Указание Банка России от 05.02.2024 № 6680-У

«О порядке осуществления Банком России контроля и мониторинга за соблюдением некредитными финансовыми организациями реализации планов мероприятий некредитных финансовых организаций по переходу на преимущественное использование российского программного обеспечения, отечественных радиоэлектронной продукции и телекоммуникационного оборудования, в том числе в составе программно-аппаратных комплексов, на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации и осуществления закупок иностранного программного обеспечения, радиоэлектронной продукции и телекоммуникационного оборудования, в том числе в составе программно-аппаратных комплексов, а также закупок услуг, необходимых для их использования на таких объектах»

(Зарегистрировано в Минюсте России 15.05.2024 № 78155)

Зарегистрировано в Минюсте России 15 мая 2024 г. № 78155

---

Настоящее Указание на основании части третьей статьи 76.4-3 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)» устанавливает порядок осуществления Банком России контроля и мониторинга за соблюдением некредитными финансовыми организациями реализации планов мероприятий некредитных финансовых организаций по переходу на преимущественное использование российского программного обеспечения, отечественных радиоэлектронной продукции и телекоммуникационного оборудования, в том числе в составе программно-аппаратных комплексов, на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации и осуществления закупок иностранного программного обеспечения, радиоэлектронной продукции и телекоммуникационного оборудования, в том числе в составе программно-аппаратных комплексов, а также закупок услуг, необходимых для их использования на таких объектах.

1. Банк России осуществляет мониторинг за соблюдением некредитными финансовыми организациями реализации планов мероприятий некредитных финансовых организаций по переходу на преимущественное использование российского программного обеспечения, отечественных радиоэлектронной продукции и телекоммуникационного оборудования, в том числе в составе программно-аппаратных комплексов, на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации, определенных в соответствии с пунктом 3 статьи 2 Федерального закона от 26 июля 2017 года № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» (далее — значимые объекты критической информационной инфраструктуры Российской Федерации), согласованных Банком России в соответствии с частью первой статьи 76.4-3 Федерального закона от 10 июля 2002 года № 86-ФЗ «О Центральном банке Российской Федерации (Банке России)» (далее соответственно — Федеральный закон «О Центральном банке Российской Федерации (Банке России)», планы мероприятий) на основании:

отчетности некредитной финансовой организации, представляемой некредитной финансовой организацией в Банк России в соответствии со статьей 76.6 Федерального закона «О Центральном банке Российской Федерации (Банке России)» (далее — отчетность некредитной финансовой организации);

информации о реализации плана мероприятий, предоставляемой некредитной финансовой организацией в ответ на запрос Банка России о предоставлении информации о реализации некредитной финансовой организацией плана мероприятий (рекомендуемый образец приведен в приложении 1 к настоящему Указанию) (далее соответственно — запрос о предоставлении информации о реализации плана мероприятий, информация о реализации плана мероприятий);

плана мероприятий.

2. Запрос о предоставлении информации о реализации плана мероприятий за период, указанный в запросе, направляется некредитной финансовой организации структурным подразделением центрального аппарата Банка России, к функциям которого относится осуществление мониторинга за соблюдением некредитными финансовыми организациями планов мероприятий, в последний месяц каждого квартала не позднее десятого рабочего дня месяца в произвольной форме путем размещения указанного запроса в личном кабинете, ссылка на который размещена на официальном сайте Банка России в информационно-телекоммуникационной сети «Интернет» (далее соответственно — сеть «Интернет», личный кабинет), в соответствии с порядком взаимодействия, определенным Банком России на основании частей первой и восьмой статьи 76.9 Федерального закона «О Центральном банке Российской Федерации (Банке России)» (далее — порядок взаимодействия).

Ответ на запрос о предоставлении информации о реализации плана мероприятий направляется некредитной финансовой организацией путем его размещения в личном кабинете в соответствии с порядком взаимодействия в течение 10 рабочих дней после дня получения указанного запроса.

