Указание Банка России от 12.01.2026 № 7271-У

«О внесении изменений в Положение Банка России от 25 июля 2022 года № 802-П»

(Зарегистрировано в Минюсте России 02.06.2026 № 86871)

Зарегистрировано в Минюсте России 2 июня 2026 г. № 86871

---

На основании части пятой статьи 5 Федерального закона «О банках и банковской деятельности» (в редакции Федерального закона от 3 февраля 1996 года № 17-ФЗ), пункта 19 части 1 и части 9 статьи 20 Федерального закона от 27 июня 2011 года № 161-ФЗ «О национальной платежной системе» и в соответствии с решением Совета директоров Банка России (протокол заседания Совета директоров Банка России от 26 декабря 2025 года № ПСД-44):

1. Внести в Положение Банка России от 25 июля 2022 года № 802-П «О требованиях к защите информации в платежной системе Банка России» <1> следующие изменения:

---

<1> Зарегистрировано Минюстом России 25 ноября 2022 года, регистрационный № 71124.

1.1 В пункте 1:

в абзаце первом слова «3.10 Положения Банка России от 24 сентября 2020 года № 732-П „О платежной системе Банка России“ <3> (далее — Положение № 732-П) и кредитными организациями (их филиалами) (далее -» заменить словами «3.7 Положения Банка России от 3 декабря 2025 года № 876-П „О платежной системе Банка России“ <3> (далее — Положение Банка России № 876-П) и кредитными организациями (включая филиалы кредитных организаций), филиалами иностранных банков, через которые иностранные банки осуществляют деятельность на территории Российской Федерации (далее — филиалы иностранных банков), некредитными финансовыми организациями, указанными в части 7 статьи 21 Федерального закона от 27 июня 2011 года № 161-ФЗ „О национальной платежной системе“ (далее соответственно — Федеральный закон от 27 июня 2011 года № 161-ФЗ,»;

сноску 3 к абзацу первому изложить в следующей редакции:

«<3> Зарегистрировано Минюстом России 20 мая 2026 года, регистрационный № 86527.»;

абзац второй изложить в следующей редакции:

«Требования к защите информации, установленные настоящим Положением, должны выполняться участниками обмена, являющимися кредитными организациями, филиалами иностранных банков, ОПКЦ СБП и ОУИО СБП наряду с требованиями к обеспечению защиты информации при осуществлении переводов денежных средств, установленными в соответствии с частью 3 статьи 27 Федерального закона от 27 июня 2011 года № 161-ФЗ.»;

сноску 1 к абзацу второму исключить.

1.2 В пункте 2:

слова «и 6.4 Положения Банка России от 4 июня 2020 года № 719-П „О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств“ <1> (далее — Положение Банка России № 719-П)» заменить словами «, 6.4 и 7.5 Положения Банка России от 17 августа 2023 года № 821-П „О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств“ <1> (далее — Положение Банка России № 821-П), пункте 1.1 Положения Банка России от 20 апреля 2021 года № 757-П „Об установлении обязательных для некредитных финансовых организаций требований к обеспечению защиты информации при осуществлении деятельности в сфере финансовых рынков в целях противодействия осуществлению незаконных финансовых операций“ <2>»;

сноску 1 изложить в следующей редакции:

«<1> Зарегистрировано Минюстом России 6 декабря 2023 года, регистрационный № 76286, с изменениями, внесенными Указанием Банка России от 28 октября 2025 года № 7220-У (зарегистрировано Минюстом России 6 февраля 2026 года, регистрационный № 85263).»;

дополнить сноской 2 следующего содержания:

«<2> Зарегистрировано Минюстом России 15 июня 2021 года, регистрационный № 63880, с изменениями, внесенными Указанием Банка России от 28 октября 2025 года № 7219-У (зарегистрировано Минюстом России 6 февраля 2026 года, регистрационный № 85262).».

1.3 В пункте 3:

в абзаце втором слова «стандартного уровня (уровня 2) защиты информации, предусмотренного» заменить словами «следующих уровней защиты информации, предусмотренных», цифры «57580.1-2017).» заменить цифрами «57580.1-2017):»;

дополнить абзацами следующего содержания:

«участники ССНП, являющиеся системно значимыми кредитными организациями, кредитными организациями, выполняющими функции оператора услуг платежной инфраструктуры системно значимых платежных систем, кредитными организациями, значимыми на рынке платежных услуг, — усиленный уровень защиты информации;»

участники ССНП, являющиеся кредитными организациями, не относящимися к кредитным организациям, указанным в абзаце третьем настоящего пункта, филиалами иностранных банков, — стандартный уровень защиты информации;

участники ССНП, не указанные в абзацах третьем и четвертом настоящего пункта, — минимальный уровень защиты информации.

