Указание Банка России от 19.08.2024 № 6828-У

(ред. от 19.08.2024)

«О порядке направления операторами по переводу денежных средств, операторами платежных систем, операторами услуг платежной инфраструктуры, операторами электронных платформ в Банк России информации обо всех случаях и (или) попытках осуществления переводов денежных средств без добровольного согласия клиента, форме и порядке получения ими от Банка России информации, содержащейся в базе данных о случаях и попытках осуществления переводов денежных средств без добровольного согласия клиента, порядке запроса и получения Банком России у них информации о переводах денежных средств, связанных с переводами денежных средств без добровольного согласия клиента, в отношении которых от федерального органа исполнительной власти в сфере внутренних дел получены сведения о совершенных противоправных действиях в соответствии с частью 8 статьи 27 Федерального закона от 27 июня 2011 года № 161-ФЗ „О национальной платежной системе“, а также о порядке реализации ими мероприятий по противодействию осуществлению переводов денежных средств без добровольного согласия клиента»

(Зарегистрировано в Минюсте России 04.10.2024 № 79704)

Зарегистрировано в Минюсте России 4 октября 2024 г. № 79704

Настоящее Указание на основании частей 4, 6 и 7 статьи 27 Федерального закона от 27 июня 2011 года № 161-ФЗ «О национальной платежной системе» устанавливает:

порядок направления операторами по переводу денежных средств, операторами платежных систем, операторами услуг платежной инфраструктуры в Банк России информации обо всех случаях и (или) попытках осуществления переводов денежных средств без добровольного согласия клиента, а именно без согласия клиента или с согласия клиента, полученного под влиянием обмана или при злоупотреблении доверием, форму и порядок получения ими от Банка России информации, содержащейся в базе данных о случаях и попытках осуществления переводов денежных средств без добровольного согласия клиента, а именно без согласия клиента или с согласия клиента, полученного под влиянием обмана или при злоупотреблении доверием, формирование и ведение которой осуществляются Банком России на основании части 5 статьи 27 Федерального закона от 27 июня 2011 года № 161-ФЗ «О национальной платежной системе», включая информацию, указанную в части 5 статьи 27 Федерального закона от 27 июня 2011 года № 161-ФЗ «О национальной платежной системе»;

порядок запроса и получения Банком России у операторов по переводу денежных средств, операторов платежных систем, операторов услуг платежной инфраструктуры, операторов электронных платформ информации о переводах денежных средств, связанных с переводами денежных средств без добровольного согласия клиента, а именно без согласия клиента или с согласия клиента, полученного под влиянием обмана или при злоупотреблении доверием, в отношении которых от федерального органа исполнительной власти в сфере внутренних дел получены сведения о совершенных противоправных действиях в соответствии с частью 8 статьи 27 Федерального закона от 27 июня 2011 года № 161-ФЗ «О национальной платежной системе»;

порядок направления операторами электронных платформ в Банк России информации обо всех случаях и (или) попытках осуществления переводов денежных средств без добровольного согласия клиента, а именно без согласия клиента или с согласия клиента, полученного под влиянием обмана или при злоупотреблении доверием, порядок получения ими от Банка России информации, содержащейся в базе данных о случаях и попытках осуществления переводов денежных средств без добровольного согласия клиента, а именно без согласия клиента или с согласия клиента, полученного под влиянием обмана или при злоупотреблении доверием, формирование и ведение которой осуществляются Банком России на основании части 5 статьи 27 Федерального закона от 27 июня 2011 года № 161-ФЗ «О национальной платежной системе», включая информацию, указанную в части 5 статьи 27 Федерального закона от 27 июня 2011 года № 161-ФЗ «О национальной платежной системе»;

порядок реализации операторами по переводу денежных средств, операторами платежных систем, операторами услуг платежной инфраструктуры мероприятий по противодействию осуществлению переводов денежных средств без добровольного согласия клиента, а именно без согласия клиента или с согласия клиента, полученного под влиянием обмана или при злоупотреблении доверием;

порядок реализации операторами электронных платформ мероприятий по противодействию осуществлению переводов денежных средств без добровольного согласия клиента, а именно без согласия клиента или с согласия клиента, полученного под влиянием обмана или при злоупотреблении доверием.

Глава 1. Порядок направления операторами по переводу денежных средств, операторами платежных систем, операторами услуг платежной инфраструктуры в Банк России информации обо всех случаях и (или) попытках осуществления переводов денежных средств без добровольного согласия клиента, форма и порядок получения ими от Банка России информации, содержащейся в базе данных о случаях и попытках осуществления переводов денежных средств без добровольного согласия клиента

1.1. Операторы по переводу денежных средств, операторы платежных систем, операторы услуг платежной инфраструктуры должны направлять в соответствии с частью 6 статьи 27 Федерального закона от 27 июня 2011 года № 161-ФЗ «О национальной платежной системе» (далее — Федеральный закон № 161-ФЗ) в Банк России информацию обо всех случаях и (или) попытках осуществления переводов денежных средств без добровольного согласия клиента, а именно без согласия клиента или с согласия клиента, полученного под влиянием обмана или при злоупотреблении доверием (далее соответственно — перевод денежных средств без добровольного согласия клиента, информация о переводах денежных средств без добровольного согласия клиента) в электронном виде по форме предоставления информации о переводах денежных средств без добровольного согласия клиента, размещаемой на официальном сайте Банка России в информационно-телекоммуникационной сети «Интернет» в соответствии с частью 6 статьи 27 Федерального закона № 161-ФЗ (далее соответственно — сеть «Интернет», форма предоставления информации).

