---
title: "Указание Банка России от 05.06.2013 N 3007-У"
number: "3007-У"
issuer: "Центральный банк Российской Федерации"
issued_on: 2013-06-05
status: утратил силу
canonical: "https://bukva.ai/docs/ukazanie-ukazaniya-3007-u"
---

## Указание Банка России от 05.06.2013 N 3007-У

# Указание Банка России от 05.06.2013 N 3007-У

"О внесении изменений в Положение Банка России от 9 июня 2012 года N 382-П "О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств"

(Зарегистрировано в Минюсте России 01.07.2013 N 28930)

> [!WARNING]
> Документ утратил силу с [1 января 2022 года](https://bukva.ai/docs/719-p#p100175) в связи с изданием [Положения](https://bukva.ai/docs/719-p#p100180) Банка России от 04.06.2020 N 719-П.
> Начало действия документа - 10.07.2013 (за исключением отдельных положений).
> Окончание действия документа - 31.12.2021.
> В соответствии с [пунктом 2](#p100079) данный документ вступает в силу со дня официального опубликования в "Вестнике Банка России", за исключением отдельных положений, [вступающих](#p100080) в силу в иные сроки (опубликовано в "Вестнике Банка России" - 10.07.2013).


<a id="p100001"></a>Зарегистрировано в Минюсте России 1 июля 2013 г. N 28930

---


<a id="p100002"></a>**ЦЕНТРАЛЬНЫЙ БАНК РОССИЙСКОЙ ФЕДЕРАЦИИ**

<a id="p100003"></a>**УКАЗАНИЕ**
от 5 июня 2013 г. N 3007-У

<a id="p100004"></a>**О ВНЕСЕНИИ ИЗМЕНЕНИЙ**
**В ПОЛОЖЕНИЕ БАНКА РОССИИ ОТ 9 ИЮНЯ 2012 ГОДА**
**N 382-П "О ТРЕБОВАНИЯХ К ОБЕСПЕЧЕНИЮ ЗАЩИТЫ ИНФОРМАЦИИ**
**ПРИ ОСУЩЕСТВЛЕНИИ ПЕРЕВОДОВ ДЕНЕЖНЫХ СРЕДСТВ И О ПОРЯДКЕ**
**ОСУЩЕСТВЛЕНИЯ БАНКОМ РОССИИ КОНТРОЛЯ ЗА СОБЛЮДЕНИЕМ**
**ТРЕБОВАНИЙ К ОБЕСПЕЧЕНИЮ ЗАЩИТЫ ИНФОРМАЦИИ**
**ПРИ ОСУЩЕСТВЛЕНИИ ПЕРЕВОДОВ ДЕНЕЖНЫХ СРЕДСТВ"**