Кредитные организации, не относящиеся к кредитным организациям, указанным в абзаце третьем настоящего пункта, ставшие кредитными организациями, указанными в абзаце третьем настоящего пункта, не позднее восемнадцати месяцев после того, как стали кредитными организациями, указанными в абзаце третьем настоящего пункта, должны применять меры защиты информации, посредством выполнения которых обеспечивается реализация усиленного уровня защиты информации.».

1.4 В пункте 4:

в абзаце втором слова «стандартного уровня (уровня 2) защиты информации, предусмотренного пунктом 6.7 раздела 6 ГОСТ 57580.1-2017.» заменить словами «следующих уровней защиты информации, предусмотренных пунктом 6.7 раздела 6 ГОСТ 57580.1-2017:»;

дополнить абзацами следующего содержания:

«участники СБП, являющиеся системно значимыми кредитными организациями, кредитными организациями, выполняющими функции оператора услуг платежной инфраструктуры системно значимых платежных систем, кредитными организациями, значимыми на рынке платежных услуг, — усиленный уровень защиты информации;»

участники СБП, являющиеся кредитными организациями, не относящимися к кредитным организациям, указанным в абзаце третьем настоящего пункта, филиалами иностранных банков, — стандартный уровень защиты информации;

участники СБП, не указанные в абзацах третьем и четвертом настоящего пункта, — минимальный уровень защиты информации.

Кредитные организации, не относящиеся к кредитным организациям, указанным в абзаце третьем настоящего пункта, ставшие кредитными организациями, указанными в абзаце третьем настоящего пункта, не позднее восемнадцати месяцев после того, как стали кредитными организациями, указанными в абзаце третьем настоящего пункта, должны применять меры защиты информации, посредством выполнения которых обеспечивается реализация усиленного уровня защиты информации.».

1.5. Пункт 7 дополнить подпунктом 7.4 следующего содержания:

«7.4. Участники ССНП должны осуществлять планирование применения, применение, контроль применения и совершенствование применения мер, направленных на реализацию требований, установленных подпунктами 7.1 и 7.2 настоящего пункта.»

Участники СБП, ОПКЦ СБП и ОУИО СБП должны осуществлять планирование применения, применение, контроль применения и совершенствование применения мер, направленных на реализацию требований, установленных подпунктами 7.1 — 7.3 настоящего пункта.».

1.6. Пункт 10 признать утратившим силу.

1.7 В пункте 14:

в подпункте 14.3:

в абзаце четвертом слова «абзацами вторым, третьим и подпунктом 5.2.1 пункта 5.2 Положения Банка России № 732-П» заменить словами «абзацем вторым и подпунктом 5.2.1 пункта 5.2 Положения Банка России № 876-П»;

в абзаце шестом слова «звена данных или сетевом уровне» заменить словами «не выше транспортного уровня включительно»;

дополнить абзацем следующего содержания:

«применения СКЗИ, предоставляемых Банком России.»;

дополнить подпунктом 14.5 следующего содержания:

«14.5. Участники СБП должны осуществлять планирование применения, применение, контроль применения и совершенствование применения мер, направленных на реализацию требований, установленных подпунктами 14.1 и 14.2 настоящего пункта.»

ОПКЦ СБП должен осуществлять планирование применения, применение, контроль применения и совершенствование применения мер, направленных на реализацию требований, установленных подпунктами 14.2 и 14.4 настоящего пункта.

Участники ССНП должны осуществлять планирование применения, применение, контроль применения и совершенствование применения мер, направленных на реализацию требований, установленных подпунктом 14.3 настоящего пункта.

ОУИО СБП должен осуществлять планирование применения, применение, контроль применения и совершенствование применения мер, направленных на реализацию требований, установленных подпунктом 14.2 настоящего пункта.».

1.8. В пункте 15 слово «согласия» заменить словами «добровольного согласия».