1.2. Операторы по переводу денежных средств, операторы услуг платежной инфраструктуры при выполнении ими функций операционного центра, расчетного центра платежной системы должны направлять в Банк России информацию о переводах денежных средств без добровольного согласия клиента по форме предоставления информации при:

получении оператором по переводу денежных средств, обслуживающим плательщика, уведомлений от клиентов о случаях и (или) попытках переводов денежных средств без добровольного согласия клиента;

получении оператором по переводу денежных средств, являющимся участником платформы цифрового рубля, уведомлений от клиента, являющегося пользователем платформы цифрового рубля, которому такой оператор предоставляет доступ к платформе цифрового рубля, о случаях и (или) попытках осуществления перевода цифровых рублей или операций по уменьшению остатка цифровых рублей на счете цифрового рубля путем увеличения остатка электронных денежных средств без добровольного согласия клиента, а именно без согласия клиента или с согласия клиента, полученного под влиянием обмана или при злоупотреблении доверием (далее при совместном упоминании — операции с цифровым рублем без добровольного согласия клиента);

выявлении оператором по переводу денежных средств, обслуживающим плательщика, операций, которые соответствуют признакам осуществления перевода денежных средств без добровольного согласия клиента, размещенным на официальном сайте Банка России в сети «Интернет» в соответствии с частью 3.3 статьи 8 Федерального закона № 161-ФЗ (далее — признаки осуществления перевода денежных средств без добровольного согласия клиента), при условии, что после приостановления им приема к исполнению распоряжения клиента по операции (отказа им в совершении операции), соответствующей признакам осуществления перевода денежных средств без добровольного согласия клиента, получена информация о попытке перевода денежных средств без добровольного согласия клиента;

выявлении оператором по переводу денежных средств, являющимся участником платформы цифрового рубля, операций с цифровым рублем без добровольного согласия клиента, которые соответствуют признакам осуществления перевода денежных средств без добровольного согласия клиента, при условии, что после приостановления им приема к исполнению распоряжения клиента, являющегося пользователем платформы цифрового рубля, которому такой оператор предоставляет доступ к платформе цифрового рубля, по операции с цифровым рублем, соответствующей признакам осуществления перевода денежных средств без добровольного согласия клиента, получена информация о попытке перевода денежных средств без добровольного согласия клиента;

получении оператором по переводу денежных средств уведомления от физического лица о случаях и (или) попытках осуществления переводов денежных средств без добровольного согласия клиента без открытия банковского счета при приеме от него наличных денежных средств для их зачисления с использованием электронных средств платежа (далее — ЭСП) получателя средств на банковские счета получателя средств или для их выдачи получателю средств в наличной форме;

выявлении операций по переводу денежных средств, совершенных в результате несанкционированного доступа к автоматизированным системам, программному обеспечению, средствам вычислительной техники, телекоммуникационному оборудованию, эксплуатация и использование которых обеспечиваются операторами по переводу денежных средств, в том числе операторами услуг платежной инфраструктуры при выполнении ими функций операционного центра, расчетного центра платежной системы при осуществлении переводов денежных средств (далее — объекты информационной инфраструктуры).

1.3. Операторы по переводу денежных средств, являющиеся системно значимыми кредитными организациями, кредитными организациями, признанными Банком России значимыми на рынке платежных услуг, в том числе операторы услуг платежной инфраструктуры при выполнении ими функций операционного центра, расчетного центра в рамках системно значимых платежных систем и социально значимых платежных систем должны направлять в Банк России информацию о переводах денежных средств без добровольного согласия клиента в течение трех часов с момента наступления событий, указанных в абзацах втором, четвертом, шестом и седьмом пункта 1.2 настоящего Указания.

Операторы по переводу денежных средств, в том числе операторы услуг платежной инфраструктуры при выполнении ими функций операционного центра, расчетного центра платежной системы, не указанные в абзаце первом настоящего пункта, должны направлять в Банк России информацию о переводах денежных средств без добровольного согласия клиента не позднее рабочего дня, следующего за днем наступления событий, указанных в абзацах втором, четвертом, шестом и седьмом пункта 1.2 настоящего Указания.

Операторы по переводу денежных средств, являющиеся участниками платформы цифрового рубля, должны направлять в Банк России информацию о случаях и (или) попытках осуществления операций с цифровым рублем без добровольного согласия клиента в течение трех часов с момента наступления событий, указанных в абзацах третьем и пятом пункта 1.2 настоящего Указания.

1.4. Операторы по переводу денежных средств, операторы услуг платежной инфраструктуры должны направлять в Банк России информацию о компьютерных атаках, направленных на объекты информационной инфраструктуры операторов по переводу денежных средств, операторов услуг платежной инфраструктуры и (или) их клиентов, которые могут привести к случаям и (или) попыткам осуществления переводов денежных средств без добровольного согласия клиента, в соответствии с порядком, установленным федеральным органом исполнительной власти, уполномоченным в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, в соответствии с пунктом 1 части 2 статьи 9 Федерального закона от 26 июля 2017 года № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации».

1.5. Операторы по переводу денежных средств, операторы платежных систем, операторы услуг платежной инфраструктуры должны направлять в Банк России информацию об операции по переводу денежных средств без добровольного согласия клиента (общие данные), указанную в графах 3 и 5 строки 1 приложения 1 к настоящему Указанию.

Операторы по переводу денежных средств, являющиеся участниками платформы цифрового рубля, обслуживающими плательщика, при осуществлении или попытках осуществления операций с цифровым рублем без добровольного согласия клиента должны направлять в Банк России информацию об операции по переводу денежных средств без добровольного согласия клиента (общие данные), указанную в графе 3 строки 1 приложения 1 к настоящему Указанию.

1.6. Операторы по переводу денежных средств, обслуживающие плательщика, операторы платежных систем, операторы услуг платежной инфраструктуры должны направлять в Банк России информацию об идентификаторах плательщика (идентифицирующую плательщика), указанную в графе 3 строки 2 приложения 1 к настоящему Указанию, а также следующую информацию об идентификаторах операции и способе ее проведения:

1.6.1. Информацию, указанную в графе 3 строки 3 приложения 1 к настоящему Указанию, — при осуществлении или попытках осуществления переводов денежных средств без добровольного согласия клиента посредством списания денежных средств с банковского счета плательщика без использования платежных карт.

