной системы кредитных организаций;

сведения о возможности осуществления приобретения компонента автоматизированной системы;

сведения о способе или способах осуществления технической поддержки компонента автоматизированной системы (при наличии);

сведения о возможности работы компонента автоматизированной системы без подключения к информационно-телекоммуникационной сети "Интернет" (далее - сеть "Интернет") с сохранением его функционала;

сведения о способе или способах обновления компонента автоматизированной системы (при наличии);

сведения о возможности устранения известных (описанных) уязвимостей защиты информации компонента автоматизированной системы;

сведения о канале или каналах удаленного управления компонентом автоматизированной системы (при наличии);

сведения о документе (сертификате), указанном в пункте 2 требований к программному обеспечению, в том числе в составе программно-аппаратных комплексов, используемому органами государственной власти, заказчиками, осуществляющими закупки в соответствии с Федеральным законом "О закупках товаров, работ, услуг отдельными видами юридических лиц" (за исключением организаций с муниципальным участием), на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации, утвержденных постановлением Правительства Российской Федерации от 22 августа 2022 года N 1478 (при наличии);

сведения о порядковом номере реестровой записи и дате формирования реестровой записи компонента автоматизированной системы, указанных в едином реестре российских программ для электронных вычислительных машин и баз данных или едином реестре программ для электронных вычислительных машин и баз данных из государств - членов Евразийского экономического союза, за исключением Российской Федерации, правила формирования и ведения которых утверждены пунктом 1 постановления Правительства Российской Федерации от 16 ноября 2015 года N 1236 (при наличии);

сведения о порядковом номере реестровой записи и дате формирования реестровой записи средств вычислительной техники, телекоммуникационного оборудования, указанных в едином реестре российской радиоэлектронной продукции, созданном на основании пункта 1 постановления Правительства Российской Федерации от 10 июля 2019 года N 878, либо о дате формирования реестровой записи, сроке ее действия и номере, указанных в реестре российской промышленной продукции, правила формирования и ведения которого утверждены пунктом 1(5) постановления Правительства Российской Федерации от 17 июля 2015 года N 719 (при наличии);

сведения о присвоенном в соответствии с критериями отнесения продукции к промышленной продукции, не имеющей произведенных в Российской Федерации аналогов, утвержденными абзацем вторым пункта 1 постановления Правительства Российской Федерации от 20 сентября 2017 года N 1135, номере заключения об отсутствии аналогов, дате выдачи заключения об отсутствии аналогов и сроке его действия (при наличии заключения).";

дополнить сноской 2(1-1) к абзацу второму подпункта 7.1(1) следующего содержания:

"<2(1-1)> Утвержден и введен в действие 1 января 2018 года приказом Федерального агентства по техническому регулированию и метрологии от 8 августа 2017 года N 822-ст (М.: ФГУП "Стандартинформ", 2017).";

дополнить сноской 2(1-2) к абзацу шестому подпункта 7.1(1) следующего содержания:

"<2(1-2)> Зарегистрирован Минюстом России 29 октября 2020 года, регистрационный N 60646, с изменениями, внесенными приказами Минцифры России от 26 апреля 2022 года N 393 (зарегистрирован Минюстом России 27 июня 2022 года, регистрационный N 69023), от 22 декабря 2022 года N 974 (зарегистрирован Минюстом России 20 апреля 2023 года, регистрационный N 73105), от 4 декабря 2023 года N 1041 (зарегистрирован Минюстом России 11 марта 2024 года, регистрационный N 77464).";

дополнить сноской 2(1-3) к абзацу одиннадцатому подпункта 7.1(1) следующего содержания:

"<2(1-3)> Зарегистрирован Минюстом России 13 апреля 2023 года, регистрационный N 72994, с изменениями, внесенными приказом Минцифры России от 8 сентября 2023 года N 792 (зарегистрирован Минюстом России 19 октября 2023 года, регистрационный N 75651).".

1.6. В абзаце первом пункта 10 слова "информационно-телекоммуникационной сети "Интернет" (далее - сеть "Интернет")" заменить словами "сети "Интернет".

1.7. Пункт 12 дополнить абзацем следующего содержания:

"Кредитные организации в дополнение к информации, указанной в абзацах восьмом - одиннадцатом настоящего пункта, филиалы иностранных банков в дополнение к информации, указанной в абзацах тринадцатом - пятнадцатом настоящего пункта, должны регистрировать информацию о наименовании информационных систем, указанных в абзаце первом пункта 2 настоящего Положения, датах и времени начала и окончания периодов времени простоя и (или) деградации технологических процессов, вызванных недоступностью информационных систем, указанных в абзаце первом пункта 2 настоящего Положения (при наличии указанных периодов).".

1.8. В пункте 13:

абзац второй после слов "кредитных организаций," дополнить словами "о наименовании информационных систем, указанных в абзаце первом пункта 2 настоящего Положения, датах и времени начала и окончания периодов времени простоя и (или) деградации технологических процессов, вызванных недоступностью информационных систем, указанных в абзаце первом пункта 2 настоящего Положения (при наличии указанных периодов),";

абзац пятый после слов "к настоящему Положению," дополнить словами "о наименовании информационных систем, указанных в абзаце первом пункта 2 настоящего Положения, датах и времени начала и окончания периодов времени простоя и (или) деградации технологических процессов, вызванных недоступностью информационных систем, указанных в абзаце первом пункта 2 настоящего Положения (при наличии указанных периодов),".

1.9. В приложении 1:

строки 9 - 12 изложить в следующей редакции:

"

";

строку 13 признать утратившей силу.

1.10. Приложение 2 изложить в редакции приложения к настоящему Указанию.

2. Настоящее Указание подлежит официальному опубликованию и в соответствии с решением Совета директоров Банка России (протокол заседания Совета директоров Банка России от 7 июля 2026 года N ПСД-18) вступает в силу с 1 января 2027 года, за исключением подпункта 1.5 пункта 1 настоящего Указания.

Подпункт 1.5 пункта 1 настоящего Указания вступает в силу с 1 января 2028 года.

Председатель Центрального банка

Российской Федерации

Э.С.НАБИУЛЛИНА