Документы по информационной безопасности для финансовой организации в Москве: требования ЦБ

Вы руководитель или ответственный за ИБ в микрофинансовой компании, страховой или банке. Готовитесь к проверке Банка России, запросу от Роскомнадзора или просто наводите порядок в информационной безопасности. Понимаете, что нужны не только технические средства, но и документы — политики, положения, регламенты. Но какие именно обязательны именно для вашей организации, а какие можно отложить?

В этой статье разберём требования Банка России, состав организационно-распорядительных документов по ИБ для финансовых организаций и покажем, как подготовить комплект без лишних расходов. Отдельно коснёмся ситуации для организаций в Москве.

Какие документы по ИБ обязательны: кредитная или некредитная финансовая организация

Требования к документам по ИБ для финансового сектора заданы не отдельным перечнем, а через ГОСТ Р 57580.1-2017 «Безопасность финансовых (банковских) операций» и положения Банка России. В зависимости от вида организации применяются разные нормы:

• Кредитные организации (банки, НКО): положение ЦБ от 30.01.2025 № 851-П (заменило 683-П с 29.03.2025). Устанавливает уровни защиты по ГОСТ Р 57580.1-2017, оценку соответствия по 57580.2-2018.
• Некредитные финансовые организации (МФО, страховые, НПФ, брокеры): положение ЦБ от 20.04.2021 № 757-П. По имеющимся данным, с 01.01.2027 вступает указание № 7219-У с обновлениями.
• Операционная надёжность: для банков — 787-П от 12.01.2022, для НФО — 779-П (актуализация по указанию № 7221-У с 01.01.2027).
• Персональные данные: 152-ФЗ и подзаконные акты (приказы РКН, ПП 1119). Финансовые организации всегда обрабатывают ПДн клиентов, работников, контрагентов.
• КИИ: финансовый рынок — сфера критической информационной инфраструктуры. Если организация владеет значимым объектом КИИ — обязательны документы по приказам ФСТЭК № 235 и № 239, Указу № 250.

Если ваша организация входит в число субъектов КИИ, то по Указу Президента № 250 от 01.05.2022 вы обязаны назначить заместителя руководителя по ИБ, создать подразделение ИБ и привлекать для работ по ИБ только организации с лицензией ФСТЭК на техническую защиту конфиденциальной информации. Это важно учитывать при выборе подрядчика.

Состав комплекта для вашей организации

Ниже — ориентировочный перечень документов, которые чаще всего требуются финансовым организациям. Конкретный состав зависит от вида организации, наличия значимых объектов КИИ, объёма обрабатываемых ПДн и внутренних процессов.

Кто проверяет и что смотрят

Финансовые организации находятся под надзором сразу нескольких регуляторов, и у каждого свои фокусы:

• Банк России — проверяет соблюдение требований 57580, операционной надёжности, внутренних документов по ИБ. Может запросить политику ИБ, отчёты об оценке соответствия, регламенты.
• Роскомнадзор — контроль за обработкой персональных данных по 152-ФЗ. Запрашивает политику ПДн, приказ об ответственном, локальные акты, уведомление, согласия.
• ФСТЭК — надзор за значимыми объектами КИИ. Проверяет документы по приказам 235/239, план реагирования, ежегодные планы и отчёты.
• ФСБ (НКЦКИ) — взаимодействие с ГосСОПКА, информирование об инцидентах. Запросит план реагирования на компьютерные инциденты.

Типовые вопросы и запросы на проверке:

1. Предоставьте утверждённую политику ИБ и документы, подтверждающие её доведение до работников.
2. Где приказ о назначении ответственного за ПДн и положение об обработке ПДн?
3. Покажите уведомление в РКН и актуальные согласия субъектов.
4. Каким образом организовано реагирование на инциденты? Есть ли регламент и обученные сотрудники?
5. Для значимых объектов КИИ: план мероприятий на текущий год, отчёт за прошлый, акт внутреннего контроля.

