---
title: "Указание Банка России от 09.01.2023 N 6352-У"
number: "6352-У"
issuer: "Центральный банк Российской Федерации"
issued_on: 2023-01-09
status: действует
canonical: "https://bukva.ai/docs/ukazanie-ukazaniya-6352-u"
---

## Указание Банка России от 09.01.2023 N 6352-У

# Указание Банка России от 09.01.2023 N 6352-У

"О внесении изменений в Положение Банка России от 3 октября 2017 года N 607-П "О требованиях к порядку обеспечения бесперебойности функционирования платежной системы, показателям бесперебойности функционирования платежной системы и методикам анализа рисков в платежной системе, включая профили рисков"

(Зарегистрировано в Минюсте России 05.05.2023 N 73250)

> [!IMPORTANT]
> Начало действия документа - [01.10.2023](#p100096).


<a id="p100001"></a>Зарегистрировано в Минюсте России 5 мая 2023 г. N 73250

---


<div align="center">

<a id="p100002"></a>**ЦЕНТРАЛЬНЫЙ БАНК РОССИЙСКОЙ ФЕДЕРАЦИИ**

<a id="p100003"></a>**УКАЗАНИЕ**<br>
**от 9 января 2023 г. N 6352-У**

<a id="p100004"></a>**О ВНЕСЕНИИ ИЗМЕНЕНИЙ**<br>
**В ПОЛОЖЕНИЕ БАНКА РОССИИ ОТ 3 ОКТЯБРЯ 2017 ГОДА N 607-П**<br>
**"О ТРЕБОВАНИЯХ К ПОРЯДКУ ОБЕСПЕЧЕНИЯ БЕСПЕРЕБОЙНОСТИ**<br>
**ФУНКЦИОНИРОВАНИЯ ПЛАТЕЖНОЙ СИСТЕМЫ, ПОКАЗАТЕЛЯМ**<br>
**БЕСПЕРЕБОЙНОСТИ ФУНКЦИОНИРОВАНИЯ ПЛАТЕЖНОЙ СИСТЕМЫ**<br>
**И МЕТОДИКАМ АНАЛИЗА РИСКОВ В ПЛАТЕЖНОЙ СИСТЕМЕ,**<br>
ВКЛЮЧАЯ ПРОФИЛИ РИСКОВ"

</div>


<a id="p100005"></a>На основании [пунктов 4](https://bukva.ai/docs/federalnyy-zakon-161-fz/statya-28#p100513) - [6 части 3 статьи 28](https://bukva.ai/docs/federalnyy-zakon-161-fz/statya-28#p100515) Федерального закона от 27 июня 2011 года N 161-ФЗ "О национальной платежной системе" <1>:

<a id="p100006"></a>

---

<a id="p100007"></a><1> Собрание законодательства Российской Федерации, 2011, N 27, ст. 3872.

1. <a id="p100008"></a>Внести в [Положение](https://bukva.ai/docs/607-p) Банка России от 3 октября 2017 года N 607-П "О требованиях к порядку обеспечения бесперебойности функционирования платежной системы, показателям бесперебойности функционирования платежной системы и методикам анализа рисков в платежной системе, включая профили рисков" <2> следующие изменения:

<a id="p100009"></a>

---

<a id="p100010"></a><2> Зарегистрировано Минюстом России 22 декабря 2017 года, регистрационный N 49386.


