---
title: "Указание Банка России от 18.02.2022 N 6071-У"
number: "6071-У"
issuer: "Центральный банк Российской Федерации"
issued_on: 2022-02-18
status: утратил силу
canonical: "https://bukva.ai/docs/ukazanie-ukazaniya-6071-u"
---

## Указание Банка России от 18.02.2022 N 6071-У

# Указание Банка России от 18.02.2022 N 6071-У

"О внесении изменений в Положение Банка России от 17 апреля 2019 года N 683-П "Об установлении обязательных для кредитных организаций требований к обеспечению защиты информации при осуществлении банковской деятельности в целях противодействия осуществлению переводов денежных средств без согласия клиента"

(Зарегистрировано в Минюсте России 20.06.2022 N 68919)

> [!WARNING]
> Документ утратил силу в связи с изданием [Положения](https://bukva.ai/docs/851-p#p100161) Банка России от 30.01.2025 N 851-П.
> Начало действия документа - [01.10.2022](#p100056).
> Окончание действия документа - 28.03.2025.
> Документ утратил силу в связи с изданием [Положения](https://bukva.ai/docs/851-p#p100161) Банка России от 30.01.2025 N 851-П, [вступившего](https://bukva.ai/docs/851-p#p100153) в силу по истечении 10 дней после дня официального опубликования (опубликовано на Официальном сайте Банка России http://www.cbr.ru - 18.03.2025).


<a id="p100001"></a>Зарегистрировано в Минюсте России 20 июня 2022 г. N 68919

---


<div align="center">

<a id="p100002"></a>**ЦЕНТРАЛЬНЫЙ БАНК РОССИЙСКОЙ ФЕДЕРАЦИИ**

<a id="p100003"></a>**УКАЗАНИЕ**

</div>

**от 18 февраля 2022 г. N 6071-У**

<div align="center">

<a id="p100004"></a>**О ВНЕСЕНИИ ИЗМЕНЕНИЙ**<br>
**В ПОЛОЖЕНИЕ БАНКА РОССИИ ОТ 17 АПРЕЛЯ 2019 ГОДА N 683-П**<br>
**"ОБ УСТАНОВЛЕНИИ ОБЯЗАТЕЛЬНЫХ ДЛЯ КРЕДИТНЫХ ОРГАНИЗАЦИЙ**<br>
**ТРЕБОВАНИЙ К ОБЕСПЕЧЕНИЮ ЗАЩИТЫ ИНФОРМАЦИИ ПРИ ОСУЩЕСТВЛЕНИИ**<br>
**БАНКОВСКОЙ ДЕЯТЕЛЬНОСТИ В ЦЕЛЯХ ПРОТИВОДЕЙСТВИЯ**<br>
**ОСУЩЕСТВЛЕНИЮ ПЕРЕВОДОВ ДЕНЕЖНЫХ СРЕДСТВ**<br>
БЕЗ СОГЛАСИЯ КЛИЕНТА"

</div>


<a id="p100005"></a>На основании [статьи 57.4](https://bukva.ai/docs/zakon-86-fz-2002/statya-1#p730) Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)" (Собрание законодательства Российской Федерации, 2002, N 28, ст. 2790; 2018, N 27, ст. 3950):
1. <a id="p100006"></a>Внести в [Положение](https://bukva.ai/docs/683-p) Банка России от 17 апреля 2019 года N 683-П "Об установлении обязательных для кредитных организаций требований к обеспечению защиты информации при осуществлении банковской деятельности в целях противодействия осуществлению переводов денежных средств без согласия клиента", зарегистрированное Министерством юстиции Российской Федерации 16 мая 2019 года N 54637, следующие изменения:

