Проект Указания Банка России "О требованиях к операторам услуг платежной инфраструктуры, привлекаемым Банком России, о порядке привлечения Банком России операторов услуг платежной инфраструктуры и ведения перечня операторов услуг платежной инфраструктуры, привлеченных Банком России" (подготовлен Банком России 24.10.2016)

Проект Указания Банка России "О требованиях к операторам услуг платежной инфраструктуры, привлекаемым Банком России, о порядке привлечения Банком России операторов услуг платежной инфраструктуры и ведения перечня операторов услуг платежной инфраструктуры, привлеченных Банком России"
(подготовлен Банком России 24.10.2016 г.)

Досье на проект

На основании Федерального закона от 27 июня 2011 года N 161-ФЗ "О национальной платежной системе" (Собрание законодательства Российской Федерации, 2011, N 27, ст. 3872; 2012, N 53, ст. 7592, 2013, N 27, ст. 3477, N 30, ст. 4084; N 52, ст. 6968; 2014, N 19, ст. 2315, ст. 2317, N 43, ст. 5803; 2015, N 1, ст. 8, ст. 14; 2016, N 27, ст. 4221, ст. 4223) (далее - Федеральный закон N 161-ФЗ), Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке Российской Федерации (Банке России)" (Собрание законодательства Российской Федерации, 2002, N 28, ст. 2790; 2003, N 2, ст. 157; N 52, ст. 5032; 2004, N 27, ст. 2711; N 31, ст. 3233; 2005, N 25, ст. 2426; N 30, ст. 3101; 2006, N 19, ст. 2061; N 25, ст. 2648; 2007, N 1, ст. 9, ст. 10; N 10, ст. 1151; N 18, ст. 2117; 2008, N 42, ст. 4696, ст. 4699; N 44, ст. 4982; N 52, ст. 6229, ст. 6231; 2009, N 1, ст. 25; N 29, ст. 3629; N 48, ст. 5731; 2010, N 45, ст. 5756; 2011, N 7, ст. 907; N 27, ст. 3873; N 43, ст. 5973; N 48, ст. 6728; 2012, N 50, ст. 6954; N 53, ст. 7591, ст. 7607; 2013, N 11, ст. 1076; N 14, ст. 1649; N 19, ст. 2329; N 27, ст. 3438, ст. 3476, ст. 3477, N 30, ст. 4084; N 49, ст. 6336; N 51, ст. 6695, ст. 6699; N 52, ст. 6975; 2014, N 19, ст. 2311, ст. 2317; N 27, ст. 3634; N 30, ст. 4219, N 40, ст. 5318, N 45, ст. 6154, N 52, ст. 7543; 2015, N 1, ст. 4, 37, N 27, ст. 3958, 4001, N 29, ст. 4348, ст. 4357, N 41, ст. 5639, N 48, ст. 6699; 2016, N 1, ст. 23, ст. 46, ст. 50; N 27, ст. 4225, ст. 4273, ст. 4295) Банк России устанавливает требования к операторам услуг платежной инфраструктуры (далее - ОУПИ), привлекаемым Банком России, а также порядок привлечения ОУПИ Банком России и ведения перечня ОУПИ, привлеченных Банком России (далее - перечень ОУПИ).

Глава 1. Общие положения

1.1. Термины и определения, предусмотренные настоящим Указанием, применяются в значениях, установленных Федеральным законом N 161-ФЗ, принятыми на его основании и в соответствии с ним нормативными актами Банка России и настоящим Указанием.

1.2. Банк России, совмещая деятельность оператора платежной системы с деятельностью ОУПИ и являясь операционным центром, платежным клиринговым центром и расчетным центром платежной системы Банка России, может привлекать в платежную систему Банка России операционные центры, обеспечивающие для участников платежной системы Банка России доступ к услугам по переводу денежных средств, в том числе с использованием электронных средств платежа, а также обмен электронными сообщениями (далее - операционные услуги), в порядке, установленном настоящим Указанием. Привлечение платежных клиринговых центров и расчетных центров Банком России не осуществляется.

1.3. Для привлечения Банком России с целью оказания операционных услуг участникам платежной системы Банка России ОУПИ должен соответствовать требованиям Федерального закона N 161-ФЗ, а также требованиям, определенным в отношении ОУПИ настоящим Указанием, к его финансовому состоянию, технологическому обеспечению и другим факторам, влияющим на бесперебойность функционирования платежной системы Банка России, в том числе к обеспечению защиты информации, системе управления рисками, а также деятельности ОУПИ в целом.

