--- title: "<Письмо> Банка России от 11.06.2024 N 34-8-1-2/1817" number: "34-8-1-2/1817" issuer: "Центральный банк Российской Федерации" issued_on: 2024-06-11 status: действует canonical: "https://bukva.ai/docs/pismo-34-8-1-21817" --- ## <Письмо> Банка России от 11.06.2024 N 34-8-1-2/1817 # <Письмо> Банка России от 11.06.2024 N 34-8-1-2/1817 "Об управлении рисками при осуществлении профессиональной деятельности"
**ЦЕНТРАЛЬНЫЙ БАНК РОССИЙСКОЙ ФЕДЕРАЦИИ** **ПИСЬМО**
**от 11 июня 2024 г. N 34-8-1-2/1817** **ОБ УПРАВЛЕНИИ РИСКАМИ ПРИ ОСУЩЕСТВЛЕНИИ**
**ПРОФЕССИОНАЛЬНОЙ ДЕЯТЕЛЬНОСТИ**
Профессиональные участники рынка ценных бумаг, осуществляющие деятельность по ведению реестра владельцев ценных (далее - Регистраторы), оказывают услуги, направленные на учет и хранение конфиденциальной информации в отношении прав собственности по ценным бумагам акционерных обществ, включая хозяйственные общества, имеющие стратегическое значение для обеспечения обороны страны и безопасности государства <1>. Также Регистраторы обязаны организовать систему управления рисками, содержащую систему мониторинга рисков такого регистратора, обеспечивающую своевременное доведение необходимой информации до сведения органов управления регистратора <2>. --- <1> Статья 6 Федерального закона от 29.04.2008 N 57-ФЗ "О порядке осуществления иностранных инвестиций в хозяйственные общества, имеющие стратегическое значение для обеспечения обороны страны и безопасности государства". <2> Пункт 1.1 Указания Банка России от 21.08.2017 N 4501-У "О требованиях к организации профессиональным участником рынка ценных бумаг системы управления рисками, связанными с осуществлением профессиональной деятельности на рынке ценных бумаг и с осуществлением операций с собственным имуществом, в зависимости от вида деятельности и характера совершаемых операций" (далее - Указание N 4501-У). Исходя из изложенного, Банк России проанализировав практику взаимодействия Регистраторов с юридическими лицами, являющимися поставщиками (разработчиками) программного обеспечения, необходимого для работы критически важных процессов Регистраторов (далее - Поставщик), рекомендует Регистраторам при осуществлении своей деятельности, для минимизации рисков профессионального участника, принимать во внимание следующее. 1. При выборе Поставщика для последующего заключения и (или) продления с ним договора о поставке (разработке) программного обеспечения и (или) технической поддержки поставляемого программного обеспечения (далее - договор), следует запрашивать у Поставщика или иным образом получать информацию, необходимую для анализа наличия ресурсов, компетенций, разрешений (лицензий) у такого Поставщика, а также информацию для оценки возможных рисков такого Поставщика. Указанная информация должна учитываться при выборе соответствующего Поставщика и последующем заключении с ним договора. 2. При заключении и (или) продлении договора с Поставщиком целесообразно включать в договор, в том числе следующие условия: - об обеспечении в отношении поставляемого (разрабатываемого) программного обеспечения, указанного в пункте 1.8 Положения Банка России от 20.04.2021 N 757-П <3>, сертификации в системе сертификации Федеральной службы по техническому и экспортному контролю или оценки соответствия по требованиям к оценочному уровню доверия (далее - ОУД) не ниже, чем ОУД 4, в соответствии с требованиями национального стандарта Российской Федерации ГОСТ Р ИСО/МЭК 15408-3-2013 "Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 3. Компоненты доверия к безопасности", утвержденного приказом Федерального агентства по техническому регулированию и метрологии от 8 ноября 2013 года N 1340-ст "Об утверждении национального стандарта" (М., ФГУП "Стандартинформ", 2014) (далее - ГОСТ Р ИСО/МЭК 15408-3-2013) при каждом внесении изменений в исходный текст программного обеспечения, реализующий технологию обработки защищаемой информации в соответствии с пунктом 1.10 настоящего Положения Банка России N 757-П <4>; --- <3> Положение Банка России от 20.04.2021 N 757-П "Об установлении обязательных для некредитных финансовых организаций требований к обеспечению защиты информации при осуществлении деятельности в сфере финансовых рынков в целях противодействия осуществлению незаконных финансовых операций". <4> Настоящая