#### <a id="p100007"></a>1.1 В [пункте 4](https://bukva.ai/docs/683-p#p100023):

<a id="p100008"></a>в [подпункте 4.1](https://bukva.ai/docs/683-p#p100024):
<a id="p100009"></a>в [абзаце первом](https://bukva.ai/docs/683-p#p100024) слово "сообщений," заменить словом "сообщений", слова "сертифицированных в системе сертификации Федеральной службы по техническому и экспортному контролю на соответствие требованиям по безопасности информации, включая требования по анализу уязвимостей и контролю отсутствия недекларированных возможностей, или в отношении которых проведен анализ уязвимостей" заменить словами "прошедших сертификацию в системе сертификации Федеральной службы по техническому и экспортному контролю или оценку соответствия";
<a id="p100010"></a>в [абзаце втором](https://bukva.ai/docs/683-p#p100025) слова "анализа уязвимостей и контроля отсутствия недекларированных возможностей" заменить словами "оценки соответствия прикладного программного обеспечения автоматизированных систем и приложений";
<a id="p100011"></a>[подпункт 4.2](https://bukva.ai/docs/683-p#p100026) изложить в следующей редакции:
<a id="p100012"></a>"4.2. По решению кредитной организации оценка соответствия программного обеспечения автоматизированных систем и приложений проводится самостоятельно или с привлечением организации, имеющей лицензию на осуществление деятельности по технической защите конфиденциальной информации для проведения работ и услуг, предусмотренных [подпунктами "б"](https://bukva.ai/docs/postanovlenie-79-2012#p7), ["д"](https://bukva.ai/docs/postanovlenie-79-2012#p13) или ["е" пункта 4](https://bukva.ai/docs/postanovlenie-79-2012#p17) Положения о лицензировании деятельности по технической защите конфиденциальной информации, утвержденного постановлением Правительства Российской Федерации от 3 февраля 2012 года N 79 (Собрание законодательства Российской Федерации, 2012, N 7, ст. 863; 2016, N 26, ст. 4049) (далее - проверяющая организация).";
<a id="p100013"></a>[дополнить](https://bukva.ai/docs/683-p) подпунктом 4.3 следующего содержания:
<a id="p100014"></a>"4.3. В случае принятия кредитной организацией решения о необходимости проведения сертификации программного обеспечения автоматизированных систем и приложений кредитные организации, являющиеся системно значимыми кредитными организациями, кредитными организациями, значимыми на рынке платежных услуг (в отношении программного обеспечения автоматизированных систем и приложений, указанных в [пункте 1.2](https://bukva.ai/docs/719-p#p100013) Положения Банка России от 4 июня 2020 года N 719-П "О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств", зарегистрированного Министерством юстиции Российской Федерации 23 сентября 2020 года N 59991), должны обеспечить сертификацию программного обеспечения автоматизированных систем и приложений не ниже 4 уровня доверия в соответствии с приказом Федеральной службы по техническому и экспортному контролю от 2 июня 2020 года N 76, зарегистрированным Министерством юстиции Российской Федерации 11 сентября 2020 года N 59772 (далее - приказ ФСТЭК России N 76).
<a id="p100015"></a>Кредитные организации, принявшие решение о необходимости проведения сертификации программного обеспечения автоматизированных систем и приложений и не указанные в абзаце первом настоящего подпункта, должны обеспечить сертификацию программного обеспечения автоматизированных систем и приложений не ниже 5 уровня доверия в соответствии с приказом ФСТЭК России N 76.".