#### <a id="p100011"></a>1.1 В [пункте 2.2](https://bukva.ai/docs/607-p#p100019):

<a id="p100012"></a>[подпункт 2.2.2](https://bukva.ai/docs/607-p#p100021) признать утратившим силу;
<a id="p100013"></a>в [подпункте 2.2.4](https://bukva.ai/docs/607-p#p100023):
<a id="p100014"></a>[абзац второй](https://bukva.ai/docs/607-p#p100024) изложить в следующей редакции:
<a id="p100015"></a>"показатель продолжительности восстановления оказания УПИ (далее - показатель П1), характеризующий период времени восстановления оказания услуг операторами УПИ в случае приостановления оказания УПИ, в том числе вследствие нарушения требований к обеспечению защиты информации при осуществлении переводов денежных средств, установленных Банком России на основании [части 3 статьи 27](https://bukva.ai/docs/federalnyy-zakon-161-fz/statya-27#p503) Федерального закона от 27 июня 2011 года N 161-ФЗ (Собрание законодательства Российской Федерации, 2011, N 27, ст. 3872; 2022, N 29, ст. 5298);";
<a id="p100016"></a>[дополнить](https://bukva.ai/docs/607-p#p100023) подпунктами 2.2.4(1) - 2.2.4(4) следующего содержания:
<a id="p100017"></a>"2.2.4(1). Оператор платежной системы должен проводить плановую оценку рисков в платежной системе, а также внеплановые оценки рисков в платежной системе с использованием методик анализа рисков в платежной системе и составлением профилей рисков.
<a id="p100018"></a>2.2.4(2). Оператор платежной системы должен проводить внеплановую оценку всех рисков в платежной системе при внесении изменений в один или несколько процессов, в рамках которых обеспечивается оказание УПИ (далее - бизнес-процесс), или в несколько бизнес-процессов. Проведение внеплановой оценки всех рисков в платежной системе должно быть завершено не позднее истечения шести месяцев со дня внесения указанных изменений.
<a id="p100019"></a>2.2.4(3). Оператор платежной системы должен проводить внеплановую оценку отдельных рисков (отдельного риска) в платежной системе:
<a id="p100020"></a>при возникновении события, реализация которого привела к приостановлению (прекращению) оказания УПИ и описание которого в профиле риска не предусмотрено, либо негативные последствия от его реализации превышают негативные последствия, предусмотренные для этого события в профиле риска;
<a id="p100021"></a>при установлении по результатам проводимого оператором платежной системы мониторинга рисков факта приближения фактического уровня риска к уровню допустимого риска, при котором восстановление оказания УПИ, соответствующих требованиям к оказанию услуг, включая восстановление оказания УПИ в случае приостановления их оказания, осуществляется в течение периодов времени, установленных оператором платежной системы, и предполагаемый ущерб от которого оператор платежной системы готов принять без применения способов управления рисками в платежной системе;
<a id="p100022"></a>при выявлении значимого риска в платежной системе, для которого уровень присущего риска до применения способов управления рисками в платежной системе может превысить или превысил уровень допустимого риска.
<a id="p100023"></a>Проведение внеплановой оценки отдельных рисков (отдельного риска) в платежной системе должно быть завершено не позднее истечения четырех месяцев со дня возникновения событий, предусмотренных абзацами вторым и третьим настоящего подпункта, либо со дня выявления значимого риска в платежной системе, указанного в абзаце четвертом настоящего подпункта.
<a id="p100024"></a>2.2.4(4). Плановая оценка всех рисков в платежной системе проводится оператором платежной системы не реже одного раза в три года с учетом сведений о событиях, которые произошли в платежной системе со дня завершения предыдущей плановой или внеплановой оценки всех рисков в платежной системе и привели к приостановлению (прекращению) оказания УПИ.";
<a id="p100025"></a>в [подпункте 2.2.7](https://bukva.ai/docs/607-p#p100037) слово "два" заменить словом "три";
<a id="p100026"></a>[подпункт 2.2.8](https://bukva.ai/docs/607-p#p100038) изложить в следующей редакции:
<a id="p100027"></a>"2.2.8. Оператор платежной системы должен вносить изменения в систему управления рисками в платежной системе, в случае если действующая система управления рисками в платежной системе не обеспечила три и более раза в течение календарного года возможность восстановления оказания УПИ в течение периодов времени, установленных оператором платежной системы в правилах платежной системы, при их приостановлении.";
<a id="p100028"></a>[дополнить](https://bukva.ai/docs/607-p#p100019) подпунктом 2.2.9 следующего содержания:
<a id="p100029"></a>"2.2.9. Оператор платежной системы должен при управлении рисками в платежной системе оценивать риски, возникающие в связи с привлечением поставщиков (провайдеров), предоставляющих услуги в сфере информационных технологий в целях оказания оператором УПИ услуг платежной инфраструктуры и (или) предоставляющих услуги обмена информацией при осуществлении операций с использованием электронных средств платежа между операторами по переводу денежных средств и их клиентами и (или) между операторами по переводу денежных средств и иностранными поставщиками платежных услуг, предусмотренные [пунктом 33 статьи 3](https://bukva.ai/docs/federalnyy-zakon-161-fz/statya-3#p318) Федерального закона от 27 июня 2011 года N 161-ФЗ (Собрание законодательства Российской Федерации, 2011, N 27, ст. 3872; 2019, N 31, ст. 4423) (далее - поставщики услуг), в том числе обусловленные вероятностью невыполнения поставщиками услуг своих обязательств, включая возникновение отказов и (или) нарушений функционирования автоматизированных систем, программного обеспечения, средств вычислительной техники, телекоммуникационного оборудования поставщиков услуг.".