1.9 В пункте 16:

в абзаце первом слово «согласия» заменить словами «добровольного согласия»;

подпункт 16.1 изложить в следующей редакции:

«16.1. Участник СБП — банк плательщика должен осуществлять:»

мероприятия по противодействию осуществлению операций без добровольного согласия клиента в соответствии с частями 3.1 - 3.14 статьи 8 Федерального закона от 27 июня 2011 года № 161-ФЗ, включая отказ в совершении операции в соответствии с частями 3.4 и 3.10 статьи 8 Федерального закона от 27 июня 2011 года № 161-ФЗ с учетом информации об индикаторе уровня риска операции без добровольного согласия клиента (далее — индикатор уровня риска операции), включенной в электронное сообщение, полученной от ОПКЦ СБП, содержащей в том числе информацию об индикаторе уровня риска операции, сформированном участником СБП — банком получателя;

формирование индикатора уровня риска операции на основе оценки рисков операций в рамках реализуемой участником СБП — банком плательщика системы управления рисками и его направление в электронном сообщении в ОПКЦ СБП — в случае невыявления признаков осуществления перевода денежных средств без добровольного согласия клиента.»;

в подпункте 16.2 слово «согласия» заменить словами «добровольного согласия»;

в подпункте 16.3:

в абзацах втором - шестом слово «согласия» заменить словами «добровольного согласия»;

в абзаце седьмом слово «согласия» заменить словами «добровольного согласия», слова «с частью 5.1» заменить словами «с частью 3.5»;

в подпункте 16.4:

абзацы первый и второй изложить в следующей редакции:

«16.4. В рамках реализации мер по выявлению и устранению причин и последствий воздействий на объекты информационной инфраструктуры участника СБП и (или) его клиентов, ОПКЦ СБП посредством перебора идентификаторов клиентов участника СБП для получения информации о клиентах участника СБП или клиентах косвенного участника, имеющего доступ к трансграничному переводу денежных средств с использованием СБП в соответствии с абзацем восьмым пункта 3.3 Положения Банка России № 876-П (далее — косвенный участник с доступом к ТПСБП), из формирующихся распоряжений клиента участника СБП о переводе денежных средств (далее — переборы идентификаторов) и по дальнейшему предотвращению случаев и (или) попыток осуществления переводов денежных средств без добровольного согласия клиента участник СБП, ОПКЦ СБП должны выполнять следующие требования:»

участник СБП — банк плательщика при выявлении информации о переборах идентификаторов при осуществлении переводов денежных средств с использованием сервиса быстрых платежей осуществляет блокировку идентификатора клиента участника СБП, используемого для осуществления переборов идентификаторов, и незамедлительно уведомляет Банк России и ОПКЦ СБП о его блокировке;»;

в абзаце пятом слова «девятым пункта 5.1 Положения Банка России № 719-П» заменить словами «шестым пункта 5.1 Положения Банка России № 821-П».

1.10. Пункт 18 изложить в следующей редакции:

«18. ОУИО СБП обязан информировать участника СБП о нарушениях требований к обеспечению защиты информации при осуществлении переводов денежных средств, в том числе о тех, которые привели или могут привести к осуществлению переводов денежных средств без добровольного согласия клиента или к неоказанию услуг по переводу денежных средств, в соответствии с договором между участником СБП и ОУИО СБП, предусмотренным пунктом 33 статьи 3 Федерального закона от 27 июня 2011 года № 161-ФЗ.»;

сноски 2, 1 и 2 к пункту 18 исключить.

1.11 В пункте 19:

подпункт 19.3 дополнить абзацами следующего содержания:

«Обращение должно быть направлено с использованием технической инфраструктуры (автоматизированной системы) Банка России в виде электронного документа или электронной копии документа, полученной в результате преобразования обращения на бумажном носителе в его электронный образ с сохранением всех реквизитов.»

Обращение в виде электронного документа должно быть подписано усиленной квалифицированной электронной подписью уполномоченного лица, обращение на бумажном носителе, направляемое в виде электронной копии документа, полученной в результате преобразования обращения на бумажном носителе в его электронный образ с сохранением всех реквизитов, должно быть подписано собственноручной подписью уполномоченного лица.»;

подпункт 19.4 изложить в следующей редакции:

«19.4. Не позднее одного рабочего дня после дня направления обращений с использованием технической инфраструктуры (автоматизированной системы) Банка России участник ССНП должен направить обращения в Банк России также посредством личного кабинета, ссылка на который размещена на официальном сайте Банка России в информационно-телекоммуникационной сети „Интернет“, в соответствии с порядком взаимодействия, установленным нормативным актом Банка России, принятым на основании статьи 9.2, частей первой и четвертой статьи 73.1, частей первой, третьей, шестой и восьмой статьи 76.9, частей первой, третьей, шестой и восьмой статьи 76.9-11 Федерального закона от 10 июля 2002 года № 86-ФЗ „О Центральном банке Российской Федерации (Банке России)“ (далее — Федеральный закон от 10 июля 2002 года № 86-ФЗ), частей 1, 4, 5 и 7 статьи 35.1 Федерального закона от 27 июня 2011 года № 161-ФЗ.».