1.6.2. Информацию, указанную в графе 3 строки 4 приложения 1 к настоящему Указанию, — при осуществлении или попытках осуществления переводов денежных средств без добровольного согласия клиента с использованием платежных карт.

1.6.3. Информацию, указанную в графе 3 строки 5 приложения 1 к настоящему Указанию, — при осуществлении или попытках осуществления переводов денежных средств без добровольного согласия клиента с использованием сервиса быстрых платежей платежной системы Банка России (далее — СБП).

1.6.4. Информацию, указанную в графе 3 строки 6 приложения 1 к настоящему Указанию, — при осуществлении или попытках осуществления переводов денежных средств без добровольного согласия клиента за счет остатка электронных денежных средств без использования платежных карт.

1.6.5. Информацию, указанную в графе 3 строки 7 приложения 1 к настоящему Указанию, — при осуществлении или попытках осуществления переводов денежных средств без добровольного согласия клиента без открытия банковского счета.

1.6.6. Информацию, указанную в графе 3 строки 8 приложения 1 к настоящему Указанию, — при осуществлении или попытках осуществления операции с цифровым рублем без добровольного согласия клиента.

1.7. Операторы по переводу денежных средств, обслуживающие плательщика, операторы платежных систем, операторы услуг платежной инфраструктуры должны направлять в Банк России следующую информацию о получателе средств:

1.7.1. Информацию, указанную в графе 4 строки 3 приложения 1 к настоящему Указанию, — при осуществлении или попытках осуществления переводов денежных средств без добровольного согласия клиента посредством списания денежных средств с банковского счета плательщика без использования платежных карт.

1.7.2. Информацию, указанную в графе 4 строки 4 приложения 1 к настоящему Указанию, — при осуществлении или попытках осуществления переводов денежных средств без добровольного согласия клиента с использованием платежных карт.

1.7.3. Информацию, указанную в графе 4 строки 5 приложения 1 к настоящему Указанию, — при осуществлении или попытках осуществления переводов денежных средств без добровольного согласия клиента с использованием СБП.

1.7.4. Информацию, указанную в графе 4 строки 6 приложения 1 к настоящему Указанию, — при осуществлении или попытках осуществления переводов денежных средств без добровольного согласия клиента за счет остатка электронных денежных средств без использования платежных карт.

1.7.5. Информацию, указанную в графе 4 строки 7 приложения 1 к настоящему Указанию, — при осуществлении или попытках осуществления переводов денежных средств без добровольного согласия клиента без открытия банковского счета.

1.7.6. Информацию, указанную в графе 4 строки 8 приложения 1 к настоящему Указанию, — при осуществлении или попытках осуществления операции с цифровым рублем без добровольного согласия клиента.

1.8. Операторы по переводу денежных средств, обслуживающие получателя средств, операторы платежных систем, операторы услуг платежной инфраструктуры обязаны не позднее рабочего дня, следующего за днем получения запроса Банка России, представить информацию об идентификаторах получателя средств (идентифицирующую получателя), указанную в графе 5 строки 2 приложения 1 к настоящему Указанию.

1.9. Операторы по переводу денежных средств, операторы платежных систем, операторы услуг платежной инфраструктуры должны направлять в Банк России информацию, используемую для идентификации устройств, при помощи которых либо в отношении которых осуществлен доступ к объектам информационной инфраструктуры, указанную в графах 3 и 5 строки 9 приложения 1 к настоящему Указанию, при наличии данной информации.

1.10. Операторы по переводу денежных средств должны направить в Банк России по форме предоставления информации уточняющую информацию о переводах денежных средств без добровольного согласия клиента по отношению к информации о переводах денежных средств без добровольного согласия клиента, ранее направленной в Банк России или ранее полученной от Банка России из базы данных о случаях и попытках осуществления переводов денежных средств без добровольного согласия клиента, формирование и ведение которой осуществляются Банком России на основании части 5 статьи 27 Федерального закона № 161-ФЗ (далее — база данных), в течение трех рабочих дней со дня ее выявления в рамках реализуемой ими системы управления рисками в соответствии с частью 3.5 статьи 8 Федерального закона № 161-ФЗ.

1.11. Операторы по переводу денежных средств при выявлении в рамках реализуемой ими системы управления рисками в соответствии с частью 3.5 статьи 8 Федерального закона № 161-ФЗ случаев необоснованного направления в Банк России информации о переводах денежных средств без добровольного согласия клиента должны направить в Банк России информацию об исключении информации из базы данных с указанием причин ее необоснованного направления в Банк России по форме предоставления информации в течение трех рабочих дней со дня выявления указанного необоснованного направления.

1.12. В случае направления в Банк России операторами по переводу денежных средств неполной и (или) недостоверной информации о переводах денежных средств без добровольного согласия клиента Банк России направляет операторам по переводу денежных средств запрос о направлении информации, указанной в приложении 1 к настоящему Указанию.

При получении запроса Банка России о направлении информации о переводах денежных средств без добровольного согласия клиента, указанной в приложении 1 к настоящему Указанию, операторы по переводу денежных средств должны направить запрашиваемую Банком России информацию о переводах денежных средств без добровольного согласия клиента по форме предоставления информации не позднее рабочего дня, следующего за днем получения указанного запроса Банка России.

1.13. Банк России запрашивает у операторов по переводу денежных средств подтверждение необходимости отнесения информации о переводах денежных средств без добровольного согласия клиента к случаю и (или) попытке осуществления перевода денежных средств без добровольного согласия клиента на основании информации о переводах денежных средств без добровольного согласия клиента, полученной от операторов по переводу денежных средств в соответствии с пунктами 1.2 и 1.14 настоящего Указания.

Операторы по переводу денежных средств обязаны не позднее рабочего дня, следующего за днем получения запроса Банка России, представить подтверждение, указанное в абзаце первом настоящего пункта, или сообщить об отсутствии необходимости отнесения информации о переводах денежных средств без добровольного согласия клиента к случаю и (или) попытке осуществления перевода денежных средств без добровольного согласия клиента по форме предоставления информации с учетом реализуемой ими системы управления рисками в соответствии с частью 3.5 статьи 8 Федерального закона № 161-ФЗ.