#### <a id="p100030"></a>1.2 В [пункте 2.3](https://bukva.ai/docs/607-p#p100039):

<a id="p100031"></a>в [подпункте 2.3.2](https://bukva.ai/docs/607-p#p100041):
<a id="p100032"></a>[абзацы четвертый](https://bukva.ai/docs/607-p#p100044) и [пятый](https://bukva.ai/docs/607-p#p100045) изложить в следующей редакции:
<a id="p100033"></a>"наименование одного или нескольких бизнес-процессов, в ходе которых произошел инцидент;
<a id="p100034"></a>наименование одного или нескольких бизнес-процессов, на которые инцидент оказал влияние;";
<a id="p100035"></a>в [абзаце десятом](https://bukva.ai/docs/607-p#p100050) слова "инцидента и его" исключить, после слова "последствий" дополнить словом "инцидента";
<a id="p100036"></a>в [подпункте 2.3.3](https://bukva.ai/docs/607-p#p100057) слово "трех" заменить словом "пяти";
<a id="p100037"></a>[абзац первый подпункта 2.3.5](https://bukva.ai/docs/607-p#p100059) изложить в следующей редакции:
<a id="p100038"></a>"2.3.5. Оператор платежной системы должен проводить оценку влияния на БФПС каждого произошедшего в платежной системе инцидента в срок не позднее окончания рабочего дня, следующего за днем возникновения (выявления) инцидента, а также в срок не позднее окончания рабочего дня, следующего за днем устранения последствий инцидента (восстановления оказания УПИ, соответствующих требованиям к оказанию услуг).";
<a id="p100039"></a>[подпункт 2.3.7](https://bukva.ai/docs/607-p#p100070) изложить в следующей редакции:
<a id="p100040"></a>"2.3.7. Оператор платежной системы должен определить в правилах платежной системы:
<a id="p100041"></a>критерии отнесения событий, реализовавшихся при оказании УПИ в платежной системе, к событиям приостановления оказания УПИ, за исключением событий, следствием которых является приостановление оказания УПИ в связи с проведением технологических и (или) регламентных работ, в случае если оператор УПИ заранее уведомил об этом оператора платежной системы и участников платежной системы в соответствии с правилами платежной системы и (или) иными документами оператора платежной системы и (или) привлеченных операторов УПИ;
<a id="p100042"></a>период времени, в течение которого должно быть восстановлено оказание УПИ в случае приостановления их оказания;
<a id="p100043"></a>период времени, в течение которого должно быть восстановлено оказание УПИ, соответствующее требованиям к оказанию услуг, в случае нарушения указанных требований.";
<a id="p100044"></a>[подпункт 2.3.11](https://bukva.ai/docs/607-p#p100075) изложить в следующей редакции:
<a id="p100045"></a>"2.3.11. Оператор платежной системы должен разрабатывать и включать в план ОНиВД мероприятия, направленные на управление непрерывностью функционирования платежной системы в случае возникновения инцидентов, связанных с приостановлением оказания УПИ или нарушением установленных уровней оказания УПИ, в том числе:
<a id="p100046"></a>при совмещении в платежной системе функций оператора платежной системы и операционного, и (или) платежного клирингового, и (или) расчетного центров - мероприятия по переходу на резервный комплекс программных и (или) технических средств, а также мероприятия, осуществляемые в случае неработоспособности систем и сервисов поставщиков услуг, нарушение предоставления которых способно привести к приостановлению оказания УПИ;
<a id="p100047"></a>при наличии в платежной системе двух и более операционных, и (или) платежных клиринговых, и (или) расчетных центров - мероприятия по обеспечению взаимозаменяемости операторов УПИ;
<a id="p100048"></a>при наличии в платежной системе одного привлеченного операционного, и (или) платежного клирингового, и (или) расчетного центров - мероприятия по привлечению другого оператора УПИ и по переходу участников платежной системы на обслуживание к вновь привлеченному оператору УПИ в течение срока, установленного правилами платежной системы, в случаях:
<a id="p100049"></a>превышения оператором УПИ времени восстановления оказания УПИ при приостановлении их оказания более двух раз в течение трех месяцев подряд;
<a id="p100050"></a>нарушения правил платежной системы, выразившегося в отказе оператора УПИ в одностороннем порядке от оказания услуг участнику (участникам) платежной системы, не связанного с приостановлением (прекращением) участия в платежной системе в случаях, предусмотренных правилами платежной системы.";
<a id="p100051"></a>[подпункт 2.3.13](https://bukva.ai/docs/607-p#p100081) дополнить абзацем следующего содержания:
<a id="p100052"></a>"Операторы УПИ должны включать в планы ОНиВД мероприятия по переходу на резервный комплекс программных и (или) технических средств оператора УПИ в случае приостановления оказания УПИ и (или) нарушения установленных уровней оказания УПИ, а также мероприятия, осуществляемые в случае неработоспособности систем и сервисов поставщиков услуг, нарушение предоставления которых способно привести к приостановлению оказания УПИ.".
<a id="p100053"></a>1.3. [Пункт 3.2](https://bukva.ai/docs/607-p#p100100) изложить в следующей редакции:
<a id="p100054"></a>"3.2. Методики анализа рисков в платежной системе должны обеспечивать:
<a id="p100055"></a>выполнение процедур выявления оператором платежной системы рисков в платежной системе не реже одного раза в год;
<a id="p100056"></a>проведение анализа рисков в платежной системе;
<a id="p100057"></a>выявление событий, реализация которых может привести к возникновению инцидента (далее - риск-события), и определение для каждого из выявленных риск-событий уровня риска, характеризуемого вероятностью наступления риск-событий и величиной возможных последствий их реализации;
<a id="p100058"></a>определение для каждого из выявленных рисков в платежной системе уровня присущего риска до применения способов управления рисками в платежной системе, а также уровня допустимого риска, указанного в абзаце третьем подпункта 2.2.4(3) пункта 2.2 настоящего Положения;
<a id="p100059"></a>определение значимых рисков в платежной системе, указанных в абзаце четвертом подпункта 2.2.4(3) пункта 2.2 настоящего Положения;
<a id="p100060"></a>определение для каждого из значимых рисков в платежной системе, указанных в абзаце четвертом подпункта 2.2.4(3) пункта 2.2 настоящего Положения, уровня остаточного риска после применения способов управления рисками в платежной системе.".
<a id="p100061"></a>1.4. [Пункт 3.3](https://bukva.ai/docs/607-p#p100105) изложить в следующей редакции:
<a id="p100062"></a>"3.3. Методики анализа рисков в платежной системе должны предусматривать выполнение следующих мероприятий:
<a id="p100063"></a>формирование и поддержание в актуальном состоянии перечней бизнес-процессов;
<a id="p100064"></a>разработку и поддержание в актуальном состоянии классификаторов (структурированных перечней) рисков в платежной системе, риск-событий, причин риск-событий;
<a id="p100065"></a>проведение анализа бизнес-процессов в платежной системе, в том числе анализа программных и (или) технических средств операторов УПИ, учитывая факт привлечения ими поставщиков услуг, и других факторов, влияющих на БФПС;
<a id="p100066"></a>формирование перечня возможных риск-событий для каждого бизнес-процесса с указанием причин риск-событий и их последствий;
<a id="p100067"></a>определение для каждого из выявленных рисков в платежной системе уровня присущего риска до применения способов управления рисками в платежной системе и установление уровня допустимого риска, указанного в абзаце третьем подпункта 2.2.4(3) пункта 2.2 настоящего Положения;
<a id="p100068"></a>сопоставление уровня присущего риска до применения способов управления рисками в платежной системе и уровня допустимого риска, указанного в абзаце третьем подпункта 2.2.4(3) пункта 2.2 настоящего Положения, по каждому из выявленных рисков в платежной системе для определения значимых рисков в платежной системе, указанных в абзаце четвертом подпункта 2.2.4(3) пункта 2.2 настоящего Положения;
<a id="p100069"></a>применение способов управления рисками в платежной системе для каждого из значимых рисков в платежной системе, указанных в абзаце четвертом подпункта 2.2.4(3) пункта 2.2 настоящего Положения, и последующее определение для них уровня остаточного риска после применения способов управления рисками в платежной системе;
<a id="p100070"></a>сопоставление уровня остаточного риска после применения способов управления рисками в платежной системе и уровня допустимого риска, указанного в абзаце третьем подпункта 2.2.4(3) пункта 2.2 настоящего Положения, для каждого из значимых рисков в платежной системе, указанных в абзаце четвертом подпункта 2.2.4(3) пункта 2.2 настоящего Положения, и принятие решения о необходимости применения других способов управления рисками в платежной системе в дополнение к ранее примененным способам;
<a id="p100071"></a>мониторинг рисков в платежной системе, в том числе уровня остаточного риска после применения способов управления рисками в платежной системе, его соответствия уровню допустимого риска, указанного в абзаце третьем подпункта 2.2.4(3) пункта 2.2 настоящего Положения;
<a id="p100072"></a>составление и пересмотр (актуализацию) профиля каждого из значимых рисков в платежной системе, указанных в абзаце четвертом подпункта 2.2.4(3) пункта 2.2 настоящего Положения, включая профиль риска нарушения БФПС.".