#### <a id="p100016"></a>1.2 В [пункте 5](https://bukva.ai/docs/683-p#p100027):

<a id="p100017"></a>[подпункт 5.1](https://bukva.ai/docs/683-p#p100028) изложить в следующей редакции:
<a id="p100018"></a>"5.1. Кредитные организации должны обеспечить целостность электронных сообщений и подтвердить их составление уполномоченным на это лицом.
<a id="p100019"></a>В целях обеспечения целостности электронных сообщений и подтверждения их составления уполномоченным на это лицом кредитные организации должны обеспечивать реализацию мер по использованию усиленной квалифицированной электронной подписи, усиленной неквалифицированной электронной подписи или СКЗИ, реализующих функцию имитозащиты информации с аутентификацией отправителя сообщения.
<a id="p100020"></a>Указанные в абзаце втором настоящего подпункта требования по реализации мер по использованию усиленной квалифицированной электронной подписи, усиленной неквалифицированной электронной подписи или СКЗИ, реализующих функцию имитозащиты информации с аутентификацией отправителя сообщения, не применяются в случае, если в целях обеспечения целостности электронных сообщений и подтверждения их составления уполномоченным на это лицом при передаче электронных сообщений используются выделенные контролируемые сегменты вычислительных сетей, доступ к которым нарушителем невозможен, и угрозы нарушения целостности электронных сообщений определены кредитными организациями как неактуальные, что обосновано в модели угроз и нарушителей безопасности информации.
<a id="p100021"></a>Признание электронных сообщений, подписанных электронной подписью, равнозначными документам на бумажном носителе, подписанным собственноручной подписью, должно осуществляться в соответствии со [статьей 6](https://bukva.ai/docs/federalnyy-zakon-63-fz-2011/statya-6#p100045) Федерального закона от 6 апреля 2011 года N 63-ФЗ "Об электронной подписи" (Собрание законодательства Российской Федерации, 2011, N 15, ст. 2036; 2019, N 52, ст. 7794) (далее - Федеральный закон "Об электронной подписи").";
<a id="p100022"></a>[подпункт 5.2.1](https://bukva.ai/docs/683-p#p100036) изложить в следующей редакции:
<a id="p100023"></a>"5.2.1. Технология обработки защищаемой информации, применяемая на всех технологических участках, указанных в настоящем пункте, должна обеспечивать целостность и достоверность защищаемой информации.
<a id="p100024"></a>Технология обработки защищаемой информации, применяемая на технологическом участке, указанном в абзаце втором подпункта 5.2 настоящего пункта, дополнительно должна обеспечивать идентификацию устройств клиентов при осуществлении банковских операций с использованием удаленного доступа клиентов к объектам информационной инфраструктуры кредитных организаций.
<a id="p100025"></a>В случае если банковская операция осуществляется с использованием мобильной версии приложения, кредитные организации в рамках реализуемой ими системы управления рисками должны обеспечить проверку использования клиентом - физическим лицом абонентского номера подвижной радиотелефонной связи в случае его использования во взаимоотношениях с кредитной организацией и использовать полученные сведения при анализе характера, параметров и объема совершаемых их клиентами операций (осуществляемой клиентами деятельности).
<a id="p100026"></a>Технология обработки защищаемой информации, применяемая на технологическом участке, указанном в абзаце третьем подпункта 5.2 настоящего пункта, дополнительно должна обеспечивать:
<a id="p100027"></a>двойной контроль посредством осуществления проверки правильности формирования (подготовки) электронных сообщений;
<a id="p100028"></a>входной контроль посредством осуществления проверки правильности заполнения полей электронного сообщения и прав владельца электронной подписи;
<a id="p100029"></a>контроль дублирования электронного сообщения (в случае если проведение такой процедуры дополнительно установлено кредитной организацией с учетом положений [пункта 2.2](https://bukva.ai/docs/762-p#p100096) Положения Банка России от 29 июня 2021 года N 762-П "О правилах осуществления перевода денежных средств", зарегистрированного Министерством юстиции Российской Федерации 25 августа 2021 года N 64765, 25 апреля 2022 года N 68320);
<a id="p100030"></a>структурный контроль электронных сообщений;
<a id="p100031"></a>защиту при передаче по каналам связи защищаемой информации.
<a id="p100032"></a>Технология обработки защищаемой информации, применяемая на технологическом участке, указанном в абзаце четвертом подпункта 5.2 настоящего пункта, дополнительно должна обеспечивать:
<a id="p100033"></a>подписание клиентом электронных сообщений способом, указанным в подпункте 5.1 настоящего пункта;
<a id="p100034"></a>получение от клиента подтверждения совершаемой банковской операции.
<a id="p100035"></a>Технология обработки защищаемой информации, применяемая на технологическом участке, указанном в абзаце пятом подпункта 5.2 настоящего пункта, дополнительно должна обеспечивать:
<a id="p100036"></a>проверку соответствия (сверку) выходных электронных сообщений с соответствующими входными электронными сообщениями;
<a id="p100037"></a>проверку соответствия (сверку) результатов осуществления банковских операций с информацией, содержащейся в электронных сообщениях;
<a id="p100038"></a>направление клиентам уведомлений об осуществлении банковских операций в случае, когда такое уведомление предусмотрено законодательством Российской Федерации или договором.
<a id="p100039"></a>Кредитные организации должны реализовывать механизмы подтверждения использования клиентом адреса электронной почты в случае его использования во взаимоотношениях с кредитной организацией, на который кредитной организацией направляются уведомления о совершаемых банковских операциях, справки (выписки) по совершенным банковским операциям.".
<a id="p100040"></a>1.3. [Дополнить](https://bukva.ai/docs/683-p) пунктом 7.1 следующего содержания:
<a id="p100041"></a>"7.1. В целях противодействия осуществлению переводов денежных средств без согласия клиента кредитные организации в случаях, предусмотренных договорами с клиентами, содержащими условия указанного в [части 1 статьи 9](https://bukva.ai/docs/federalnyy-zakon-161-fz/statya-1#p100128) Федерального закона от 27 июня 2011 года N 161-ФЗ "О национальной платежной системе" (Собрание законодательства Российской Федерации, 2011, N 27, ст. 3872) договора об использовании электронного средства платежа, на основании их заявлений устанавливают в отношении операций, осуществляемых с использованием удаленного доступа клиентов к объектам информационной инфраструктуры кредитных организаций через информационно-телекоммуникационную сеть "Интернет", ограничения на осуществление операций клиентами либо ограничения максимальной суммы одной операции и (или) операций за определенный период времени. Ограничения по операциям могут быть установлены как на все операции клиентов, так и в разрезе видов операций.".