1.14. Операторы по переводу денежных средств, операторы платежных систем, операторы услуг платежной инфраструктуры должны направить по форме предоставления информации не позднее рабочего дня, следующего за днем получения запроса Банка России, направленного в целях, указанных в части 5 статьи 27 Федерального закона № 161-ФЗ, подтверждение необходимости отнесения информации, ранее направленной ими в Банк России в соответствии с настоящим Указанием, к информации о переводах денежных средств без добровольного согласия клиента или подтверждение необходимости исключения информации о переводах денежных средств без добровольного согласия клиента, направленной ими ранее в Банк России в соответствии с настоящим Указанием, из базы данных.

1.15. Операторы по переводу денежных средств, операторы платежных систем, операторы услуг платежной инфраструктуры должны направить по форме предоставления информации информацию о переводах денежных средств без добровольного согласия клиента, указанную в приложении 1 к настоящему Указанию, по запросу Банка России, направленному в целях, указанных в части 5 статьи 27 Федерального закона № 161-ФЗ, в связи с получением в соответствии с настоящим Указанием от операторов по переводу денежных средств, операторов платежных систем, операторов услуг платежной инфраструктуры информации о переводах без добровольного согласия клиента. Информация о переводах денежных средств без добровольного согласия клиента в соответствии с настоящим пунктом направляется не позднее рабочего дня, следующего за днем получения запроса Банка России.

1.16. Операторы по переводу денежных средств, операторы платежных систем, операторы услуг платежной инфраструктуры получают по форме, предусмотренной приложением 2 к настоящему Указанию, следующую информацию из базы данных:

информацию о получателях средств по переводам денежных средств без добровольного согласия клиента, а также об ЭСП получателя средств и операциях по переводу денежных средств получателя средств;

информацию, используемую для идентификации устройств получателя средств, при помощи которых либо в отношении которых осуществлен доступ к объектам информационной инфраструктуры.

1.17. Операторы по переводу денежных средств, операторы платежных систем, операторы услуг платежной инфраструктуры направляют в Банк России информацию о переводах денежных средств без добровольного согласия клиента и получают информацию из базы данных с использованием технической инфраструктуры (автоматизированной системы) Банка России или резервного способа взаимодействия (при технической невозможности использования технической инфраструктуры (автоматизированной системы) Банка России), информация о которых размещается на официальном сайте Банка России в сети «Интернет» (далее соответственно — техническая инфраструктура Банка России, резервный способ).

Информация о переводах денежных средств без добровольного согласия клиента, направленная с использованием резервного способа, должна быть повторно направлена в Банк России операторами по переводу денежных средств, операторами платежных систем, операторами услуг платежной инфраструктуры при возобновлении технической возможности взаимодействия участников информационного обмена с использованием технической инфраструктуры Банка России в течение трех рабочих дней со дня возобновления технической возможности.

Глава 2. Порядок запроса и получения Банком России у операторов по переводу денежных средств, операторов платежных систем, операторов услуг платежной инфраструктуры, операторов электронных платформ информации о переводах денежных средств, связанных с переводами денежных средств без добровольного согласия клиента, в отношении которых от федерального органа исполнительной власти в сфере внутренних дел получены сведения о совершенных противоправных действиях в соответствии с частью 8 статьи 27 Федерального закона от 27 июня 2011 года № 161-ФЗ «О национальной платежной системе»

2.1. Банк России вправе запросить у операторов по переводу денежных средств, операторов платежных систем, операторов услуг платежной инфраструктуры, операторов электронных платформ (далее — ОЭП) информацию о переводах денежных средств, связанных с переводами денежных средств без добровольного согласия клиента, указанную в приложениях 1 и 3 к настоящему Указанию, в отношении которых от федерального органа исполнительной власти в сфере внутренних дел получены сведения о совершенных противоправных действиях в соответствии с частью 8 статьи 27 Федерального закона № 161-ФЗ (далее — сведения о противоправных действиях).

2.2. Операторы по переводу денежных средств классифицируют операции по переводу денежных средств на основании запроса Банка России, сформированного Банком России при получении сведений о противоправных действиях, в соответствии с предусмотренными пунктом 4.6 настоящего Указания требованиями к порядку реализации мероприятий по противодействию осуществлению переводов денежных средств без добровольного согласия клиента.

В отношении операций по переводу денежных средств, классифицированных как операции, связанные с переводами денежных средств без добровольного согласия клиента, на основании запроса Банка России, без добровольного согласия клиента, на основании запроса Банка России, сформированного при получении сведений о противоправных действиях, операторы по переводу денежных средств направляют информацию, указанную в приложении 1 к настоящему Указанию, в Банк России не позднее рабочего дня, следующего за днем получения запроса от Банка России.

В отношении операций по переводу денежных средств, не классифицированных как операции, связанные с переводами денежных средств без добровольного согласия клиента, на основании запроса Банка России, сформированного при получении сведений о противоправных действиях, операторы по переводу денежных средств направляют информацию об отсутствии информации о переводах денежных средств без добровольного согласия клиента в Банк России не позднее рабочего дня, следующего за днем получения запроса от Банка России.

2.3. Операторы платежных систем, операторы услуг платежной инфраструктуры, ОЭП должны направить в Банк России не позднее рабочего дня, следующего за днем получения запроса Банка России, сформированного при получении сведений о противоправных действиях, информацию о переводах денежных средств, связанных с переводами денежных средств без добровольного согласия клиента, указанную в приложениях 1 и 3 к настоящему Указанию, в отношении которых получены сведения о противоправных действиях.