3. В случае предоставления некредитной финансовой организацией в Банк России неполной и (или) недостоверной информации о реализации плана мероприятий структурное подразделение центрального аппарата Банка России, к функциям которого относится осуществление мониторинга за соблюдением некредитными финансовыми организациями планов мероприятий, не позднее 10 рабочих дней после дня предоставления некредитной финансовой организацией в Банк России неполной и (или) недостоверной информации о реализации плана мероприятий направляет некредитной финансовой организации повторный запрос о предоставлении информации о реализации плана мероприятий в произвольной форме путем его размещения в личном кабинете в соответствии с порядком взаимодействия.

В случае непредоставления некредитной финансовой организацией информации о реализации плана мероприятий в срок, установленный абзацем вторым пункта 2 настоящего Указания, структурное подразделение центрального аппарата Банка России, к функциям которого относится осуществление мониторинга за соблюдением некредитными финансовыми организациями планов мероприятий, не позднее 10 рабочих дней после дня окончания срока предоставления ответа на запрос, указанного в абзаце втором пункта 3 настоящего Указания, направляет некредитной финансовой организации повторный запрос о предоставлении информации о реализации плана мероприятий в произвольной форме путем его размещения в личном кабинете в соответствии с порядком взаимодействия.

4. Ответ на повторный запрос о предоставлении информации о реализации плана мероприятий направляется некредитной финансовой организацией путем его размещения в личном кабинете в соответствии с порядком взаимодействия в течение 5 рабочих дней после дня получения указанного запроса.

5. Банк России в рамках мониторинга за соблюдением некредитными финансовыми организациями реализации планов мероприятий:

устанавливает соответствие информации, содержащейся в отчетности некредитной финансовой организации, и информации о реализации плана мероприятий информации, указанной в плане мероприятий, а также (при наличии) документам и информации, прилагаемым некредитной финансовой организацией к плану мероприятий;

оценивает соблюдение некредитной финансовой организацией сроков перехода на преимущественное использование российского программного обеспечения, отечественных радиоэлектронной продукции и телекоммуникационного оборудования, в том числе в составе программно-аппаратных комплексов, на принадлежащих некредитной финансовой организации значимых объектах критической информационной инфраструктуры Российской Федерации, указанных в плане мероприятий.

6. Мониторинг за соблюдением некредитными финансовыми организациями осуществления закупок иностранного программного обеспечения, радиоэлектронной продукции и телекоммуникационного оборудования, в том числе в составе программно-аппаратных комплексов, а также закупок услуг, необходимых для их использования на принадлежащих некредитным финансовым организациям значимых объектах критической информационной инфраструктуры Российской Федерации (далее при совместном упоминании — закупки), осуществляется Банком России на основании;

отчетности некредитной финансовой организации;

информации об осуществлении некредитной финансовой организацией закупок, предоставляемой некредитной финансовой организацией в ответ на запрос Банка России о предоставлении информации об осуществлении некредитной финансовой организацией закупок (рекомендуемый образец приведен в приложении 2 к настоящему Указанию) (далее соответственно — запрос о предоставлении информации по закупкам, информация по закупкам);

заявок некредитной финансовой организации на согласование закупок, предусмотренных частью первой статьи 76.4-3 Федерального закона «О Центральном банке Российской Федерации (Банке России)» (далее — заявки на закупки), а также документов и информации, прилагаемых некредитной финансовой организацией к заявкам на закупки.

7. Запрос о предоставлении информации по закупкам за период, указанный в запросе, направляется некредитной финансовой организации структурным подразделением центрального аппарата Банка России, к функциям которого относится осуществление мониторинга за соблюдением некредитными финансовыми организациями закупок, в последний месяц каждого квартала не позднее десятого рабочего дня месяца в произвольной форме путем размещения указанного запроса в личном кабинете в соответствии с порядком взаимодействия.

Ответ на запрос о предоставлении информации по закупкам направляется некредитной финансовой организацией путем его размещения в личном кабинете в соответствии с порядком взаимодействия в течение 10 рабочих дней после дня получения указанного запроса.