1. <a id="p100005"></a>Внести в [Положение](https://bukva.ai/docs/382-p) Банка России от 9 июня 2012 года N 382-П "О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств", зарегистрированное Министерством юстиции Российской Федерации 14 июня 2012 года N 24575 ("Вестник Банка России" от 22 июня 2012 года N 32), следующие изменения.
<a id="p100006"></a>1.1. В [абзаце девятом пункта 2.1](https://bukva.ai/docs/382-p#p100019) слова "технических средств по защите информации" заменить словами "технических средств защиты информации".
<a id="p100007"></a>1.2. [Пункт 2.2](https://bukva.ai/docs/382-p#p100021) дополнить абзацами следующего содержания:
<a id="p100008"></a>"Оператор по переводу денежных средств, банковский платежный агент (субагент), оператор платежной системы, оператор услуг платежной инфраструктуры к инцидентам, связанным с нарушениями требований к обеспечению защиты информации при осуществлении переводов денежных средств, относят события, которые возникли вследствие нарушения требований к обеспечению защиты информации при осуществлении переводов денежных средств и (или) условий осуществления (требований к осуществлению) перевода денежных средств, связанных с обеспечением защиты информации при осуществлении переводов денежных средств, которые установлены оператором по переводу денежных средств и доведены им до клиента, и которые:
<a id="p100009"></a>привели к несвоевременности (к нарушению сроков, установленных законодательством Российской Федерации, правилами платежных систем и (или) договорами, заключаемыми клиентами, операторами по переводу денежных средств, операторами услуг платежной инфраструктуры, операторами платежных систем, банковскими платежными агентами (субагентами), участниками платежных систем) осуществления переводов денежных средств;
<a id="p100010"></a>привели или могут привести к осуществлению переводов денежных средств по распоряжению лиц, не обладающих правом распоряжения этими денежными средствами;
<a id="p100011"></a>привели к осуществлению переводов денежных средств с использованием искаженной информации, содержащейся в распоряжениях клиентов, распоряжениях участников платежной системы, распоряжениях клирингового центра.".
<a id="p100012"></a>1.3. [Подпункт 2.6.3 пункта 2.6](https://bukva.ai/docs/382-p#p100066) изложить в следующей редакции:
<a id="p100013"></a>"2.6.3. При осуществлении доступа к защищаемой информации, находящейся на объектах информационной инфраструктуры, указанных в подпункте 2.6.1 настоящего пункта, оператор по переводу денежных средств, банковский платежный агент (субагент), оператор услуг платежной инфраструктуры обеспечивают:
<a id="p100014"></a>выполнение процедур идентификации, аутентификации, авторизации своих работников при осуществлении доступа к защищаемой информации;
<a id="p100015"></a>идентификацию, аутентификацию, авторизацию участников платежной системы при осуществлении переводов денежных средств;
<a id="p100016"></a>определение порядка использования информации, необходимой для выполнения аутентификации;
<a id="p100017"></a>регистрацию действий при осуществлении доступа своих работников к защищаемой информации;
<a id="p100018"></a>регистрацию действий, связанных с назначением и распределением прав доступа к защищаемой информации.
<a id="p100019"></a>При осуществлении доступа к защищаемой информации, находящейся на объектах информационной инфраструктуры, указанных в подпункте 2.6.1 настоящего пункта, оператор по переводу денежных средств, банковский платежный агент (субагент) обеспечивают:
<a id="p100020"></a>выполнение процедур идентификации, аутентификации, авторизации лиц, осуществляющих доступ к программному обеспечению банкоматов и платежных терминалов;
<a id="p100021"></a>выполнение процедур идентификации и контроль деятельности лиц, осуществляющих техническое обслуживание банкоматов и платежных терминалов;
<a id="p100022"></a>регистрацию действий, связанных с назначением и распределением прав клиентов, предоставленных им в автоматизированных системах, входящих в состав объектов информационной инфраструктуры и используемых для осуществления переводов денежных средств (далее - автоматизированные системы), и программном обеспечении, входящем в состав объектов информационной инфраструктуры и используемом для осуществления переводов денежных средств (далее - программное обеспечение);
<a id="p100023"></a>регистрацию действий клиентов, выполняемых с использованием автоматизированных систем, программного обеспечения.
<a id="p100024"></a>Регистрации в соответствии с абзацем одиннадцатым настоящего подпункта подлежит следующая информация о действиях клиентов, выполняемых с использованием автоматизированных систем, программного обеспечения:
<a id="p100025"></a>дата (день, месяц, год) и время (часы, минуты, секунды) осуществления действия клиента;
<a id="p100026"></a>набор символов, присвоенный клиенту и позволяющий идентифицировать его в автоматизированной системе, программном обеспечении (далее - идентификатор клиента);
<a id="p100027"></a>код, соответствующий выполняемому действию;
<a id="p100028"></a>идентификационная информация, используемая для адресации устройства, с использованием которого осуществлен доступ к автоматизированной системе, программному обеспечению с целью осуществления переводов денежных средств, которой в зависимости от технической возможности является IP-адрес, MAC-адрес, номер SIM-карты, номер телефона и (или) иной идентификатор устройства (далее - идентификатор устройства).
<a id="p100029"></a>Банковский платежный агент (субагент) обеспечивает регистрацию действий клиентов, выполняемых с использованием автоматизированных систем, программного обеспечения, при наличии технической возможности с учетом выполняемого перечня операций и используемых автоматизированных систем, программного обеспечения, эксплуатация которых обеспечивается банковским платежным агентом (субагентом).
<a id="p100030"></a>Оператор по переводу денежных средств обеспечивает хранение информации, указанной в абзацах тринадцатом - шестнадцатом настоящего подпункта, не менее пяти лет, начиная с даты осуществления клиентом действия, выполняемого с использованием автоматизированной системы, программного обеспечения.
<a id="p100031"></a>Оператор по переводу денежных средств определяет во внутренних документах:
<a id="p100032"></a>порядок формирования уникального идентификатора клиента в автоматизированной системе, программном обеспечении;
<a id="p100033"></a>перечень кодов действий клиентов, выполняемых при осуществлении переводов денежных средств с использованием автоматизированной системы, программного обеспечения;
<a id="p100034"></a>подлежащий регистрации идентификатор устройства;
<a id="p100035"></a>порядок регистрации и хранения информации, указанной в абзацах тринадцатом - шестнадцатом настоящего подпункта.
<a id="p100036"></a>Оператор по переводу денежных средств определяет требования к порядку, форме и срокам передачи ему информации о действиях клиентов, выполняемых с использованием автоматизированных систем, программного обеспечения, регистрируемой банковскими платежными агентами (субагентами).
<a id="p100037"></a>При осуществлении доступа к защищаемой информации, находящейся на объектах информационной инфраструктуры, указанных в подпункте 2.6.1 настоящего пункта, оператор по переводу денежных средств обеспечивает регистрацию действий с информацией о банковских счетах, включая операции открытия и закрытия банковских счетов.".
<a id="p100038"></a>1.4. [Пункт 2.13](https://bukva.ai/docs/382-p#p100160) дополнить подпунктом 2.13.4 следующего содержания:
<a id="p100039"></a>"2.13.4. Оператор по переводу денежных средств, оператор услуг платежной инфраструктуры обеспечивают регистрацию самостоятельно выявленных инцидентов, связанных с нарушением требований к обеспечению защиты информации при осуществлении переводов денежных средств.
<a id="p100040"></a>Оператор по переводу денежных средств обеспечивает регистрацию ставших ему известными инцидентов, связанных с нарушением требований к обеспечению защиты информации при осуществлении переводов денежных средств, выявленных клиентами данного оператора по переводу денежных средств.
<a id="p100041"></a>Оператор по переводу денежных средств обеспечивает регистрацию ставших ему известными инцидентов, связанных с нарушением требований к обеспечению защиты информации при осуществлении переводов денежных средств, выявленных банковскими платежными агентами (субагентами).
<a id="p100042"></a>Оператор по переводу денежных средств, оператор услуг платежной инфраструктуры определяют во внутренних документах порядок регистрации и хранения сведений об инцидентах, указанных в абзацах первом - третьем настоящего подпункта".