Глава 3. Порядок направления операторами электронных платформ в Банк России информации обо всех случаях и (или) попытках осуществления переводов денежных средств без добровольного согласия клиента, порядок получения ими от Банка России информации, содержащейся в базе данных о случаях и попытках осуществления переводов денежных средств без добровольного согласия клиента

3.1. ОЭП должны направлять в Банк России информацию о переводах без добровольного согласия клиента, включающую информацию об операциях, совершаемых в соответствии с частью 3 статьи 14.3 Федерального закона № 161-ФЗ путем перевода денежных средств по номинальному счету, открытому ОЭП (далее — операции по номинальному счету), без добровольного согласия клиента-бенефициара, являющегося пользователем электронной платформы (далее — клиент-бенефициар), в электронном виде по форме предоставления информации.

3.2. ОЭП должны направлять в Банк России информацию о переводах без добровольного согласия клиента при наступлении следующих событий:

получение ОЭП информации от клиентов-бенефициаров о случаях и (или) попытках совершения операций по номинальному счету без добровольного согласия клиента-бенефициара;

выявление ОЭП случаев совершения операций по номинальному счету без добровольного согласия клиента-бенефициара, в том числе совершенных в результате несанкционированного доступа к объектам информационной инфраструктуры ОЭП;

выявление ОЭП компьютерных атак, направленных на объекты информационной инфраструктуры ОЭП, которые могут привести к случаям и (или) попыткам совершения операций по номинальному счету без добровольного согласия клиента-бенефициара.

3.3. ОЭП — субъекты критической информационной инфраструктуры, которым на праве собственности, аренды или ином законном основании принадлежат значимые объекты критической информационной инфраструктуры, определяемые в соответствии с порядком, утвержденным на основании пункта 2 части 3 статьи 6 Федерального закона от 26 июля 2017 года № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации», должны направить в Банк России информацию о переводах без добровольного согласия клиента в течение трех часов с момента наступления события, указанного в абзаце четвертом пункта 3.2 настоящего Указания, и не позднее рабочего дня, следующего за днем наступления событий, указанных в абзацах втором и третьем пункта 3.2 настоящего Указания.

ОЭП, не указанные в абзаце первом настоящего пункта, должны направлять в Банк России информацию о переводах без добровольного согласия клиента не позднее рабочего дня, следующего за днем наступления событий, указанных в пункте 3.2 настоящего Указания.

3.4. ОЭП должны направлять в Банк России информацию о переводах без добровольного согласия клиента, включающую информацию об операциях по номинальному счету без добровольного согласия клиента-бенефициара, указанную в приложении 3 к настоящему Указанию.

3.5. ОЭП должны направить в Банк России по форме предоставления информации уточняющую информацию о переводах без добровольного согласия клиента по отношению к ранее направленной в Банк России или ранее полученной от Банка России информации из базы данных в течение трех рабочих дней со дня выявления ОЭП указанной уточняющей информации в рамках реализуемой ими системы управления рисками в соответствии с пунктом 5.1 настоящего Указания.

3.6. ОЭП при выявлении в рамках реализуемой ими системы управления рисками в соответствии с пунктом 5.1 настоящего Указания случаев необоснованного направления в Банк России информации о переводах без добровольного согласия клиента должны направить в Банк России по форме предоставления информации информацию с указанием причин необоснованного направления в Банк России информации о переводах без добровольного согласия клиента в течение трех рабочих дней со дня выявления указанного необоснованного направления.

3.7. В случае направления в Банк России ОЭП неполной и (или) недостоверной информации о переводах без добровольного согласия клиента Банк России направляет ОЭП запрос о повторном направлении указанной информации.

При получении запроса Банка России о повторном направлении информации о переводах без добровольного согласия клиента ОЭП должен повторно направить в Банк России запрашиваемую им информацию о переводах без добровольного согласия клиента по форме предоставления информации не позднее рабочего дня, следующего за днем получения указанного запроса Банка России.

3.8. ОЭП получают от Банка России информацию из базы данных по форме, предусмотренной приложением 2 к настоящему Указанию, содержащую информацию, предусмотренную строками 4 и 5 приложения 3 к настоящему Указанию.

3.9. ОЭП должны направлять в Банк России информацию о переводах без добровольного согласия клиента и получать информацию из базы данных с использованием технической инфраструктуры Банка России или резервного способа.

Информация о переводах без добровольного согласия клиента, направленная с использованием резервного способа, должна быть повторно направлена в Банк России ОЭП при возобновлении технической возможности взаимодействия ОЭП с Банком России с использованием технической инфраструктуры Банка России в течение трех рабочих дней со дня возобновления технической возможности.

3.10. Требования пунктов 3.1 - 3.9 настоящего Указания не распространяются на ОЭП, являющихся операторами финансовых платформ, которые направляют в Банк России информацию обо всех случаях и (или) о попытках осуществления операций, направленных на совершение финансовых сделок с использованием финансовой платформы без волеизъявления участников финансовой платформы (далее — операции по финансовым сделкам без волеизъявления участников финансовой платформы), и получают от Банка России информацию, содержащуюся в базе данных о случаях и попытках осуществления операций по финансовым сделкам без волеизъявления участников финансовой платформы, в соответствии с формой и порядком, установленными на основании частей 4 и 5 статьи 12 Федерального закона от 20 июля 2020 года № 211-ФЗ «О совершении финансовых сделок с использованием финансовой платформы».

Глава 4. Порядок реализации операторами по переводу денежных средств, операторами платежных систем, операторами услуг платежной инфраструктуры мероприятий по противодействию осуществлению переводов денежных средств без добровольного согласия клиента

4.1. Порядок реализации операторами по переводу денежных средств, операторами платежных систем, операторами услуг платежной инфраструктуры мероприятий по противодействию осуществлению переводов денежных средств без добровольного согласия клиента включает применение полученной от Банка России информации, содержащейся в базе данных, в целях выявления операций, соответствующих признакам осуществления переводов денежных средств без добровольного согласия клиента, и выполнение мероприятий, указанных в пунктах 4.2 - 4.10 настоящего Указания.