1.12. Пункт 20 изложить в следующей редакции:

«20. Участники ССНП, реализующие усиленный или стандартный уровни защиты информации, предусмотренные пунктом 6.7 раздела 6 ГОСТ Р 57580.1-2017, участники СБП, реализующие усиленный или стандартный уровни защиты информации, предусмотренные пунктом 6.7 раздела 6 ГОСТ Р 57580.1-2017, ОПКЦ СБП и ОУИО СБП оценивают выполнение ими требований к обеспечению защиты информации при осуществлении переводов денежных средств (далее — оценка соответствия) и выполнение требований к обеспечению защиты информации, применяемых с использованием технологических мер защиты информации, с соблюдением следующих требований:»

оценка соответствия должна проводиться в пределах выделенных сегментов (группы сегментов) вычислительных сетей, указанных в пунктах 3 — 6 настоящего Положения;

оценка соответствия должна проводиться в соответствии с разделом 6 национального стандарта Российской Федерации ГОСТ Р 57580.2-2018 «Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Методика оценки соответствия» <1> (далее — ГОСТ Р 57580.2-2018);

оценка соответствия должна проводиться не реже одного раза в два года.

Участники ССНП, реализующие усиленный или стандартный уровни защиты информации, предусмотренные пунктом 6.7 раздела 6 ГОСТ Р 57580.1-2017, участники СБП, реализующие усиленный или стандартный уровни защиты информации, предусмотренные пунктом 6.7 раздела 6 ГОСТ Р 57580.1-2017, оценивают выполнение ими требований к обеспечению защиты информации, применяемых с использованием технологических мер защиты информации, с соблюдением следующего требования:

в случае представления отчетности по форме 0409071 «Сведения об оценке выполнения кредитными организациями требований к обеспечению защиты информации», установленной приложением 1 к Указанию Банка России от 10 апреля 2023 года № 6406-У «О формах, сроках, порядке составления и представления отчетности кредитных организаций (банковских групп) в Центральный банк Российской Федерации, а также о перечне информации о деятельности кредитных организаций (банковских групп)» <2> (далее — Указание Банка России № 6406-У), при проведении оценки выполнения требований к обеспечению защиты информации, применяемых с использованием технологических мер защиты информации, должен осуществляться расчет значений указанной оценки в отношении видов оценки выполнения требований к обеспечению защиты информации, указанных в пункте 4.3 Порядка составления и представления отчетности по форме 0409071 «Сведения об оценке выполнения кредитными организациями требований к обеспечению защиты информации», установленного приложением 1 к Указанию Банка России № 6406-У.

ОПКЦ СБП оценивает выполнение им требований к обеспечению защиты информации, применяемых с использованием технологических мер защиты информации, с соблюдением следующего требования:

при представлении отчетности по форме 0403202 «Сведения об оценке выполнения операторами услуг платежной инфраструктуры требований к обеспечению защиты информации при осуществлении деятельности операционного центра, платежного клирингового центра», установленной приложением 1 к Указанию Банка России от 27 июня 2023 года № 6470-У «О формах, методиках составления, порядке и сроках представления отчетности оператора платежной системы, оператора услуг платежной инфраструктуры, оператора по переводу денежных средств в Центральный банк Российской Федерации» <3> (далее — Указание Банка России № 6470-У), при проведении оценки выполнения требований к обеспечению защиты информации, применяемых с использованием технологических мер защиты информации, должен осуществляться расчет значений указанной оценки в отношении видов оценки выполнения требований к обеспечению защиты информации, указанных в подпункте 2.2 пункта 2 Методики составления отчетности по форме 0403202 «Сведения об оценке выполнения операторами услуг платежной инфраструктуры требований к обеспечению защиты информации при осуществлении деятельности операционного центра, платежного клирингового центра», установленной приложением 1 к Указанию Банка России № 6470-У.

