Банкам разрешат отдавать тайну на аутсорс: новые правила для IT-подрядчиков 2026

Закон № 404786-8 разрешает банкам отдавать тайну на аутсорс. Читаешь 159 страниц — и видишь: доступ к данным открывают вместе с постоянным комплаенсом, который потянет не каждый подрядчик. Для небольшой студии это скорее закрытая дверь, чем приглашение на рынок.

Что решено

14 октября Госдума приняла во втором и третьем чтениях законопроект № 404786-8 — про IT-аутсорсинг и облака на финансовом рынке. Ключевая норма: банк может поручить стороннему исполнителю обработку информации ограниченного доступа, включая банковскую тайну и персональные данные клиентов. Отдельное согласие клиента там, где оно предусмотрено законом, спрашивать не нужно.

Слово «обработка» тут шире, чем кажется. Поручать можно сбор, систематизацию, обновление, использование и передачу данных. Хранение — только один эпизод из списка. Государственная тайна выведена из периметра целиком: её в аутсорс не отдают.

Исполнитель — не любой. Основные кандидаты: аккредитованные российские IT-компании и банки с универсальной лицензией. Одной IT-аккредитации мало. Больше 50% голосов должны прямо или косвенно контролироваться государством, муниципалитетами либо гражданами РФ без второго гражданства. Информационные системы, где лежат переданные данные, — на территории РФ. Для отдельных банков под иностранным контролем оставили спецпорядок привлечения иностранных исполнителей.

Цена входа: процедура, аудит, два часа на звонок

Подписать договор и начать работу не получится. Финансовая организация уведомляет Банк России и прикладывает документы, включая заключение об операционном аудите исполнителя. Дальше 60-дневная пауза с момента уведомления: регулятор молчит — можно начинать, запрещает — нельзя.

Запрет работает и после старта. ЦБ может ограничить дальнейшую обработку данных в системах подрядчика. Для банка это миграция процессов, для подрядчика — обнуление контракта, который уже врос в чужую инфраструктуру.

Дальше режим постоянного подтверждения. Операционный аудит каждый год, результаты — заказчику и регулятору. Ежеквартально — отчёт о целевых показателях защиты информации и операционной надёжности. Инцидент ИБ — уведомление в течение двух часов после выявления. Плюс требования к персоналу и к организации обработки.

«Для IT-компаний это означает дополнительные расходы на аудит, информационную безопасность, персонал и внутренние процедуры. Причем расходы не разовые, при заключении договора, а постоянные».

Кого ещё накрыло и кто не пройдёт

Периметр шире банков: страховщики, МФО, НПФ, бюро кредитных историй, часть профучастников рынка ценных бумаг. У каждой категории свои нюансы, логика одна.

При этом не каждый договор на разработку или поддержку попадает под режим автоматически. Смотреть надо на характер услуг, состав информации, наличие доступа и на то, что подрядчик фактически делает с данными. Команда, которая пишет фронт и не видит продакшн-данных, и команда, которая крутит хранилище с выгрузками по клиентам, — разные истории с точки зрения закона.

Экономика простая. Крупный поставщик встроит аудит, ИБ и комплаенс в обычные процессы: эти функции у него уже есть. Небольшая студия получит фиксированную нагрузку — аудитор, служба ИБ, регламенты, дежурство на двухчасовые уведомления. Платить за это придётся весь срок контракта, а не один раз на входе. Пара таких договоров — и накладные перестают окупаться.

Отсюда рыночный эффект: финсектор консолидируется вокруг подрядчиков, у которых комплаенс — отдельная функция с бюджетом. Средний и малый IT идут туда субподрядом через крупного либо не идут вовсе.

Что делать и в какие сроки

Закон вступает в силу через год после официального опубликования. Действующие договоры — 180 календарных дней после этого на приведение в соответствие. Для аудита уже работающих подрядчиков дан отдельный год.

Практика на этот горизонт выглядит так. Первое — инвентаризация договоров с финансовыми организациями: где есть доступ к реальным данным, а где только код и стейджинг. Второе — стоимость комплаенса как постоянная строка в P&L, а не разовый проект. Третье — тариф: если расходы не заложены в цену контракта, их оплатит маржа. Четвёртое — регламент уведомления об инциденте за два часа, его нельзя написать в день инцидента.

И пятое, самое неприятное для планирования: право ЦБ запретить конкретного исполнителя создаёт риск не в момент сделки, а в любой точке жизненного цикла контракта. Это надо прописать в договоре с заказчиком — кто платит за вынужденную миграцию и что считается основанием для расторжения.

