Глава 1. Форма и порядок направления операторами по переводу денежных средств, операторами платежных систем, операторами услуг платежной инфраструктуры в Банк России информации обо всех случаях и (или) попытках осуществления переводов денежных средств без согласия клиента и получения ими от Банка России информации, содержащейся в базе данных о случаях и попытках осуществления переводов денежных средств без согласия клиента

1.1. Участники информационного обмена должны направлять в Банк России информацию о переводах без согласия клиента в виде электронных сообщений.

Участники информационного обмена должны направлять в Банк России информацию о переводах без согласия клиента по форме первичного, промежуточного, окончательного уведомления в соответствии с пунктами 1.5-1.13 настоящего Указания.

Оператор по переводу денежных средств, обслуживающий получателя средств, должен направлять в Банк России информацию о переводах без согласия клиента по форме уведомления по запросу в соответствии с пунктами 1.15 и 1.16 настоящего Указания.

Оператор платежной системы должен направлять в Банк России информацию о переводах без согласия клиента по форме уведомления по запросу в соответствии с пунктами 1.17 и 1.18 настоящего Указания.

Участники информационного обмена вправе получать информацию о переводах без согласия клиента по форме сообщения о распространяемых данных в соответствии с пунктом 1.19 настоящего Указания.

1.2. Участники информационного обмена должны направлять в Банк России информацию о переводах без согласия клиента с использованием технической инфраструктуры (автоматизированной системы) Банка России.

В случае возникновения технической невозможности взаимодействия участников информационного обмена с Банком России с использованием технической инфраструктуры (автоматизированной системы) Банка России участники информационного взаимодействия должны направлять в Банк России информацию о переводах без согласия клиента с использованием резервного способа взаимодействия.

Информация, направленная с использованием резервного способа взаимодействия, должна быть повторно направлена участниками информационного обмена при возобновлении технической возможности взаимодействия участников информационного обмена с Банком России с использованием технической инфраструктуры (автоматизированной системы) Банка России.

Информация о технической инфраструктуре (автоматизированной системе) Банка России, а также о резервном способе взаимодействия участников информационного обмена с Банком России размещается на официальном сайте Банка России в информационно-телекоммуникационной сети "Интернет" (далее - сеть "Интернет").

1.3. Оператор по переводу денежных средств, обслуживающий плательщика, оператор услуг платежной инфраструктуры должны направлять в Банк России информацию о переводах без согласия клиента при наступлении следующих событий:

при получении оператором по переводу денежных средств, обслуживающим плательщика, уведомлений от клиентов о случаях и (или) попытках переводов денежных средств без согласия клиента;

при выявлении оператором по переводу денежных средств, обслуживающим плательщика, операций, которые соответствуют признакам осуществления перевода денежных средств без согласия клиента, размещенным на официальном сайте Банка России в сети "Интернет" в соответствии с частью 5.1 статьи 8 Федерального закона N 161-ФЗ (далее - признаки осуществления перевода денежных средств без согласия клиента), при условии, что в течение двух рабочих дней, следующих за днем выявления им операции, соответствующей признакам осуществления перевода денежных средств без согласия клиента, от плательщика получено уведомление о случае перевода денежных средств без его согласия или подтверждение возобновления исполнения распоряжения от плательщика не поступило;

при выявлении оператором по переводу денежных средств, обслуживающим плательщика, операций по переводу денежных средств, совершенных в результате несанкционированного доступа к объектам его информационной инфраструктуры;

при получении оператором по переводу денежных средств, оператором услуг платежной инфраструктуры, являющимся расчетным центром платежной системы, уведомлений от участников платежной системы о списании денежных средств с их корреспондентских счетов без их согласия, в том числе с использованием искаженной информации, содержащейся в распоряжениях платежных клиринговых центров или участников платежной системы;

при выявлении оператором по переводу денежных средств и (или) оператором услуг платежной инфраструктуры компьютерных атак, направленных на объекты информационной инфраструктуры участников информационного обмена и (или) их клиентов, которые могут привести к случаям и (или) попыткам осуществления переводов денежных средств без согласия клиента.

1.4. Оператор по переводу денежных средств, обслуживающий плательщика, оператор услуг платежной инфраструктуры - субъекты критической информационной инфраструктуры, которым на праве собственности, аренды или ином законном основании принадлежат значимые объекты критической информационной инфраструктуры, определяемые в соответствии с Федеральным законом от 26 июля 2017 года N 187-ФЗ "О безопасности критической информационной инфраструктуры Российской Федерации" (Собрание законодательства Российской Федерации, 2017, N 31, ст. 4736) (далее - Федеральный закон N 187-ФЗ), должны направить в Банк России первичное уведомление в течение трех часов с момента наступления событий, указанных в абзацах четвертом и шестом пункта 1.3 настоящего Указания, и в течение одного рабочего дня, следующего за днем наступления событий, указанных в абзацах втором, третьем и пятом пункта 1.3 настоящего Указания.