4.2. Абзац утратил силу с 1 января 2025 года. - Абзац третий пункта 6.1 данного Указания.

Операторы по переводу денежных средств, являющиеся системно значимыми кредитными организациями, кредитными организациями, признанными Банком России значимыми на рынке платежных услуг, должны применять информацию из базы данных не позднее одного часа с момента ее предоставления Банком России с использованием технической инфраструктуры Банка России или резервного способа.

4.3. Операторы по переводу денежных средств, не указанные в пункте 4.2 настоящего Указания, должны применять информацию из базы данных не позднее трех часов с момента ее предоставления Банком России с использованием технической инфраструктуры Банка России или резервного способа.

4.4. В случае получения оператором по переводу денежных средств информации из базы данных в периоды времени, когда оператором по переводу денежных средств не осуществляется обслуживание клиентов, в том числе посредством удаленного доступа с использованием прикладного программного обеспечения автоматизированных систем и приложений, операторы по переводу денежных средств должны применять информацию из базы данных не позднее сроков, указанных в пунктах 4.2 и 4.3 настоящего Указания, с момента начала осуществления оператором по переводу денежных средств обслуживания клиентов.

4.5. Операторы по переводу денежных средств при реализации мероприятий по противодействию осуществлению переводов денежных средств без добровольного согласия клиента:

выявляют операции по переводу денежных средств, совершенные в результате несанкционированного доступа к объектам информационной инфраструктуры;

осуществляют сбор сведений обо всех обращениях клиентов (клиента-плательщика, клиента-получателя) о случаях и (или) попытках осуществления переводов денежных средств без добровольного согласия клиента, в том числе при обращении клиентов операторов по переводу денежных средств в федеральные органы исполнительной власти в сфере внутренних дел (при получении от клиента указанных сведений);

обеспечивают прием обращений клиентов (клиента-плательщика, клиента-получателя) о случаях и (или) попытках осуществления переводов денежных средств без добровольного согласия клиента и их регистрацию;

выявляют компьютерные атаки, направленные на объекты информационной инфраструктуры операторов по переводу денежных средств, операторов услуг платежной инфраструктуры, операторов платежных систем и (или) их клиентов, которые могут привести к случаям и (или) попыткам осуществления переводов денежных средств без добровольного согласия клиента, и фиксируют данные о них;

рассматривают случаи и (или) попытки осуществления переводов денежных средств без добровольного согласия клиента, вызванные компьютерными атаками, направленными на объекты информационной инфраструктуры операторов по переводу денежных средств, операторов услуг платежной инфраструктуры, операторов платежных систем и (или) их клиентов;

осуществляют сбор технических данных, описывающих компьютерные атаки, направленные на объекты информационной инфраструктуры операторов по переводу денежных средств, операторов услуг платежной инфраструктуры, операторов платежных систем и (или) их клиентов, при их наличии;

реализуют меры по выявлению и устранению причин и последствий компьютерных атак, направленных на объекты информационной инфраструктуры операторов по переводу денежных средств, операторов услуг платежной инфраструктуры, операторов платежных систем и (или) их клиентов;

реализуют в отношении клиента-получателя средств, в адрес которого ранее совершались операции по переводу денежных средств без добровольного согласия клиента, в случаях, предусмотренных договором с клиентом, содержащим условия указанного в части 1 статьи 9 Федерального закона № 161-ФЗ договора об использовании ЭСП, ограничения по параметрам (на сумму одной операции, общую сумму выдачи, период времени) операций по осуществлению переводов денежных средств с использованием ЭСП (переводов электронных денежных средств), а также ограничения на получение и внесение наличных денежных средств в банкоматах и (или) кассах оператора по переводу денежных средств;

приостанавливают использование клиентом (клиентом-плательщиком, клиентом-получателем) ЭСП в соответствии с частями 11.6 и 11.7 статьи 9 Федерального закона № 161-ФЗ;

реализуют процедуру применения технического протокола, полученного в соответствии с пунктом 4.9 настоящего Указания, а также реализуют в отношении клиента (клиента-плательщика, клиента-получателя) ограничения по параметрам (на сумму одной операции, общую сумму выдачи, период времени) операций по осуществлению переводов электронных денежных средств с использованием ЭСП, ограничения на получение наличных денежных средств в банкоматах и (или) кассах оператора по переводу денежных средств.

4.6. Операторы по переводу денежных средств при реализации мероприятий по противодействию осуществлению переводов денежных средств без добровольного согласия клиента классифицируют операции по переводу денежных средств как операции, связанные с переводами денежных средств без добровольного согласия клиента, на основании запроса Банка России, сформированного при получении сведений о противоправных действиях, посредством:

поиска информации о результатах вычисления специального кода номера документа, удостоверяющего личность плательщика — физического лица, и (или) информации о результатах вычисления специального кода страхового номера индивидуального лицевого счета застрахованного лица в системе персонифицированного учета Фонда пенсионного и социального страхования Российской Федерации плательщика — физического лица, и (или) информации об идентификационном номере налогоплательщика плательщика — физического лица (при наличии), указанной в запросе Банка России, направленном в соответствии с пунктом 2.1 настоящего Указания, и проверку ее совпадения с информацией, формируемой оператором по переводу денежных средств в рамках процедур выявления операций, соответствующих признакам осуществления переводов денежных средств без добровольного согласия клиента, предусмотренных частью 3.5 статьи 8 Федерального закона № 161-ФЗ;

выбора временного периода (по дате и времени совершения операций по переводу денежных средств), в котором могли быть совершены операции по переводу денежных средств без добровольного согласия клиента или операции, связанные с переводами денежных средств без добровольного согласия клиента, с учетом возможного отклонения фактического временного периода от временного периода, указанного в запросе Банка России, направленного в соответствии с пунктом 2.1 настоящего Указания, и проверку его совпадения с информацией о дате и времени совершения операций по переводу денежных средств, формируемой оператором по переводу денежных средств в рамках процедур выявления операций, соответствующих признакам осуществления переводов денежных средств без добровольного согласия клиента, предусмотренных частью 3.5 статьи 8 Федерального закона № 161-ФЗ;

поиска информации о сумме операции (операций) с учетом возможного отклонения фактической суммы от указанной в запросе Банка России, направленного в соответствии с пунктом 2.1 настоящего Указания, а также с учетом возможного отклонения фактических параметров, объемов и количества операций по переводу денежных средств от указанных в таком запросе Банка России, и проверку ее совпадения с информацией о сумме операции (операций), формируемой оператором по переводу денежных средств в рамках процедур выявления операций, соответствующих признакам осуществления переводов денежных средств без добровольного согласия клиента, предусмотренных частью 3.5 статьи 8 Федерального закона № 161-ФЗ.