Банковская тайна на аутсорсе перестаёт быть серой зоной и становится дорогим допуском. Выиграют те, кто посчитает постоянные расходы до подписания первого договора. Остальные узнают цену входа уже внутри проекта.

Сценарий внедрения: дорожная карта на первые недели

Сначала отделить факт от хайпа, затем выбрать один практический шаг для бизнеса.

1. Нулевая неделя: baseline-метрики, карта ролей и ответственности, технические ограничения и SLA.
2. Неделя 1-2: запуск узкого пилота, контрольные точки, лог ошибок типовых сценариев.
3. Неделя 3-4: первое улучшение по KPI или честное признание, что нужно поменять сценарий/данные.
4. Неделя 5+: масштабирование на смежные процессы и фиксация регламентов, чтобы качество держалось без геройства команды.

Формат “один главный результат на одну неделю” сохраняет темп и экономит управленческое внимание.

Шаблон балльной оценки (YAML — можно перенести в таблицу)

Веса согласованы со схемой в начале статьи. Фиксируйте баллы сразу после встречи, пока память свежая.

vendor_rubric:
  pilot_kpi: { max: 25, check: "число, дата первого замера, порог успеха" }
  integrations: { max: 20, check: "CRM/API, не отложенное 'потом'" }
  methodology: { max: 18, check: "имя ответственного инженера, не только сейлз" }
  cases: { max: 15, check: "проверяемый кейс, не под NDA-заглушкой" }
  security: { max: 12, check: "логи, доступы, ПДн" }
  support: { max: 10, check: "SLA после go-live" }
  review: "повторять после каждого созвона; ниже 55 — не подписывать крупный контракт"

Где заказчик сам себе усложняет выбор

• Нет единого владельца результата и бюджета — подрядчик гоняют по внутренним приоритетам.
• Доступы к CRM и тестовым средам «на потом» — без них интеграцию нельзя честно оценить.
• Смена KPI посреди пилота без переписывания условий.

Риски и как их снять заранее

• Запуск без baseline и недельной аналитики — самый дорогой вариант, потому что непонятно, что лечить.
• Смешивание многих задач одновременно — обычно увеличивает календарные сроки и бюджет сверх суммы задач по отдельности.
• Слабая интеграция с точками истины данных (CRM, биллинг, тикет-системы) даёт красивый интерфейс и плохой бизнес-эффект.

Отдельно для разработки: фиксируйте производительность, безопасность и индексируемость страниц как часть DoD деплоя, а не постфактум.

Что сделать дальше

Короткая диагностика под ваш процесс: обычно 3 дня для малого бизнеса и до 5 дней для проектов со сложной воронкой и несколькими стейджами.

Быстрый расчет эффекта: (количество заявок × текущая стоимость обработки заявки) − (то же после внедрения целевой модели) + (дополнительные продажи × средняя маржа). Число получится грубым и полезным: оно задаёт экономику решения даже без идеальных данных.

По запросу высылаем чеклист диагностики и шаблон weekly-отчёта по экспериментам: там видно, когда пора усиливать сценарий, а когда — остановиться.

• Обсудить применение под вашу задачу: Открыть форму контактов PrimeCoder
• Получить план внедрения на 30 дней: Подключить AI Boost Team как внешний AI-офис с KPI

FAQ по теме статьи

Как применить материал «Банкам разрешат отдавать тайну на аутсорс: новые правила для IT-подрядчиков 2026» к своему сайту без редизайна с нуля?

Начните с одного узкого сценария: форма, первый экран, скорость, мобильная версия или путь до заявки. Большой редизайн нужен не всегда.

Что спросить у подрядчика перед доработками?

Попросите назвать метрику, которую доработка должна изменить, способ проверки и критерий остановки. Без этого задача легко превращается в бесконечные правки.

Когда техническая доработка не даст роста?

Когда проблема в оффере, цене, трафике или доверии. Техника усиливает рабочую воронку, но не заменяет продуктовый смысл страницы.

Дальше по теме платформы: смежные материалы (Разработка и запуск продукта)

Статью лучше читать в связке — так быстрее собирается картина, как ответ складывается в работающую воронку, а не в изолированный совет.

• Сколько стоит сайт под ключ в Москве
• Как выбрать подрядчика по AI и автоматизации
• Внедрение AI в продажи за 30 дней