Глава 2. Требования к финансовому состоянию ОУПИ

2.1. ОУПИ, являющийся кредитной организацией - резидентом Российской Федерации, по состоянию на три последние отчетные даты должен соответствовать следующим критериям.

2.1.1. Относится к 1 или 2 классификационной группе по результатам оценки экономического положения (для банков) или финансового состояния (для небанковских кредитных организаций) в соответствии с Указанием Банка России от 30 апреля 2008 года N 2005-У "Об оценке экономического положения банков", зарегистрированным Министерством юстиции Российской Федерации 26 мая 2008 года N 11755, 14 сентября 2009 года N 14760, 20 апреля 2012 года N 23905, 17 октября 2012 года N 25699, 17 декабря 2013 года N 30618, 08 июля 2014 года N 33001, 30 января 2015 года N 35802, 30 марта 2015 года N 36631, 3 апреля 2015 года N 36704, 28 декабря 2015 года N 40321, 29 марта 2016 года N 41608 ("Вестник Банка России" от 4 июня 2008 года N 28, от 21 сентября 2009 года N 55, от 25 апреля 2012 года N 21, от 24 октября 2012 года N 62, от 24 декабря 2013 года N 77, от 6 августа 2014 года N 71, от 11 февраля 2015 года N 11, от 10 апреля 2015 года N 33, от 15 апреля 2015 года N 34, от 30 декабря 2015 года N 121, от 06 апреля 2016 года N 36) (для банков) и Указанием Банка России от 31 марта 2000 года N 766-У "О критериях определения финансового состояния кредитных организаций" ("Вестник Банка России" от 12 апреля 2000 года N 19, от 27 декабря 2000 года N 70, от 15 июня 2000 года N 31) (для небанковских кредитных организаций).

2.1.2. Не имеет неуплаченных недовзноса в обязательные резервы, суммы невыполнения усреднения обязательных резервов, штрафа за нарушение обязательных резервных требований, непредставленного расчета размера обязательных резервов.

2.1.3. Не имеет просроченных денежных обязательств перед Банком России, в том числе по кредитам Банка России и процентам по ним.

2.1.4. Не имеет задолженности по налоговым и иным обязательным платежам в бюджеты любого уровня и (или) государственные внебюджетные фонды.

2.2. Финансовое состояние ОУПИ - резидента Российской Федерации, не являющегося кредитной организацией, и ОУПИ, находящегося за пределами Российской Федерации (далее - ОУПИ - нерезидент), на три последние отчетные даты должно соответствовать следующим критериям:

отсутствует просроченная задолженность по кредитам, займам, по выданным обязательствам (векселям и др.);

отсутствует кредиторская задолженность длительностью свыше трех месяцев;

отсутствует задолженность по налоговым и иным обязательным платежам в бюджеты любого уровня и (или) государственные внебюджетные фонды;

соотношение собственных и заемных средств составляет не ниже 40% от его среднего значения по соответствующему виду экономической деятельности, рассчитанного по данным сводной бухгалтерской отчетности организаций, разрабатываемой органами государственной статистики.

Глава 3. Требования к технологическому обеспечению ОУПИ

3.1. В целях осуществления функций операционного центра ОУПИ должен использовать собственные прикладные программные средства или прикладные программные средства, право пользования которыми предоставляется ОУПИ на основании лицензионного соглашения, заключенного с правообладателем данных прикладных программных средств на срок не менее 5 лет, в котором также предусматривается обязанность правообладателя по обновлению версий прикладных программных средств.

3.2. ОУПИ должен гарантировать предоставление операционных услуг в соответствии с регламентом функционирования платежной системы Банка России с уровнем доступности операционных услуг не ниже 99,97 %.

3.3. ОУПИ должен обеспечивать гарантированный уровень бесперебойности оказания операционных услуг. С целью поддержания бесперебойности оказания операционных услуг ОУПИ должен использовать резервные автоматизированные системы и каналы связи на случай недоступности основных программно-технических комплексов передачи и обработки информации по причине системных сбоев, отключения электричества и т.п.

3.4. ОУПИ должен гарантированно обрабатывать в день не менее одного миллиона электронных сообщений, содержащих распоряжения о переводе денежных средств участников обмена электронными сообщениями, а также извещения (подтверждения) о приеме и об исполнении данных распоряжений (далее - электронные сообщения), в периоды пиковых нагрузок - не менее двадцати тысяч электронных сообщений в минуту.

3.5. ОУПИ должен быть в состоянии обеспечить восстановление своего функционирования, в том числе путем перехода на резервный программно-технический комплекс передачи и обработки информации, в случае возникновения сбоев в течение не более двух часов без потери данных, полученных до момента возникновения сбоев.