Участники ССНП, участники СБП, ОПКЦ СБП и ОУИО СБП должны обеспечивать для объектов информационной инфраструктуры, размещенных в отдельных выделенных сегментах (группах сегментов) вычислительных сетей, указанных в пунктах 3 — 6 настоящего Положения, уровень соответствия не ниже четвертого уровня соответствия, предусмотренного подпунктом «д» пункта 6.9 раздела 6 ГОСТ Р 57580.2-2018.»;

сноску 1 изложить в следующей редакции:

«<1> Утвержден и введен в действие с 1 сентября 2018 года приказом Федерального агентства по техническому регулированию и метрологии от 28 марта 2018 года № 156-ст (М., ФГУП „Стандартинформ“, 2018).»;

дополнить сносками 2 и 3 следующего содержания:

«<2> Зарегистрировано Минюстом России 16 августа 2023 года, регистрационный № 74823, с изменениями, внесенными Указаниями Банка России от 8 декабря 2023 года № 6621-У (зарегистрировано Минюстом России 22 января 2024 года, регистрационный № 76927), от 12 марта 2024 года № 6688-У (зарегистрировано Минюстом России 29 мая 2024 года, регистрационный № 78345), от 10 июля 2024 года № 6800-У (зарегистрировано Минюстом России 25 октября 2024 года, регистрационный № 79916), от 4 сентября 2024 года № 6840-У (зарегистрировано Минюстом России 10 октября 2024 года, регистрационный № 79758), от 16 декабря 2024 года № 6961-У (зарегистрировано Минюстом России 19 декабря 2024 года, регистрационный № 80633), от 17 апреля 2025 года № 7047-У (зарегистрировано Минюстом России 24 июля 2025 года, регистрационный № 83051), от 10 ноября 2025 года № 7234-У (зарегистрировано Минюстом России 11 декабря 2025 года, регистрационный № 84552).»

<3> Зарегистрировано Минюстом России 27 сентября 2023 года, регистрационный № 75347, с изменениями, внесенными Указаниями Банка России от 4 июня 2024 года № 6741-У (зарегистрировано Минюстом России 21 августа 2024 года, регистрационный № 79227), от 24 июня 2025 года № 7094-У (зарегистрировано Минюстом России 1 августа 2025 года, регистрационный № 83121).».

1.13. Пункт 21 изложить в следующей редакции:

«21. Банк России осуществляет контроль за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств в отношении участников обмена, являющихся кредитными организациями, филиалами иностранных банков и ОПКЦ СБП, в соответствии с главой 8 Положения Банка России № 821-П.»

Банк России осуществляет контроль за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств в отношении участников обмена, являющихся некредитными финансовыми организациями, указанными в части 7 статьи 21 Федерального закона от 27 июня 2011 года № 161-ФЗ, в соответствии со статьей 76.5 Федерального закона от 10 июля 2002 года № 86-ФЗ.».

1.14 В приложении:

пункт 1.1 изложить в следующей редакции:

«1.1. Участник ССНП должен реализовать контур формирования электронных сообщений и контур контроля реквизитов электронных сообщений в информационной инфраструктуре участника ССНП с использованием разных рабочих мест, разных криптографических ключей и с привлечением отдельных работников для выполнения функций операторов автоматизированного рабочего места, администраторов автоматизированного рабочего места и администраторов информационной безопасности автоматизированного рабочего места в каждом из контуров. Участник ССНП должен обеспечить использование различных ключевых носителей для криптографических ключей, используемых для подписания исходящих электронных сообщений в контуре формирования электронных сообщений и контуре контроля реквизитов электронных сообщений.»;

пункт 1.2 дополнить абзацем следующего содержания:

«Способ допустимого информационного взаимодействия между указанными в абзаце первом настоящего пункта сегментами вычислительных сетей должен содержать в том числе перечень объектов информационной инфраструктуры, с использованием которых осуществляется информационное взаимодействие, и протоколы, используемые для информационного взаимодействия.»;

главу 1 дополнить пунктом 1.5 следующего содержания:

«1.5. Участник ССНП должен осуществлять контроль соответствия реквизитов исполненного распоряжения, указанных в извещении в электронном виде о списании денежных средств, направляемом участнику ССНП в соответствии с пунктом 5.29 Положения Банка России № 876-П, реквизитам, ранее направленным участником ССНП.»;

пункт 2.1 изложить в следующей редакции:

«2.1. ОПКЦ СБП должен реализовать контур обработки электронных сообщений и контур контроля реквизитов электронных сообщений в информационной инфраструктуре ОПКЦ СБП с использованием разных рабочих мест, разных криптографических ключей и с привлечением отдельных работников для выполнения функций операторов автоматизированного рабочего места, администраторов автоматизированного рабочего места и администраторов информационной безопасности автоматизированного рабочего места в каждом из контуров. ОПКЦ СБП должен обеспечить использование различных ключевых носителей для криптографических ключей, используемых для подписания исходящих электронных сообщений в контуре формирования электронных сообщений и контуре контроля реквизитов электронных сообщений.».

2. Настоящее Указание подлежит официальному опубликованию и вступает в силу с 1 октября 2026 года.

---