#### <a id="p100043"></a>1.5 В [пункте 2.15](https://bukva.ai/docs/382-p#p100192):

<a id="p100044"></a>[подпункт 2.15.2](https://bukva.ai/docs/382-p#p100199) дополнить абзацем следующего содержания:
<a id="p100045"></a>"Организация, ставшая оператором по переводу денежных средств, оператором платежной системы, оператором услуг платежной инфраструктуры, должна провести первую оценку соответствия в течение шести месяцев после получения соответствующего статуса.";
<a id="p100046"></a>[подпункт 2.15.3](https://bukva.ai/docs/382-p#p100200) дополнить абзацами следующего содержания:
<a id="p100047"></a>"Оператор по переводу денежных средств, оператор платежной системы, оператор услуг платежной инфраструктуры по результатам оценки соответствия в целях ее документального подтверждения формируют отчет, который утверждается исполнительными органами управления и хранится в порядке, установленном соответствующим оператором. Отчет включает сведения о проведении оценки соответствия, в том числе:
<a id="p100048"></a>заполненную форму 1, установленную приложением 1 к настоящему Положению и содержащую оценки выполнения требований к обеспечению защиты информации при осуществлении переводов денежных средств;
<a id="p100049"></a>заполненную форму 2, установленную приложением 1 к настоящему Положению и содержащую оценки выполнения требований к обеспечению защиты информации при осуществлении переводов денежных средств;
<a id="p100050"></a>сроки проведения оценки соответствия;
<a id="p100051"></a>сведения о сторонней организации (наименование и местонахождение) в случае ее привлечения оператором по переводу денежных средств, оператором платежной системы, оператором услуг платежной инфраструктуры для проведения оценки соответствия.".