3.6. ОУПИ должен осуществлять регистрацию и анализ произошедших сбоев в предоставлении операционных услуг.

3.7. В отношении поступивших от участников обмена электронных сообщений ОУПИ должен выполнять контроль целостности, проверку подлинности, структурный контроль, контроль значений реквизитов.

3.8. ОУПИ должно быть организовано ведение в электронном виде нормативно-справочной информации (НСИ) по каждому участнику обмена электронными сообщениями с регулярным обновлением и оперативным предоставлением НСИ каждому участнику обмена электронными сообщениями.

3.9. ОУПИ должен осуществлять архивирование электронных сообщений (полученных, отбракованных, принятых, направленных) в порядке и сроки, соответствующие требованиям законодательства Российской Федерации и установленным в платежной системе Банка России.

3.10. В части организации и обеспечения взаимодействия с участниками обмена электронными сообщениями ОУПИ во внутренних документах должен определить:

порядок информационного взаимодействия ОУПИ с участниками обмена в нестандартных и чрезвычайных ситуациях, в том числе в случае приостановления (прекращения) оказания операционных услуг;

методы и сроки информирования ОУПИ участников обмена об их действиях и ответственности, в том числе в случае сбоев в предоставлении операционных услуг;

виды связи ОУПИ с участниками обмена при операционных сбоях, способы восстановления информации, утраченной в результате операционных сбоев.

Глава 4. Требования к обеспечению защиты информации ОУПИ

4.1. В части обеспечения защиты информации ОУПИ:

осуществляет разработку порядка обеспечения защиты информации и контроль за его соблюдением, выявление и регистрацию событий, связанных с нарушением требований к обеспечению защиты информации при осуществлении переводов денежных средств, анализ причин их возникновения;

обеспечивает применение организационных мер и технических средств защиты информации и контроль за их применением, а также возможность оперативного информирования Банка России о выявленных событиях, связанных с нарушением требований к обеспечению защиты информации и конфиденциальности обрабатываемой информации при осуществлении переводов денежных средств, с применением мер и средств защиты информации.

4.2. ОУПИ - резидентом Российской Федерации, привлекаемым Банком России, должно обеспечиваться значение качественной оценки выполнения требований к обеспечению защиты информации при осуществлении переводов денежных средств на уровне "хорошая", которое определяется в соответствии с Приложением 1 к Положению Банка России от 09.06.2012 года N 382-П "О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств", зарегистрированному Министерством юстиции Российской Федерации 14 июня 2012 года N 24575, 01 июля 2013 года N 28930, 10 сентября 2014 года N 34017 ("Вестник Банка России" от 22 июня 2012 года N 32, от 10 июля 2013 года N 37, от 17 сентября 2014 года N 83), (далее - Положение N 382-П).

4.3. Уровень информационной безопасности ОУПИ - нерезидента должен соответствовать уровню Level 1, установленному Стандартом безопасности данных PCI DSS, который публикуется на официальном сайте Совета по стандартам безопасности данных индустрии платежных карт (Payment Card Industry Security Standards Council) в информационно-телекоммуникационной сети Интернет www.pcisecuritystandards.org (далее - стандарт PCI DSS).

Если стандарт PCI DSS не может применяться к оценке уровня информационной безопасности ОУПИ - нерезидента, то уровень информационной безопасности процессов, связанных с оказанием ОУПИ - нерезидентом операционных услуг, должен подтверждаться сертификацией его соответствия требованиям стандарта ISO/IEC 27001.

Глава 5. Требования к системе управления рисками ОУПИ

5.1. В части организации управления рисками ОУПИ должны обеспечиваться:

наличие в организационной структуре ОУПИ структурного подразделения и (или) уполномоченного лица (нескольких лиц), обладающих правами, полномочиями и обязательствами в части контроля за выполнением требований к управлению рисками;

возможность обмена с Банком России информацией о рисках, управление которыми осуществляет ОУПИ, в случае его привлечения Банком России.

5.2. В части деятельности по управлению рисками ОУПИ должны обеспечиваться:

оценка рисков, предусматривающая идентификацию анализ и сравнительную оценку рисков, а также регистрация результатов выполнения каждого из перечисленных этапов оценки рисков;

применение мер реагирования на риски;

мониторинг рисков;

проведение регулярной оценки системы управления рисками и ее пересмотр при необходимости.

Глава 6. Требования к деятельности ОУПИ

Для привлечения Банком России деятельность ОУПИ должна соответствовать следующим требованиям.