#### <a id="p100073"></a>1.5 В [пункте 3.4](https://bukva.ai/docs/607-p#p100116):

<a id="p100074"></a>в [абзаце первом](https://bukva.ai/docs/607-p#p100116) слова "не реже одного раза в год" заменить словами "по результатам плановой или внеплановой оценки всех рисков в платежной системе, а также внеплановой оценки отдельных рисков (отдельного риска) в платежной системе";
<a id="p100075"></a>[абзац второй](https://bukva.ai/docs/607-p#p100117) признать утратившим силу.
<a id="p100076"></a>1.6. В [пункте 3.5](https://bukva.ai/docs/607-p#p100118) слово "двух" заменить словом "пяти".

#### <a id="p100077"></a>1.7 В [приложении 1](https://bukva.ai/docs/607-p#p100126):

<a id="p100078"></a>в [пункте 1](https://bukva.ai/docs/607-p#p100127):
<a id="p100079"></a>в [абзаце первом](https://bukva.ai/docs/607-p#p100127) слова "приостановления оказания УПИ вследствие инцидента, произошедшего у оператора УПИ" заменить словами "возникновения события, приведшего к приостановлению оказания УПИ в результате первого из возникших инцидентов";
<a id="p100080"></a>в [абзаце втором](https://bukva.ai/docs/607-p#p100128) слова "с момента приостановления оказания УПИ в результате первого из возникших инцидентов" заменить словами "с момента возникновения события, приведшего к приостановлению оказания УПИ в результате первого из возникших инцидентов,";
<a id="p100081"></a>в [абзаце первом пункта 2](https://bukva.ai/docs/607-p#p100130) слова "с момента устранения первого инцидента и до момента возникновения следующего" заменить словами "с момента восстановления оказания УПИ, приостановленных в результате первого инцидента, и до момента возникновения события, приведшего к приостановлению оказания УПИ в результате следующего инцидента".