#### <a id="p100052"></a>1.6 В [приложении 2](https://bukva.ai/docs/382-p#p100295):

<a id="p100053"></a>[строку П.28](https://bukva.ai/docs/382-p#p100326) изложить в следующей редакции:

<a id="p100054"></a>"

| П.28 | 2.6.3 | При осуществлении доступа к защищаемой информации, находящейся на объектах информационной инфраструктуры, указанных в подпункте 2.6.1 пункта 2.6 настоящего Положения, оператор по переводу денежных средств, банковский платежный агент (субагент) обеспечивают регистрацию действий, связанных с назначением и распределением прав клиентов, предоставленных им в автоматизированных системах и программном обеспечении | Требование категории проверки 1 |
| --- | --- | --- | --- |

                                                                           ";

<a id="p100056"></a>[строку П.29](https://bukva.ai/docs/382-p#p100327) изложить в следующей редакции:

<a id="p100057"></a>"

| П.29 | 2.6.3 | При осуществлении доступа к защищаемой информации, находящейся на объектах информационной инфраструктуры, указанных в подпункте 2.6.1 пункта 2.6 настоящего Положения, оператор по переводу денежных средств, банковский платежный агент (субагент) обеспечивают регистрацию действий клиентов, выполняемых с использованием автоматизированных систем, программного обеспечения. Банковским платежным агентом (субагентом) обеспечивается регистрация действий клиентов, выполняемых с использованием автоматизированных систем, программного обеспечения, при наличии технической возможности с учетом выполняемого перечня операций и используемых автоматизированных систем, программного обеспечения, эксплуатация которых обеспечивается банковским платежным агентом (субагентом) | Требование категории проверки 1 |
| --- | --- | --- | --- |

                                                                           ";

<a id="p100059"></a>после строки П.29 [дополнить](https://bukva.ai/docs/382-p#p100327) строками П.29.1, П.29.2, П.29.3, П.29.4 следующего содержания:

<a id="p100060"></a>"

| П.29.1 | 2.6.3 | При осуществлении доступа к защищаемой информации, находящейся на объектах информационной инфраструктуры, указанных в подпункте 2.6.1 пункта 2.6 настоящего Положения, оператор по переводу денежных средств, банковский платежный агент (субагент) обеспечивают регистрацию следующей информации о действиях клиентов, выполняемых с использованием автоматизированной системы, программного обеспечения: дата (день, месяц, год) и время (часы, минуты, секунды) осуществления действия клиента; идентификатор клиента; код, соответствующий выполняемому действию; идентификатор устройства | Требование категории проверки 1 |
| --- | --- | --- | --- |
| П.29.2 | 2.6.3 | Оператор по переводу денежных средств обеспечивает хранение информации, указанной в абзацах тринадцатом - шестнадцатом подпункта 2.6.3 пункта 2.6 настоящего Положения, не менее пяти лет, начиная с даты осуществления клиентом действия, выполняемого с использованием автоматизированной системы, программного обеспечения | Требование категории проверки 3 |
| П.29.3 | 2.6.3 | Оператор по переводу денежных средств определяет во внутренних документах: порядок формирования уникального идентификатора клиента в автоматизированной системе, программном обеспечении; перечень кодов действий клиентов, выполняемых при осуществлении переводов денежных средств с использованием автоматизированной системы, программного обеспечения; подлежащий регистрации идентификатор устройства; порядок регистрации и хранения информации, указанной в абзацах тринадцатом - шестнадцатом подпункта 2.6.3 пункта 2.6 настоящего Положения | Требование категории проверки 2 |
| П.29.4 | 2.6.3 | Оператор по переводу денежных средств определяет требования к порядку, форме и срокам передачи ему информации о действиях клиентов, выполняемых с использованием автоматизированных систем, программного обеспечения, регистрируемой банковскими платежными агентами (субагентами) | Требование категории проверки 2 |

                                                                           ";

<a id="p100065"></a>[строку П.59](https://bukva.ai/docs/382-p#p100357) изложить в следующей редакции:

<a id="p100066"></a>"

| П.59 | 2.9.1 | В случае если оператор по переводу денежных средств, банковский платежный агент (субагент), оператор услуг платежной инфраструктуры применяют СКЗИ российского производителя, указанные СКЗИ должны иметь сертификаты уполномоченного государственного органа | Требование категории проверки 3 |
| --- | --- | --- | --- |

                                                                           ";

<a id="p100068"></a>после строки П.106 [дополнить](https://bukva.ai/docs/382-p#p100405) строками П.106.1, П.106.2 следующего содержания:

<a id="p100069"></a>"

| П.106. 1 | 2.13.4 | Оператор по переводу денежных средств, оператор услуг платежной инфраструктуры обеспечивают регистрацию самостоятельно выявленных инцидентов, связанных с нарушением требований к обеспечению защиты информации при осуществлении переводов денежных средств. Оператор по переводу денежных средств обеспечивает регистрацию ставших ему известными инцидентов, связанных с нарушением требований к обеспечению защиты информации при осуществлении переводов денежных средств, выявленных клиентами данного оператора по переводу денежных средств. Оператор по переводу денежных средств обеспечивает регистрацию ставших ему известными инцидентов, связанных с нарушением требований к обеспечению защиты информации при осуществлении переводов денежных средств, выявленных банковскими платежными агентами (субагентами) | Требование категории проверки 3 |
| --- | --- | --- | --- |
| П.106. 2 | 2.13.4 | Оператор по переводу денежных средств, оператор услуг платежной инфраструктуры определяют во внутренних документах порядок регистрации и хранения сведений об инцидентах, указанных в абзацах первом - третьем подпункта 2.13.4 пункта 2.13 настоящего Положения | Требование категории проверки 2 |

                                                                           ";

<a id="p100072"></a>[строку П.109](https://bukva.ai/docs/382-p#p100408) изложить в следующей редакции:

<a id="p100073"></a>"

| П.109 | 2.14.3 | Оператор по переводу денежных средств, оператор услуг платежной инфраструктуры обеспечивают выполнение порядка обеспечения защиты информации при осуществлении переводов денежных средств | Требование категории проверки 3 |
| --- | --- | --- | --- |

                                                                           ";

<a id="p100075"></a>после строки П.113 [дополнить](https://bukva.ai/docs/382-p#p100412) строками П.113.1, П.113.2 следующего содержания:

<a id="p100076"></a>"

| П.113. 1 | 2.15.2 | Организация, ставшая оператором по переводу денежных средств, оператором платежной системы, оператором услуг платежной инфраструктуры, должна провести первую оценку соответствия в течение шести месяцев после получения соответствующего статуса | Требование категории проверки 3 |
| --- | --- | --- | --- |
| П.113. | 2.15.3 | Оператор по переводу денежных средств, | Требование |
| 2 |  | оператор платежной системы, оператор услуг платежной инфраструктуры по результатам оценки соответствия в целях ее документального подтверждения формируют отчет, который утверждается исполнительными органами управления и хранится в порядке, установленном соответствующим оператором. Отчет включает сведения о проведении оценки соответствия, в том числе: | категории проверки 2 |
|  |  | заполненную форму 1, установленную приложением 1 к настоящему Положению и содержащую оценки выполнения требований к обеспечению защиты информации при осуществлении переводов денежных средств; заполненную форму 2, установленную приложением 1 к настоящему Положению и содержащую оценки выполнения требований к обеспечению защиты информации при осуществлении переводов денежных средств; сроки проведения оценки соответствия; сведения о сторонней организации (наименование и местонахождение) в случае ее привлечения оператором по переводу денежных средств, оператором платежной системы, оператором услуг платежной инфраструктуры для проведения оценки соответствия |  |

                                                                           ".

2. <a id="p100079"></a>Настоящее Указание в соответствии с решением Совета директоров Банка России (протокол заседания Совета директоров Банка России от 24 апреля 2013 года N 8) вступает в силу со дня его официального опубликования в "Вестнике Банка России", за исключением [подпункта 1.3](#p100012) и [абзацев второго](#p100053), [третьего](#p100056) и [четвертого подпункта 1.6 пункта 1](#p100059) настоящего Указания.
<a id="p100080"></a>[Подпункт 1.3](#p100012) и [абзацы второй](#p100053), [третий](#p100056) и [четвертый подпункта 1.6 пункта 1](#p100059) настоящего Указания вступают в силу по истечении 180 дней после дня его официального опубликования в "Вестнике Банка России".
3. <a id="p100081"></a>Организация, являющаяся на день вступления в силу настоящего Указания оператором по переводу денежных средств, оператором платежной системы, оператором услуг платежной инфраструктуры, должна провести оценку соответствия в течение шести месяцев со дня вступления в силу настоящего Указания.

<div align="right">

<a id="p100082"></a>Председатель Центрального банка<br>
Российской Федерации<br>
**С.М.ИГНАТЬЕВ**

</div>




<a id="p100083"></a>

---