6.1. Выполнение функции ОУПИ для системно значимой, либо социально значимой, либо национально значимой платежной системы в Российской Федерации, не являющейся платежной системой Банка России, и (или) для платежной системы центрального (национального) банка иностранного государства, и (или) для иностранной платежной системы.

6.2. Осуществление надзора и наблюдения за деятельностью и функционированием ОУПИ Банком России или органом, в работе которого Банк России принимает участие.

6.3. Наличие документа, подтверждающего право ОУПИ на осуществление соответствующего вида деятельности (в случаях, предусмотренных законодательством Российской Федерации или страны места регистрации (ведения бизнеса) ОУПИ).

6.4. Продолжительность деятельности организации в качестве ОУПИ составляет не менее 3 лет.

6.5. В отношении ОУПИ не проводится процедура ликвидации или процедура банкротства, а также он не находится в стадии реорганизации.

6.6. Деятельность ОУПИ не приостановлена в порядке, предусмотренном Кодексом Российской Федерации об административных правонарушениях, на его имущество не наложен арест, операции по его счетам не приостановлены.

6.7. ОУПИ прошел обязательную аудиторскую проверку в сроки, установленные законодательством Российской Федерации (для ОУПИ - резидентов Российской Федерации) или законодательством страны места регистрации (ведения бизнеса) ОУПИ - нерезидента.

Глава 7. Порядок привлечения ОУПИ и ведения перечня ОУПИ Банком России

7.1. Банк России при наличии необходимости привлечения ОУПИ для оказания операционных услуг участникам платежной системы Банка России направляет в адрес ОУПИ письменное предложение об оказании операционных услуг участникам платежной системы Банка России.

7.2. Принятие Банком России решения о привлечении ОУПИ для оказания операционных услуг участникам платежной системы Банка России осуществляется по результатам анализа соответствия ОУПИ требованиям, установленным настоящим Указанием, в течение месяца со дня получения от ОУПИ письменного согласия с предложением Банка России об оказании операционных услуг участникам платежной системы Банка России и документов, предусмотренных приложениями 1 - 3 к настоящему Указанию, а также документов, подтверждающих соответствие ОУПИ требованиям, установленным пунктами 6.1 - 6.7 настоящего Указания.

7.3. В срок не позднее пяти рабочих дней после истечения периода, указанного в пункте 7.2. настоящего Указания, Банк России направляет в адрес соответствующего ОУПИ письменное уведомление о возможности либо о невозможности привлечения ОУПИ для оказания операционных услуг участникам платежной системы Банка России с указанием причины.

7.4. В случае принятия Банком России положительного решения о привлечении ОУПИ для оказания операционных услуг участникам платежной системы Банка России, осуществляется заключение договора о взаимодействии между Банком России и ОУПИ и оказании операционных услуг (далее - договор о взаимодействии) с указанием действий по согласованию последовательности интеграции инфраструктур. В договоре о взаимодействии также устанавливаются требования к деятельности привлеченного ОУПИ и его ответственность за неоказание (ненадлежащее оказание) операционных услуг участникам платежной системы Банка России.

7.5. Банк России осуществляет ведение перечня ОУПИ, который публикуется на официальном сайте Банка России в информационно-телекоммуникационной сети Интернет www.cbr.ru.

7.6. Сведения об ОУПИ, привлеченном Банком России, вносятся в перечень ОУПИ в срок не позднее трех рабочих дней, следующих за днем вступления в силу? договора о взаимодействии.

Глава 8. Заключительные положения

Настоящее Указание вступает в силу по истечении 10 дней после дня его официального опубликования.

Председатель Банка России

Э.С. Набиуллина

Приложение 1
к Указанию Банка России
от ___________________ N______ "О требованиях
к операторам услуг платежной инфраструктуры, привлекаемым
Банком России, о порядке привлечения
Банком России операторов услуг платежной
инфраструктуры и ведения их перечня"

Документы, представляемые для проведения анализа соответствия ОУПИ требованиям к финансовому состоянию

1. Копии годовой бухгалтерской отчетности за три последних завершенных финансовых года, срок представления которой в соответствии с требованиями законодательства Российской Федерации (страны места регистрации (ведения бизнеса) ОУПИ - нерезидента) наступил, с приложением копий аудиторских заключений по указанной бухгалтерской отчетности за каждый год (с бухгалтерской отчетностью, в отношении которой выражается мнение).

2. Справка об исполнении ОУПИ - налогоплательщиком обязанности по уплате налогов, сборов, пеней, штрафов, процентов, выданная налоговым органом. Справка представляется за последние три завершенных финансовых года. ОУПИ - нерезиденты (включая банки-нерезиденты) вправе самостоятельно составить аналогичные сведения об отсутствии у них задолженности по налоговым платежам, которые должны быть подтверждены независимым аудитором.