Как мы готовим комплект

Компания «МелданаСБ» не имеет лицензии ФСТЭК на техническую защиту конфиденциальной информации. Поэтому для финансовых организаций мы не выполняем под ключ техническую часть по ГОСТ Р 57580 и операционной надёжности. Эти работы выполняет партнёр-лицензиат ФСТЭК. Однако мы помогаем с правовым контуром: документы по персональным данным, режим коммерческой тайны, общие политики ИБ для коммерческого блока, регламенты удалённой работы и NDA. Такой подход позволяет закрыть юридические риски, не переплачивая за то, что вы можете подготовить с нами дистанционно.

Если применимо к вашей сфере (например, значимый объект КИИ или полный цикл по 57580), мы подключаем партнёра-лицензиата ФСТЭК. Он берёт на себя техническую часть, а мы параллельно готовим правовой блок. Это экономит время и бюджет.

Особенности, о которых забывают

• ✓ Двойное регулирование: одновременно ЦБ (57580, операционная надёжность) и ФСТЭК (если значимый объект КИИ). Нужны отдельные комплекты, не стоит смешивать.
• ✓ Оценка соответствия по 57580.2 проводится не внутренней комиссией, а внешними проверяющими организациями. Для банков — раз в 2 года, отчёт хранится 5 лет.
• ✓ Неопубликованная политика обработки ПДн на сайте — прямой штраф по ч. 3 ст. 13.11 КоАП РФ (30–60 тыс. руб. для юрлиц). А неуведомление РКН об утечке — до 3 млн руб.
• ✓ Если ваша организация — субъект КИИ, то без приказа о назначении заместителя руководителя по ИБ и положения о подразделении ИБ вы не выполните Указ № 250. Это отдельный блок, часто о нём забывают.
• ✓ С 01.09.2025 согласие на обработку ПДн должно оформляться отдельно от иных документов. Это требует переработки форм для сайта, анкет, договоров.

Разбор на примере: микрофинансовая компания

Как шла работа:

Что будет без документов

Отсутствие обязательных документов по ИБ — это прежде всего риск предписаний и штрафов. Для финансовых организаций ключевые составы:

• Персональные данные (КоАП РФ ст. 13.11): неопубликованная политика ПДн — штраф на юрлиц 30–60 тыс. руб. (ч. 3); обработка без согласия — от 300 тыс. до 700 тыс. руб. (ч. 2); неуведомление РКН об обработке — 100–300 тыс. руб. (ч. 10); неуведомление об утечке — 1–3 млн руб. (ч. 11). За сами утечки штрафы достигают 15–18 млн руб., а при повторных — процент от выручки до 500 млн руб.
• Значимые объекты КИИ (КоАП РФ ст. 13.12.1): нарушение требований к безопасности — юрлица 50–100 тыс. руб. (ч. 1); нарушение порядка информирования об инцидентах — 100–500 тыс. руб. (ч. 2). При повторных нарушениях суммы выше.
• Коммерческая тайна: если режим не введён, то при утечке сведений вы не сможете привлечь виновного к ответственности по ст. 183 УК РФ и взыскать убытки. Суд откажет, так как нет доказательств, что информация была охраняемой.
• Отдельного штрафа «за отсутствие политики ИБ по 57580» в КоАП нет, но Банк России вправе применить меры воздействия: предписание, ограничение операций, а при систематических нарушениях — отзыв лицензии (для кредитных организаций).

Чем поможем и сколько это стоит

Для финансовых организаций в Москве мы предлагаем юридический и организационный пакет, который закрывает требования 152-ФЗ, ТК РФ и 98-ФЗ. Техническую часть по 57580 и операционной надёжности выполняет партнёр-лицензиат ФСТЭК — мы помогаем скоординировать процесс, чтобы не было дублей и противоречий. Цена ниже рынка за счёт дистанционного формата и отработанных типовых решений; документы готовит специалист, а не конвейер.

Частые вопросы

Для подготовки правового пакета по персональным данным обратитесь на страницу документов по 152-ФЗ. Если требуется методическое сопровождение модели угроз, смотрите услугу по модели угроз ИБ. По остальным вопросам — свяжитесь с нами.