8. В случае предоставления некредитной финансовой организацией в Банк России неполной и (или) недостоверной информации по закупкам структурное подразделение центрального аппарата Банка России, к функциям которого относится осуществление мониторинга за соблюдением некредитными финансовыми организациями осуществления закупок, не позднее 10 рабочих дней после дня предоставления некредитной финансовой организацией в Банк России неполной и (или) недостоверной информации по закупкам, направляет некредитной финансовой организации повторный запрос о предоставлении информации по закупкам в произвольной форме путем его размещения в личном кабинете в соответствии с порядком взаимодействия.

В случае непредоставления некредитной финансовой организацией информации по закупкам в срок, установленный абзацем вторым пункта 7 настоящего Указания, структурное подразделение центрального аппарата Банка России, к функциям которого относится осуществление мониторинга за соблюдением некредитными финансовыми организациями осуществления закупок, не позднее 10 рабочих дней после дня окончания срока предоставления ответа на запрос, указанного в абзаце втором пункта 7 настоящего Указания, направляет некредитной финансовой организации повторный запрос о предоставлении информации по закупкам в произвольной форме путем его размещения в личном кабинете в соответствии с порядком взаимодействия.

9. Ответ на повторный запрос о предоставлении информации по закупкам направляется некредитной финансовой организацией путем его размещения в личном кабинете в соответствии с порядком взаимодействия в течение 5 рабочих дней после дня получения указанного запроса.

10. Банк России в рамках мониторинга за соблюдением некредитными финансовыми организациями осуществления закупок:

устанавливает соответствие информации, содержащейся в отчетности некредитной финансовой организации, и информации по закупкам заявкам на закупки, а также документам и информации, прилагаемым некредитной финансовой организацией к заявкам на закупки;

устанавливает соответствие информации, содержащейся в отчетности некредитной финансовой организации, информации по закупкам и заявок на закупки сведениям, указанным в плане мероприятий (в случае осуществления некредитной финансовой организацией закупок после согласования Банком России плана мероприятий);

выявляет сведения об осуществлении некредитной финансовой организацией неопределенных в согласованных Банком России заявках на закупки закупок иностранного программного обеспечения, радиоэлектронной продукции и телекоммуникационного оборудования, в том числе в составе программно-аппаратных комплексов, а также закупок услуг, необходимых для их использования на принадлежащих некредитной финансовой организации значимых объектах критической информационной инфраструктуры Российской Федерации;

выявляет незавершенные закупки, осуществляемые некредитной финансовой организацией в соответствии с согласованными Банком России заявками на закупки;

учитывает количество принятых Банком России решений о согласовании закупок и решений об отказе в согласовании закупок, а также повторных заявок на закупки;

учитывает заявки на закупки, направленные в Банк России до согласования Банком России плана мероприятий и до утверждения плана мероприятий руководителем некредитной финансовой организации.

11. Банк России осуществляет контроль за соблюдением некредитными финансовыми организациями реализации планов мероприятий и осуществления закупок, в том числе при неполучении или получении неполной и (или) недостоверной информации, запрашиваемой Банком России в рамках осуществления мониторинга за соблюдением некредитными финансовыми организациями планов мероприятий и осуществления закупок, в виде проверок, проводимых в целях:

оценки выполнения некредитной финансовой организацией обязанностей, предусмотренных частью второй статьи 76.4-3 Федерального закона «О Центральном банке Российской Федерации (Банке России)»;

оценки выполнения некредитной финансовой организацией мероприятий, предусмотренных планом мероприятий;

установления соответствия перечня значимых объектов критической информационной инфраструктуры Российской Федерации, приведенного в плане мероприятий, перечню принадлежащих некредитной финансовой организации значимых объектов критической информационной инфраструктуры Российской Федерации, на которых она должна обеспечить преимущественное использование российского программного обеспечения, отечественных радиоэлектронной продукции и телекоммуникационного оборудования, в том числе в составе программно-аппаратных комплексов, используемых при реализации технологических процессов, указанных в приложении к Положению Банка России от 15 ноября 2021 года № 779-П «Об установлении обязательных для некредитных финансовых организаций требований к операционной надежности при осуществлении видов деятельности, предусмотренных частью первой статьи 76.1 Федерального закона от 10 июля 2002 года № 86-ФЗ „О Центральном банке Российской Федерации (Банке России)“, в целях обеспечения непрерывности оказания финансовых услуг (за исключением банковских услуг)» <1>;

---

<1> Зарегистрировано Минюстом России 28 марта 2022 года, регистрационный № 67961.