4.7. Операторы платежных систем при реализации мероприятий по противодействию осуществлению переводов денежных средств без добровольного согласия клиента:

создают систему выявления и мониторинга переводов денежных средств без добровольного согласия клиента в платежной системе на основе признаков осуществления перевода денежных средств без добровольного согласия клиента;

определяют порядок реализации мероприятий по противодействию осуществлению переводов денежных средств без добровольного согласия клиента для участников платежной системы;

определяют признаки осуществления переводов денежных средств без добровольного согласия клиента на основании анализа выявленных операций по переводу денежных средств без добровольного согласия клиента и оценки риска совершения таких операций в рамках платежной системы;

определяют механизм анализа операций по переводу денежных средств в системе выявления и мониторинга переводов денежных средств без добровольного согласия клиента в платежной системе на основе признаков осуществления переводов денежных средств без добровольного согласия клиента, совершенных с использованием платежного приложения, при выполнении оператором платежной системы функций поставщика платежного приложения, а также процедуры мониторинга технических устройств, с использованием которых осуществляется доступ к платежному приложению, в целях оценки рисков совершения переводов денежных средств без добровольного согласия клиента и предоставления указанной информации оператору по переводу денежных средств.

4.8. Операторы услуг платежной инфраструктуры при реализации мероприятий по противодействию осуществлению переводов денежных средств без добровольного согласия клиента:

реализуют меры по противодействию осуществлению переводов денежных средств без добровольного согласия клиента (участника платежной системы) в соответствии с порядком, определенным оператором платежной системы на основании абзаца третьего пункта 4.7 настоящего Указания;

выявляют компьютерные атаки, направленные на объекты информационной инфраструктуры операторов по переводу денежных средств, операторов услуг платежной инфраструктуры, операторов платежных систем и (или) их клиентов, которые могут привести к случаям и (или) попыткам осуществления переводов денежных средств без добровольного согласия клиента;

рассматривают случаи и (или) попытки осуществления переводов денежных средств без добровольного согласия клиента, вызванные компьютерными атаками, направленными на объекты информационной инфраструктуры операторов по переводу денежных средств, операторов услуг платежной инфраструктуры, операторов платежных систем и (или) их клиентов;

осуществляют сбор технических данных, описывающих компьютерные атаки, направленные на объекты информационной инфраструктуры операторов по переводу денежных средств, операторов услуг платежной инфраструктуры, операторов платежных систем и (или) их клиентов, при их наличии;

реализуют меры по выявлению и устранению причин и последствий компьютерных атак, направленных на объекты информационной инфраструктуры операторов по переводу денежных, операторов услуг платежной инфраструктуры, операторов платежных систем средств и (или) их клиентов;

используют информацию о переводах денежных средств без добровольного согласия клиента (участника платежной системы) для выявления операций, соответствующих признакам осуществления переводов денежных средств без добровольного согласия клиента (участника платежной системы);

осуществляют анализ операций, соответствующих признакам осуществления переводов денежных средств без добровольного согласия клиента (участника платежной системы), в рамках платежной системы.

4.9. Оператор услуг платежной инфраструктуры, являющийся оператором национальной системы платежных карт, при реализации мероприятий по противодействию осуществлению переводов денежных средств без добровольного согласия клиента осуществляет взаимодействие с операторами по переводу денежных средств, выпустившими ЭСП, и операторами по переводу денежных средств, обслуживающими банкоматы, посредством передачи им технического протокола, содержащего информацию о наличии факторов риска компрометации данных ЭСП, если передача такой информации предусмотрена правилами платежной системы, в рамках которой осуществляется перевод денежных средств, установленными в соответствии с частью 1 статьи 20 Федерального закона № 161-ФЗ.

4.10. При выявлении информации о технических данных, описывающих компьютерные атаки, направленные на объекты информационной инфраструктуры операторов по переводу денежных средств, операторов услуг платежной инфраструктуры, операторов платежных систем и (или) их клиентов, операторы по переводу денежных средств, операторы услуг платежной инфраструктуры, операторы платежных систем осуществляют мероприятия по противодействию осуществлению переводов денежных средств без добровольного согласия клиента в соответствии с пунктом 6.1 раздела 6 национального стандарта Российской Федерации ГОСТ Р 57580.1-2017 «Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Базовый состав организационных и технических мер» <1> (далее — национальный стандарт Российской Федерации ГОСТ Р 57580.1-2017).

<1> Утвержден и введен в действие 1 января 2018 года приказом Федерального агентства по техническому регулированию и метрологии от 8 августа 2017 года № 822-ст (М., ФГУП «Стандартинформ», 2017).