Иные операторы по переводу денежных средств, обслуживающие плательщика, операторы услуг платежной инфраструктуры должны направить в Банк России информацию о переводах без согласия клиента по форме первичного уведомления:

в случаях, указанных в абзацах четвертом и шестом пункта 1.3 настоящего Указания, - в течение 24 часов с момента наступления событий, указанных в пункте 1.3 настоящего Указания;

в случаях, указанных в абзацах втором, третьем и пятом пункта 1.3 настоящего Указания, - в течение одного рабочего дня, следующего за днем наступления событий, указанных в пункте 1.3 настоящего Указания.

1.5. Первичное уведомление должно содержать информацию:

устанавливающую операцию плательщика;

устанавливающую операцию получателя средств;

определяющую параметры устройств, с использованием которых осуществлен доступ к автоматизированной системе, программному обеспечению с целью осуществления перевода денежных средств без согласия клиента, при наличии информации, определяющей параметры указанных устройств.

1.6. Информация, устанавливающая операцию плательщика, должна содержать следующие данные:

о банковском идентификационном коде (далее - БИК) оператора по переводу денежных средств, обслуживающего плательщика;

о результате вычисления специального кода номера документа, удостоверяющего личность плательщика - физического лица;

о результате вычисления специального кода страхового номера индивидуального лицевого счета застрахованного лица в системе персонифицированного учета Пенсионного фонда Российской Федерации (далее - СНИЛС) плательщика - физического лица при наличии СНИЛС;

об идентификационном номере налогоплательщика (далее - ИНН) плательщика - юридического лица, индивидуального предпринимателя или лица, занимающегося частной практикой.

1.7. Информация, устанавливающая операцию получателя средств, должна содержать следующие данные.

1.8. Информация, определяющая параметры устройств, с использованием которых осуществлен доступ к автоматизированной системе, программному обеспечению с целью осуществления перевода денежных средств без согласия клиента, должна содержать следующие данные:

о сетевом адресе компьютера и (или) коммуникационного устройства (маршрутизатора);

о международном идентификаторе абонента (индивидуальном номере абонента клиента - физического лица);

о международном идентификаторе пользовательского оборудования (оконечного оборудования) клиента - физического лица;

об идентификаторе банкомата, платежного терминала.

1.9. Оператор по переводу денежных средств, обслуживающий плательщика, оператор услуг платежной инфраструктуры - субъекты критической информационной инфраструктуры, которым на праве собственности, аренды или ином законном основании принадлежат значимые объекты критической информационной инфраструктуры, определяемые в соответствии с Федеральным законом N 187-ФЗ, должны направлять в Банк России информацию о переводах без согласия клиента по форме промежуточного уведомления в течение трех часов с момента получения информации, предусмотренной абзацем вторым пункта 1.10 настоящего Указания, и в течение двух рабочих дней, следующих за днем получения информации, предусмотренной абзацами третьим и четвертым пункта 1.10 настоящего Указания.

Иные операторы по переводу денежных средств, обслуживающие плательщика, операторы услуг платежной инфраструктуры должны направлять в Банк России информацию о переводах без согласия клиента по форме промежуточного уведомления в течение двух рабочих дней, следующих за днем получения информации, предусмотренной пунктом 1.10 настоящего Указания.

1.10. Промежуточное уведомление должно содержать следующую информацию при ее наличии:

технические данные, описывающие компьютерные атаки, направленные на объекты информационной инфраструктуры участников информационного обмена и (или) их клиентов;

сведения об обращении плательщика в правоохранительные органы;

дополнительные и (или) уточняющие сведения к ранее направленным в первичном и (или) предыдущем промежуточном уведомлении.

1.11. Оператор по переводу денежных средств, обслуживающий плательщика, оператор услуг платежной инфраструктуры должны направить в Банк России информацию о переводах без согласия клиента по форме окончательного уведомления в течение трех рабочих дней, следующих за днем окончания рассмотрения случаев и (или) попыток осуществления переводов денежных средств без согласия клиента.

1.12. Окончательное уведомление должно содержать информацию, определяющую результат окончания рассмотрения участниками информационного обмена случаев и (или) попыток осуществления переводов денежных средств без согласия клиента, вызванных компьютерными атаками, направленными на объекты информационной инфраструктуры участников информационного обмена.