рекомендация актуальна и для случаев самостоятельной разработки Регистратором используемого им программного обеспечения. - требования к уровню и качеству предоставления услуг с учетом требований по обеспечению информационной безопасности и защите конфиденциальной информации; - требования к созданию условий непрерывности предоставления услуг (требования к Service Level Agreement, SLA) и к инструментам по мониторингу этого уровня; - требования об обязательном информировании Регистратора в течение предусмотренного договором времени после выявления ошибок (уязвимостей) поставленного (разработанного) программного обеспечения, а также о мерах, принятых Поставщиком для их устранения; - требования о наличии у Поставщика защищенных зон разработки и тестирования программного обеспечения; - иные требования, позволяющие эффективно организовать выявление, анализ и оценку рисков Регистратора (например, статический и динамический анализ кода). 3. При реализации требований и мероприятий, предусмотренных Указанием N 4501-У, необходимо идентифицировать риск невозможности предоставления услуг по технической поддержке поставляемого программного обеспечения Поставщиком Регистратору как риск, который может привести к невозможности непрерывного осуществления дальнейшей деятельности профессионального участника <5>. Информация о выявленном риске, а также перечень мероприятий по снижению риска или его исключению должны доводиться до сведения органов управления Регистратора, которым следует обеспечить надлежащий контроль за выполнением соответствующих процессов и мероприятий <6>. --- <5> Пункт 1.2 Указания N 4501-У. <6> Пункты 1.1 и 2.4 Указания N 4501-У. 4. Банк России, участвуя в реализации мер по обеспечению технологической независимости и безопасности критической информационной инфраструктуры Российской Федерации, контролирует планы перехода субъектов критической информационной инфраструктуры <7>. Планирование позволяет Банку России и финансовым организациям осуществлять организацию и контроль за процессом перехода, а также учитывать и планировать необходимые расходы и риски. Исходя из указанного опыта, Регистраторам, при планировании деятельности на будущий период, в том числе в части перехода на преимущественное применение доверенных программно-аппаратных комплексов, следует учитывать необходимость развития программно-технических средств Регистратора в соответствии с требованиями законодательства Российской Федерации, потребностями клиентов Регистратора, а также текущими тенденциями развития бизнеса и новых технологий. Для этих целей целесообразно разрабатывать и утверждать стратегию или планы соответствующего развития программно-технических средств Регистратора на период, превышающий 1 год. --- <7> Указ Президента Российской Федерации от 30 марта 2022 г. N 166 "О мерах по обеспечению технологической независимости и безопасности критической информационной инфраструктуры Российской Федерации", Постановление Правительства РФ от 14.11.2023 N 1912 "О порядке перехода субъектов критической информационной инфраструктуры Российской Федерации на преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации". 5. Регистратор, в своей деятельности, в том числе при взаимодействии с Поставщиком, обязан обеспечить соблюдение конфиденциальности информации <8>. --- <8> Статьи 8.6 и 8.6-1 Федерального закона от 22.04.1996 N 39-ФЗ "О рынке ценных бумаг". Дополнительно обращаем внимание Регистраторов на обязанность выполнения требований к операционной надежности в отношении взаимодействия с поставщиками услуг в сфере информационных технологий <9>, а также на Методические рекомендации по управлению риском информационной безопасности и обеспечению операционной надежности от 21 марта 2024 года N 7-МР, разработанные в целях содействия реализации требований к операционной надежности. --- <9> Пункт 1.7 Положения Банка России от 15.11.2021 N 779-П "Об установлении обязательных для некредитных финансовых организаций требований к операционной надежности при осуществлении видов деятельности, предусмотренных частью первой статьи 76.1 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)", в целях обеспечения непрерывности оказания финансовых услуг (за исключением банковских услуг)".
Директор Департамента
инфраструктуры финансового рынка
К.В.ПРОНИН
---