выявления сведений об использовании некредитной финансовой организацией иностранного программного обеспечения, иностранных радиоэлектронной продукции и телекоммуникационного оборудования, в том числе в составе программно-аппаратных комплексов, на принадлежащих ей значимых объектах критической информационной инфраструктуры Российской Федерации, не определенных в плане мероприятий.

Проверки осуществляются Банком России в порядке, установленном на основании части второй статьи 76.5 Федерального закона «О Центральном банке Российской Федерации (Банке России)».

12. Настоящее Указание вступает в силу по истечении 10 дней после дня его официального опубликования.

1. Перечень принадлежащих некредитной финансовой организации значимых объектов критической информационной инфраструктуры Российской Федерации, используемых при реализации технологических процессов, указанных в приложении к Положению Банка России от 15 ноября 2021 года № 779-П «Об установлении обязательных для некредитных финансовых организаций требований к операционной надежности при осуществлении видов деятельности, предусмотренных частью первой статьи 76.1 Федерального закона от 10 июля 2002 года № 86-ФЗ „О Центральном банке Российской Федерации (Банке России)“, в целях обеспечения непрерывности оказания финансовых услуг (за исключением банковских услуг)» <2> (далее — Положение Банка России № 779-П), на которых используются российское программное обеспечение, отечественные радиоэлектронная продукция и телекоммуникационное оборудование, в том числе в составе программно-аппаратных комплексов, с указанием:

---

<2> Зарегистрировано Минюстом России 28 марта 2022 года, регистрационный № 67961.

технологических процессов, для реализации которых некредитной финансовой организацией используются принадлежащие ей значимые объекты критической информационной инфраструктуры Российской Федерации;

наименований значимых объектов критической информационной инфраструктуры Российской Федерации;

категорий значимости, присвоенных объектам критической информационной инфраструктуры в соответствии с пунктом 1 части 2 статьи 6 Федерального закона от 26 июля 2017 года № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации»;

доменного имени и адреса официального сайта в сети «Интернет» (при наличии) разработчика значимых объектов критической информационной инфраструктуры Российской Федерации;

функционального назначения значимых объектов критической информационной инфраструктуры Российской Федерации.

В случае планирования некредитной финансовой организацией использования российского программного обеспечения, отечественных радиоэлектронной продукции и телекоммуникационного оборудования, в том числе в составе программно-аппаратных комплексов, на принадлежащих ей значимых объектах критической информационной инфраструктуры Российской Федерации информация, предусмотренная абзацами вторым - шестым пункта 1 настоящего приложения, также указывается в отношении таких объектов.

2. Информация об автоматизированных системах, программном обеспечении, средствах вычислительной техники, телекоммуникационном оборудовании, применяемых некредитной финансовой организацией в рамках технологических процессов, указанных в приложении к Положению Банка России № 779-П.

3. Перечень программного обеспечения, радиоэлектронной продукции и телекоммуникационного оборудования, в том числе в составе программно-аппаратных комплексов, используемых некредитной финансовой организацией на принадлежащих ей значимых объектах критической информационной инфраструктуры Российской Федерации, с указанием:

технологических процессов, для реализации которых некредитной финансовой организацией используются принадлежащие ей значимые объекты критической информационной инфраструктуры Российской Федерации, программное обеспечение, радиоэлектронная продукция и телекоммуникационное оборудование, в том числе в составе программно-аппаратных комплексов;

доменного имени и адреса официального сайта в сети «Интернет» (при наличии) разработчика программного обеспечения, радиоэлектронной продукции и телекоммуникационного оборудования, в том числе в составе программно-аппаратных комплексов, которые используются некредитной финансовой организацией на принадлежащих ей значимых объектах критической информационной инфраструктуры Российской Федерации;