#### <a id="p100082"></a>1.8 В [приложении 2](https://bukva.ai/docs/607-p#p100170):

<a id="p100083"></a>в [абзаце первом пункта 1](https://bukva.ai/docs/607-p#p100171) слова "выявленным рискам в платежной системе" заменить словами "значимым рискам в платежной системе, указанным в абзаце четвертом подпункта 2.2.4(3) пункта 2.2 настоящего Положения";
<a id="p100084"></a>в [пункте 2](https://bukva.ai/docs/607-p#p100178):
<a id="p100085"></a>в [абзаце первом](https://bukva.ai/docs/607-p#p100178) слова "выявленных рисков в платежной системе" заменить словами "значимых рисков в платежной системе, указанных в абзаце четвертом подпункта 2.2.4(3) пункта 2.2 настоящего Положения";
<a id="p100086"></a>[абзац второй](https://bukva.ai/docs/607-p#p100179) изложить в следующей редакции:
<a id="p100087"></a>"описание риск-событий, выявленных с применением не менее чем одного метода из числа предусмотренных таблицей А.2 приложения А к национальному стандарту Российской Федерации ГОСТ Р 58771-2019 "Менеджмент риска. Технологии оценки риска", утвержденному и введенному в действие [приказом](https://bukva.ai/docs/prikaz-1405-st-2019) Федерального агентства по техническому регулированию и метрологии от 17 декабря 2019 года N 1405-ст "Об утверждении национального стандарта Российской Федерации" (М., ФГУП "Стандартинформ", 2020) (далее - Стандарт). Риск-события отражаются в профиле каждого из значимых рисков в платежной системе, указанных в абзаце четвертом подпункта 2.2.4(3) пункта 2.2 настоящего Положения;";
<a id="p100088"></a>в [абзаце четвертом](https://bukva.ai/docs/607-p#p100181) слова "оператора платежной системы и операторов УПИ" исключить;
<a id="p100089"></a>[абзацы восьмой](https://bukva.ai/docs/607-p#p100185) - [одиннадцатый](https://bukva.ai/docs/607-p#p100188) изложить в следующей редакции:
<a id="p100090"></a>"уровень присущего риска до применения способов управления рисками в платежной системе;
<a id="p100091"></a>уровень допустимого риска, указанный в абзаце третьем подпункта 2.2.4(3) пункта 2.2 настоящего Положения;
<a id="p100092"></a>уровень остаточного риска после применения способов управления рисками в платежной системе;
<a id="p100093"></a>перечень способов управления рисками в платежной системе.";
<a id="p100094"></a>[пункт 3](https://bukva.ai/docs/607-p#p100189) изложить в следующей редакции:
<a id="p100095"></a>"3. Профиль риска нарушения БФПС должен составляться как сводный профиль в отношении всех значимых рисков в платежной системе, указанных в абзаце четвертом подпункта 2.2.4(3) пункта 2.2 настоящего Положения.".
2. <a id="p100096"></a>Настоящее Указание подлежит официальному опубликованию и в соответствии с решением Совета директоров Банка России (протокол заседания Совета директоров Банка России от 23 декабря 2022 года N ПСД-78) вступает в силу с 1 октября 2023 года.

<div align="right">

<a id="p100097"></a>Председатель Центрального банка<br>
Российской Федерации<br>
Э.С.НАБИУЛЛИНА

</div>




<a id="p100098"></a>

---