#### <a id="p100042"></a>1.4 В [пункте 8](https://bukva.ai/docs/683-p#p100076):

<a id="p100043"></a>в [абзаце первом](https://bukva.ai/docs/683-p#p100076) слова ", связанным с нарушениями требований к обеспечению защиты информации при осуществлении банковской деятельности, связанной с осуществлением перевода денежных средств (далее - инциденты защиты информации)" заменить словами "защиты информации в значении, установленном в [пункте 7.3](https://bukva.ai/docs/716-p#p100444) Положения Банка России от 8 апреля 2020 года N 716-П "О требованиях к системе управления операционным риском в кредитной организации и банковской группе", зарегистрированного Министерством юстиции Российской Федерации 3 июня 2020 года N 58577 (далее соответственно - Положение Банка России от 8 апреля 2020 года N 716-П, инцидент защиты информации)";
<a id="p100044"></a>[абзац второй](https://bukva.ai/docs/683-p#p100077) изложить в следующей редакции:
<a id="p100045"></a>"Кредитные организации устанавливают во внутренних документах порядок фиксации инцидентов защиты информации в базе событий в соответствии с [пунктами 7.3](https://bukva.ai/docs/716-p#p100444) и [7.5](https://bukva.ai/docs/716-p#p100447) Положения Банка России от 8 апреля 2020 года N 716-П и информационного обмена со службой управления рисками, создаваемой в соответствии с [пунктом 3.6](https://bukva.ai/docs/ukazanie-ukazaniya-3624-u#p100073) Указания Банка России от 15 апреля 2015 года N 3624-У "О требованиях к системе управления рисками и капиталом кредитной организации и банковской группы", зарегистрированного Министерством юстиции Российской Федерации 26 мая 2015 года N 37388, 28 декабря 2015 года N 40325, 7 декабря 2017 года N 49156, 5 сентября 2018 года N 52084, 3 июня 2020 года N 58576.";
<a id="p100046"></a>[абзацы седьмой](https://bukva.ai/docs/683-p#p100082) - [девятый](https://bukva.ai/docs/683-p#p100084) изложить в следующей редакции:
<a id="p100047"></a>"Кредитные организации должны осуществлять информирование Банка России, в том числе на основании запросов Банка России:
<a id="p100048"></a>о выявленных инцидентах защиты информации, включенных в перечень типов инцидентов, принятых мерах и проведенных мероприятиях по реагированию на выявленные кредитной организацией или Банком России инциденты защиты информации, включенные в перечень типов инцидентов, а также о планируемых мероприятиях по раскрытию информации об инцидентах защиты информации, включая размещение информации на официальных сайтах в сети "Интернет", выпуск пресс-релизов и проведение пресс-конференций не позднее одного рабочего дня до дня проведения мероприятия;
<a id="p100049"></a>о сайтах в сети "Интернет", которые используются кредитной организацией для осуществления банковской деятельности, принадлежащих кредитной организации и (или) администрируемых в ее интересах.";
<a id="p100050"></a>[дополнить](https://bukva.ai/docs/683-p#p100076) абзацем следующего содержания:
<a id="p100051"></a>"Кредитные организации должны предоставлять в Банк России сведения с использованием технической инфраструктуры (автоматизированной системы) Банка России. В случае возникновения технической невозможности взаимодействия кредитных организаций с Банком России с использованием технической инфраструктуры (автоматизированной системы) Банка России кредитные организации должны предоставлять в Банк России сведения с использованием резервного способа взаимодействия. Информация о технической инфраструктуре (автоматизированной системе) Банка России, резервном способе взаимодействия размещается на официальном сайте Банка России в сети "Интернет".".
<a id="p100052"></a>1.5. [Пункт 9](https://bukva.ai/docs/683-p#p100086) изложить в следующей редакции:
<a id="p100053"></a>"9. Кредитные организации должны обеспечить проведение оценки соответствия уровню защиты информации, установленному в подпункте 3.1 пункта 3 настоящего Положения (далее - оценка соответствия защиты информации), не реже одного раза в два года. Оценка соответствия защиты информации должна осуществляться с привлечением проверяющих организаций.".
<a id="p100054"></a>1.6. [Пункт 10](https://bukva.ai/docs/683-p#p100091) дополнить абзацем следующего содержания:
<a id="p100055"></a>"При обеспечении безопасности автоматизированных систем, программного обеспечения, средств вычислительной техники, телекоммуникационного оборудования, эксплуатация и использование которых обеспечиваются кредитными организациями, являющихся объектами критической информационной инфраструктуры Российской Федерации, настоящее Положение применяется наряду с требованиями Федерального [закона](https://bukva.ai/docs/zakon-187-fz-2017/statya-1) от 26 июля 2017 года N 187-ФЗ "О безопасности критической информационной инфраструктуры Российской Федерации".".
2. <a id="p100056"></a>Настоящее Указание подлежит официальному опубликованию и в соответствии с решением Совета директоров Банка России (протокол заседания Совета директоров Банка России от 11 октября 2021 года N ПСД-24) вступает в силу с 1 октября 2022 года.

<div align="right">

<a id="p100057"></a>Председатель Центрального банка<br>
Российской Федерации<br>
Э.С.НАБИУЛЛИНА

<a id="p100058"></a>Согласовано

<a id="p100059"></a>Директор<br>
Федеральной службы безопасности<br>
Российской Федерации<br>
А.В.БОРТНИКОВ

<a id="p100060"></a>Директор<br>
Федеральной службы по техническому<br>
и экспортному контролю<br>
В.В.СЕЛИН

</div>




<a id="p100061"></a>

---