3. Сведения о финансовых вложениях в хозяйственные общества, которые ликвидированы, находятся в процессе ликвидации, признаны несостоятельными (банкротами) или в отношении которых возбуждено производство по делу о несостоятельности (банкротстве) в установленном законодательством Российской Федерации или страны места регистрации (ведения бизнеса) ОУПИ - нерезидента порядке, на последнюю отчетную дату с указанием полного фирменного наименования эмитентов ценных бумаг, юридических лиц, в уставные капиталы которых осуществлены вложения, юридических лиц, которым предоставлены займы, вида, суммы финансовых вложений и созданных по ним резервов под обесценение финансовых вложений.

4. Годовая бухгалтерская отчетность ОУПИ - резидента Российской Федерации, не являющегося кредитной организацией, должна быть составлена в соответствии с требованиями Министерства финансов Российской Федерации, устанавливающими объем и порядок составления бухгалтерской отчетности, и должна содержать отметку налогового органа о ее принятии.

5. Документы для оценки финансового состояния, предоставляемые ОУПИ - нерезидентом, составленные на иностранном языке, должны быть легализованы в порядке, установленном законодательством Российской Федерации, если иное не предусмотрено международными договорами, участниками которых являются Российская Федерация и страна места регистрации (ведения бизнеса) ОУПИ - нерезидента, с приложением заверенного в установленном порядке перевода указанных документов на русский язык.

Приложение 2
к Указанию Банка России
от ___________________ N______ "О требованиях к
операторам услуг платежной инфраструктуры, привлекаемым
Банком России, о порядке привлечения Банком
России операторов услуг платежной
инфраструктуры и ведения их перечня"

Документы, представляемые для проведения анализа соответствия ОУПИ требованиям к технологическому обеспечению и обеспечению защиты информации

1. Документы, подтверждающие соответствие ОУПИ требованиям к технологическому обеспечению, указанным в главе 3 настоящего Указания.

2. Документы, содержащие данные о технических и технологических характеристиках и показателях работы ОУПИ, объемах фактически предоставляемых операционных услуг.

3. Документы, определяющие порядок обновления программного обеспечения, изменения операционных и технологических средств и процедур.

4. Документы, связанные с обеспечением защиты информации:

порядок обеспечения защиты информации, предусматривающий порядок выбора и применения организационных мер и технических средств защиты информации, включая информацию о конфигурации и параметрах работы технических средств защиты информации, назначение лиц, ответственных за применение и контроль применения организационных мер и технических средств защиты информации;

порядок и методы мониторинга и контроля соблюдения правил защиты информации и конфиденциальности обрабатываемой информации ответственными лицами, а также информация о выявленных событиях, связанных с нарушением требований к обеспечению защиты информации;

порядок управления изменениями в правила оказания операционных услуг и порядок оценки влияния изменений на уровень защиты информации;

5. Документы, подтверждающие проведение оценки выполнения требований к обеспечению защиты информации при осуществлении переводов денежных средств в соответствии с Положением N 382-П (для ОУПИ - резидентов Российской Федерации) и содержащие результаты проведенной оценки.

6. Заключения (сертификаты) о соответствии уровня информационной безопасности ОУПИ - нерезидента или процессов, связанных с оказанием ОУПИ - нерезидентом операционных услуг, требованиям стандарта PCI DSS либо стандарта ISO/IEC 27001 соответственно, выданные организацией, уполномоченной на проведение оценки по указанным стандартам.

Приложение 3
к Указанию Банка России
от ___________________ N______ "О требованиях к
операторам услуг платежной инфраструктуры, привлекаемым
Банком России, о порядке привлечения Банком
России операторов услуг платежной
инфраструктуры и ведения их перечня"

Документы, представляемые для проведения анализа соответствия ОУПИ требованиям к системе управления рисками

1. Документы, подтверждающие выполнение ОУПИ требований к организации управления рисками, указанных в пункте 5.1 настоящего Указания.

2. Документы, регламентирующие деятельность ОУПИ по управлению рисками, а также подтверждающие выполнение ОУПИ требований, указанных в пункте 5.2. настоящего Указания.

3. Документы, содержащие планы обеспечения бесперебойности оказания операционных услуг, непрерывности бизнес-процессов, определяющие методы и периодичность тестирования доступности и бесперебойности оказания операционных услуг, а также содержащие результаты последнего тестирования.

4. Документы, определяющие порядок оценки качества функционирования операционных и технологических средств, информационных систем независимой организацией, а также подтверждающие проведение данной оценки.