Глава 5. Порядок реализации операторами электронных платформ мероприятий по противодействию осуществлению переводов денежных средств без добровольного согласия клиента

5.1. Порядок реализации ОЭП мероприятий по противодействию осуществлению переводов денежных средств без добровольного согласия клиента включает:

создание системы выявления и мониторинга случаев и (или) попыток совершения операций по номинальному счету без добровольного согласия клиента-бенефициара в рамках реализуемой ОЭП системы управления рисками и на основании информации, полученной из базы данных;

выявление случаев и (или) попыток совершения операций по номинальному счету без добровольного согласия клиента-бенефициара, в том числе совершенных в результате несанкционированного доступа к объектам информационной инфраструктуры ОЭП;

получение дополнительного подтверждения об исполнении поручения от клиента-бенефициара при наличии подозрений, что операция по номинальному счету совершается без добровольного согласия клиента-бенефициара;

привлечение кредитной организации, в которой ОЭП открыты номинальные счета, для выявления случаев и (или) попыток совершения операций по номинальному счету без добровольного согласия клиента-бенефициара;

применение полученной от Банка России информации, содержащейся в базе данных, в системе выявления и мониторинга случаев и (или) попыток совершения операций по номинальному счету без добровольного согласия клиента-бенефициара;

выявление компьютерных атак, направленных на объекты информационной инфраструктуры ОЭП, которые могут привести к случаям и (или) попыткам совершения операций по номинальному счету, открытому без добровольного согласия бенефициара;

осуществление сбора технических данных, описывающих компьютерные атаки, направленные на объекты информационной инфраструктуры ОЭП и (или) клиентов-бенефициаров (при их наличии);

осуществление учета фактов обращений к ОЭП клиентов-бенефициаров, связанных с совершением операций по номинальному счету без добровольного согласия клиента-бенефициара в связи со случаями и (или) попытками совершения операций по номинальному счету без добровольного согласия клиентов-бенефициаров;

реализацию мероприятий по выявлению и устранению причин и последствий компьютерных атак, направленных на объекты информационной инфраструктуры ОЭП и (или) клиентов-бенефициаров в целях совершения и (или) попыток совершения операций по номинальному счету без добровольного согласия клиента-бенефициара;

создание условий для направления клиентами-бенефициарами уведомлений о случаях и (или) попытках совершения операций по номинальному счету без добровольного согласия клиентов-бенефициаров, а также обеспечение учета, регистрации и хранения указанных уведомлений в течение не менее пяти лет с даты их поступления.

5.2. При выявлении (получении) информации о технических данных, описывающих компьютерные атаки, направленные на информационную инфраструктуру ОЭП и (или) клиентов-бенефициаров, ОЭП осуществляют мероприятия по противодействию осуществлению переводов денежных средств без добровольного согласия клиента в соответствии с пунктом 6.1 раздела 6 национального стандарта Российской Федерации ГОСТ Р 57580.1-2017.

5.3. Требования пунктов 5.1 и 5.2 настоящего Указания не распространяются на ОЭП, являющихся операторами финансовых платформ, которые реализуют мероприятия по противодействию осуществления операций по финансовым сделкам без волеизъявления участников финансовой платформы в соответствии с порядком, установленным на основании части 2 статьи 12 Федерального закона от 20 июля 2020 года № 211-ФЗ «О совершении финансовых сделок с использованием финансовой платформы».

Глава 6. Заключительные положения

6.1. Настоящее Указание в соответствии с решением Совета директоров Банка России (протокол заседания Совета директоров Банка России от 24 июля 2024 года № ПСД-24) вступает в силу по истечении 10 дней после дня его официального опубликования, за исключением положений, для которых настоящим пунктом установлены иные сроки вступления их в силу.

Абзацы третий и пятый пункта 1.2, абзац третий пункта 1.3, абзац второй пункта 1.5, подпункт 1.6.6 пункта 1.6, подпункт 1.7.6 пункта 1.7 и абзац второй пункта 4.2 настоящего Указания вступают в силу с 1 января 2025 года.

Абзац первый пункта 4.2 настоящего Указания действует по 31 декабря 2024 года включительно.

6.2. Со дня вступления в силу настоящего Указания признать утратившим силу Указание Банка России от 9 января 2023 года № 6354-У «О форме и порядке направления операторами по переводу денежных средств, операторами платежных систем, операторами услуг платежной инфраструктуры, операторами электронных платформ в Банк России информации обо всех случаях и (или) попытках осуществления переводов денежных средств без согласия клиента, форме и порядке получения ими от Банка России информации, содержащейся в базе данных о случаях и попытках осуществления переводов денежных средств без согласия клиента, а также о порядке реализации операторами по переводу денежных средств, операторами платежных систем, операторами услуг платежной инфраструктуры, операторами электронных платформ мероприятий по противодействию осуществлению переводов денежных средств без согласия клиента» <2>.

<2> Зарегистрировано Минюстом России 25 мая 2023 года, регистрационный № 73472.

<3> Номер банковского счета получателя средств, открытого у иностранного центрального (национального) банка или иностранного банка, при осуществлении трансграничного перевода денежных средств (вместо номера банковского счета получателя средств, открытого у оператора по переводу денежных средств, обслуживающего получателя средств).

<4> Уникальный идентификационный код в международной межбанковской системе передачи информации и совершения платежей (система СВИФТ) при использовании системы СВИФТ для передачи в электронном виде информации по переводу денежных средств (вместо БИК оператора по переводу денежных средств, обслуживающего получателя средств), уникальный идентификатор в системе передачи финансовых сообщений Банка России при использовании системы передачи финансовых сообщений Банка России (в дополнение к БИК оператора по переводу денежных средств, обслуживающего получателя средств).

<5> Номер банковского счета получателя средств, открытого у иностранного центрального (национального) банка или иностранного банка, при осуществлении трансграничного перевода денежных средств (вместо номера банковского счета получателя средств, открытого у оператора по переводу денежных средств, обслуживающего получателя средств).

<6> Уникальный идентификационный код в международной межбанковской системе передачи информации и совершения платежей (система СВИФТ) при использовании системы СВИФТ для передачи в электронном виде информации по переводу денежных средств (вместо БИК оператора по переводу денежных средств, обслуживающего получателя средств), уникальный идентификатор в системе передачи финансовых сообщений Банка России при использовании системы передачи финансовых сообщений Банка России (в дополнение к БИК оператора по переводу денежных средств, обслуживающего получателя средств).

Приложение 3 к Указанию Банка России от 19 августа 2024 года № 6828-У

Вложения

• 448566.DOCX