наименований программного обеспечения, радиоэлектронной продукции и телекоммуникационного оборудования, в том числе в составе программно-аппаратных комплексов, которые используются некредитной финансовой организацией на принадлежащих ей значимых объектах критической информационной инфраструктуры Российской Федерации;

версии и класса программного обеспечения, радиоэлектронной продукции и телекоммуникационного оборудования, в том числе в составе программно-аппаратных комплексов, которые используются некредитной финансовой организацией на принадлежащих ей значимых объектах критической информационной инфраструктуры Российской Федерации (при наличии);

информации о наличии (отсутствии) программного обеспечения, в том числе в составе программно-аппаратных комплексов, и программно-аппаратных комплексов, которые используются некредитной финансовой организацией на принадлежащих ей значимых объектах критической информационной инфраструктуры Российской Федерации, в едином реестре российских программ для электронных вычислительных машин и баз данных или в едином реестре программ для электронных вычислительных машин и баз данных из государств — членов Евразийского экономического союза, за исключением Российской Федерации, ведение которых предусмотрено постановлением Правительства Российской Федерации от 16 ноября 2015 года № 1236 «Об установлении запрета на допуск программного обеспечения, происходящего из иностранных государств, для целей осуществления закупок для обеспечения государственных и муниципальных нужд»;

информации о наличии (отсутствии) радиоэлектронной продукции и телекоммуникационного оборудования, в том числе в составе программно-аппаратных комплексов, и программно-аппаратных комплексов, которые используются некредитной финансовой организацией на принадлежащих ей значимых объектах критической информационной инфраструктуры Российской Федерации, в едином реестре российской радиоэлектронной продукции, ведение которого предусмотрено постановлением Правительства Российской Федерации от 10 июля 2019 года № 878 «О мерах стимулирования производства радиоэлектронной продукции на территории Российской Федерации при осуществлении закупок товаров, работ, услуг для обеспечения государственных и муниципальных нужд, о внесении изменений в постановление Правительства Российской Федерации от 16 сентября 2016 г. № 925 и признании утратившими силу некоторых актов Правительства Российской Федерации»;

информации о наличии (отсутствии) документа (сертификата), указанного в пункте 2 требований к программному обеспечению, в том числе в составе программно-аппаратных комплексов, используемому органами государственной власти, заказчиками, осуществляющими закупки в соответствии с Федеральным законом «О закупках товаров, работ, услуг отдельными видами юридических лиц» (за исключением организаций с муниципальным участием), на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации, утвержденных постановлением Правительства Российской Федерации от 22 августа 2022 года № 1478.

В случае планирования некредитной финансовой организацией осуществления перехода на преимущественное использование российского программного обеспечения, отечественных радиоэлектронной продукции и телекоммуникационного оборудования, в том числе в составе программно-аппаратных комплексов, используемых некредитной финансовой организацией на принадлежащих ей значимых объектах критической информационной инфраструктуры Российской Федерации, информация, предусмотренная абзацами вторым - восьмым настоящего пункта, также указывается в отношении таких программного обеспечения, радиоэлектронной продукции и телекоммуникационного оборудования.

4. Перечень мероприятий по переходу на преимущественное использование российского программного обеспечения, отечественных радиоэлектронной продукции и телекоммуникационного оборудования, в том числе в составе программно-аппаратных комплексов, на принадлежащих некредитной финансовой организации значимых объектах критической информационной инфраструктуры Российской Федерации (далее — мероприятия), реализованных некредитной финансовой организацией за период, за который предоставляется указанная информация.

5. Сведения о понесенных некредитной финансовой организацией расходах, связанных с реализацией плана мероприятий, за период, за который предоставляется указанная информация.

6. Информация о не реализованных некредитной финансовой организацией мероприятиях, выполнение которых предусмотрено планом мероприятий, за период, за который предоставляется указанная информация.