1.13. Информация, определяющая результат окончания рассмотрения участниками информационного обмена случаев и (или) попыток осуществления переводов денежных средств без согласия клиента, должна содержать следующие данные:

о реализации мер, предпринятых оператором по переводу денежных средств, оператором услуг платежной инфраструктуры по выявлению и устранению причин и последствий компьютерных атак, направленных на объекты информационной инфраструктуры участников информационного обмена и (или) их клиентов, и дальнейшему предотвращению случаев и (или) попыток осуществления переводов денежных средств без согласия клиента;

дополнительные и (или) уточняющие сведения к ранее направленным в первичном и (или) промежуточном уведомлении при их наличии.

1.13 ¹. Оператор по переводу денежных средств, обслуживающий плательщика, при выявлении в рамках реализуемой им системы управления рисками дополнительных и (или) уточняющих сведений к ранее направленной в Банк России информации о переводах без согласия клиента по ранее направленному уведомлению в соответствии с пунктом 1.12 настоящего Указания должен направить в Банк России информацию, содержащую дополнительные и (или) уточняющие сведения по форме окончательного уведомления в течение трех рабочих дней со дня их выявления.

1.13 ². Оператор по переводу денежных средств, обслуживающий плательщика, при выявлении в рамках реализуемой им системы управления рисками случаев необоснованного направления в Банк России информации о переводах без согласия клиента по ранее направленным уведомлениям в соответствии с пунктами 1.5, 1.10 и 1.12 настоящего Указания должен направить в Банк России мотивированное сообщение о выявлении таких случаев по форме окончательного уведомления в течение трех рабочих дней со дня их выявления.

1.14. При получении от участников информационного обмена уведомлений Банк России вправе направить с использованием технической инфраструктуры (автоматизированной системы) Банка России оператору по переводу денежных средств, обслуживающему получателя средств, запрос, содержащий следующую информацию.

1.15. Оператор по переводу денежных средств, обслуживающий получателя средств, в ответ на запрос Банка России, указанный в пункте 1.14 настоящего Указания, должен направить в Банк России следующую информацию о переводах без согласия клиента по форме уведомления по запросу.

1.16. Оператор по переводу денежных средств, обслуживающий получателя средств, должен направить в Банк России информацию, указанную в подпунктах 1.15.1 и 1.15.2 пункта 1.15 настоящего Указания, по форме уведомления по запросу в течение одного рабочего дня, следующего за днем получения запроса Банка России, информацию, указанную в подпункте 1.15.3 пункта 1.15 настоящего Указания, - в течение трех рабочих дней, следующих за днем получения запроса Банка России.

1.17. При получении от участников информационного обмена уведомлений Банк России вправе направить с использованием технической инфраструктуры (автоматизированной системы) Банка России оператору платежной системы запрос о случаях и (или) попытках осуществления переводов денежных средств без согласия клиента.

1.17 ¹. Банк России вправе запросить у оператора по переводу денежных средств, обслуживающего плательщика, и оператора по переводу денежных средств, обслуживающего получателя средств, мнение об отнесении операции к случаю и (или) попытке осуществления перевода без согласия клиента на основании информации о переводах денежных средств без согласия клиента, ранее направленной оператором по переводу денежных средств, обслуживающим плательщика, в Банк России в соответствии с пунктами 1.5, 1.10 и 1.12 настоящего Указания. Операторы по переводу денежных средств обязаны в сроки, установленные в запросе, представить мотивированный ответ с учетом реализуемой ими системы управления рисками по форме окончательного уведомления.

1.17 ². Взаимодействие Банка России и операторов по переводу денежных средств в целях реализации требований пунктов 1.13 ¹, 1.13 ², 1.17 ¹настоящего Указания осуществляется в соответствии с пунктом 1.2 настоящего Указания.

1.18. Оператор платежной системы при получении запроса от Банка России должен направить в Банк России информацию о переводах без согласия клиента, указанных в запросе Банка России, в виде электронных сообщений по запросу в установленный в запросе Банка России срок.

1.19. Участники информационного обмена вправе получать по форме сообщения о распространяемых данных следующую информацию, содержащуюся в базе данных о случаях и попытках осуществления переводов денежных средств без согласия клиента:

о получателе средств по переводам денежных средств без согласия клиента;

о параметрах устройств, с использованием которых осуществлен доступ к автоматизированной системе, программному обеспечению с целью осуществления перевода денежных средств без согласия клиента;

технические данные, описывающие компьютерные атаки, направленные на объекты информационной инфраструктуры участников информационного обмена и (или) их клиентов.

1.20. Участники информационного обмена для получения информации из базы данных о случаях и попытках осуществления переводов денежных средств без согласия клиента должны использовать техническую инфраструктуру (автоматизированную систему) Банка России, информация о которой размещается на официальном сайте Банка России в сети "Интернет".