7. Доля использования некредитной финансовой организацией российского программного обеспечения, отечественных радиоэлектронной продукции и телекоммуникационного оборудования, в том числе в составе программно-аппаратных комплексов, на принадлежащих ей значимых объектах критической информационной инфраструктуры Российской Федерации, в общем объеме используемого некредитной финансовой организацией программного обеспечения, радиоэлектронной продукции и телекоммуникационного оборудования, в том числе в составе программно-аппаратных комплексов, на таких объектах (в процентах).

8. Сведения о лице, ответственном за переход некредитной финансовой организации на преимущественное использование российского программного обеспечения, отечественных радиоэлектронной продукции и телекоммуникационного оборудования, в том числе в составе программно-аппаратных комплексов, на принадлежащих некредитной финансовой организации значимых объектах критической информационной инфраструктуры Российской Федерации (при наличии):

фамилия, имя, отчество (при наличии);

наименование занимаемой должности;

дата назначения на должность (дата возложения на лицо временного исполнения обязанностей);

дата освобождения от должности (освобождения от временного исполнения обязанностей) (при наличии).

1. Наименование иностранного программного обеспечения, радиоэлектронной продукции и телекоммуникационного оборудования, в том числе в составе программно-аппаратных комплексов, закупка которых осуществлена некредитной финансовой организацией за период, за который предоставляется указанная информация.

2. Доменное имя и адрес официального сайта в сети «Интернет» (при наличии) разработчика иностранного программного обеспечения, радиоэлектронной продукции и телекоммуникационного оборудования, в том числе в составе программно-аппаратных комплексов, закупка которых осуществлена некредитной финансовой организацией за период, за который предоставляется указанная информация.

3. Доменное имя и адрес официального сайта в сети «Интернет» (при наличии) поставщика услуг, необходимых для использования иностранного программного обеспечения, радиоэлектронной продукции и телекоммуникационного оборудования, в том числе в составе программно-аппаратных комплексов, на принадлежащих некредитной финансовой организации значимых объектах критической информационной инфраструктуры Российской Федерации.

4. Информация о наличии (отсутствии) документа (сертификата), указанного в пункте 2 требований к программному обеспечению, в том числе в составе программно-аппаратных комплексов, используемому органами государственной власти, заказчиками, осуществляющими закупки в соответствии с Федеральным законом «О закупках товаров, работ, услуг отдельными видами юридических лиц» (за исключением организаций с муниципальным участием), на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации, утвержденных постановлением Правительства Российской Федерации от 22 августа 2022 года № 1478.

5. Класс иностранного программного обеспечения, радиоэлектронной продукции и телекоммуникационного оборудования, в том числе в составе программно-аппаратных комплексов, закупка которых осуществлена некредитной финансовой организацией за период, за который предоставляется указанная информация (при наличии).

6. Итоговая цена договора, заключенного некредитной финансовой организацией в соответствии с заявкой на закупку, согласованной Банком России, за период и (или) ранее периода, за который предоставляется указанная информация (за исключением закупок, информация об осуществлении которых предоставлялась ранее).

7. Сроки заключения некредитной финансовой организацией договора в соответствии с заявкой на закупку, согласованной Банком России за период и (или) ранее периода, за который предоставляется указанная информация (за исключением закупок, информация об осуществлении которых предоставлялась ранее).

8. Сроки исполнения договора, заключенного некредитной финансовой организацией в соответствии с заявкой на закупку, согласованной Банком России за период, за который предоставляется указанная информация (за исключением закупок, информация об осуществлении которых предоставлялась ранее).

9. Информация о завершении закупки (завершена, или не завершена (с указанием причин незавершения закупки) в соответствии с согласованной Банком России заявкой на закупку за период и (или) ранее периода, за который предоставляется указанная информация (за исключением закупок, информация об осуществлении которых предоставлялась ранее).

10. Расходы некредитной финансовой организации, связанные с осуществлением закупки в соответствии с согласованной Банком России заявкой на закупку, за период и (или) ранее периода, за который предоставляется указанная информация (за исключением закупок, информация об осуществлении которых предоставлялась ранее).

---