ПОСТАНОВЛЕНИЕ ПРАВЛЕНИЯ НАЦИОНАЛЬНОГО БАНКА РЕСПУБЛИКИ БЕЛАРУСЬ

от 7 июля 2026 года №164

Об утверждении стандарта финансовых услуг и технологий

На основании абзаца пятьдесят седьмого статьи 26 и части первой статьи 39 Банковского кодекса Республики Беларусь Правление Национального банка Республики Беларусь ПОСТАНОВЛЯЕТ:

1. Утвердить стандарт финансовых услуг и технологий СФУТ 9.05-2026 "Банковская деятельность. Обеспечение информационной безопасности. Оценка уровня соответствия информационной безопасности банков требованиям СФУТ 9.03-2025" (прилагается).

2. Настоящее постановление вступает в силу с 1 января 2027 г.

 

Утвержден Постановлением Правления Национального банка Республики Беларусь от 7 июля 2026 года №164

Стандарт финансовых услуг и технологий СФУТ 9.05-2026 "Банковская деятельность. Обеспечение информационной безопасности. Оценка уровня соответствия информационной безопасности банков требованиям СФУТ 9.03-2025"

Глава 1. Общие положения

1. Настоящий стандарт финансовых услуг и технологий (далее – стандарт) распространяется на банки, небанковские кредитно-финансовые организации и открытое акционерное общество "Банк развития Республики Беларусь" (далее – банки), а также на организации, проводящие оценку уровня соответствия информационной безопасности (далее – ИБ) банков требованиям стандарта финансовых услуг и технологий СФУТ 9.03-2025 "Банковская деятельность. Обеспечение информационной безопасности. Общие требования", утвержденного постановлением Правления Национального банка Республики Беларусь от 29 декабря 2025 г. №390 (далее – СФУТ 9.03-2025).

2. Настоящий стандарт предназначен для применения путем включения ссылок на него и (или) устанавливаемых в нем требований в локальные правовые акты банков, а также в договоры.

3. При применении настоящего стандарта необходимо соблюдать требования законодательства об информации, информатизации и защите информации, в том числе нормативных правовых актов Национального банка и обязательных для соблюдения технических нормативных правовых актов (далее – ТНПА).

4. В настоящем стандарте используются термины в значениях, установленных в стандартах финансовых услуг и технологий СФУТ 9.01-2024 "Банковская деятельность. Обеспечение информационной безопасности. Общие положения и терминология", СФУТ 9.02-2024 "Банковская деятельность. Обеспечение информационной безопасности. Требования к документации по обеспечению деятельности в области информационной безопасности", утвержденных постановлением Правления Национального банка Республики Беларусь от 20 июня 2024 г. №185, и СФУТ 9.03-2025, иных нормативных правовых актах Национального банка.

Глава 2. Показатели Иб. Способы оценивания показателей

5. Для оценки уровня соответствия ИБ банка требованиям СФУТ 9.03-2025 (далее – оценка уровня соответствия) используются показатели ИБ Mij, которые представлены в виде опросного листа с вопросами, ответы на которые позволяют осуществить их оценку G, где:

i – номер направления системы информационной безопасности (далее – СИБ) или требования системы менеджмента информационной безопасности (далее – СМИБ);

j – номер показателя ИБ направления СИБ или требования СМИБ.

Форма опросного листа, предназначенная для заполнения при проведении оценки уровня соответствия, приведена в приложении.

6. Оценка G показателя ИБ Mij осуществляется на основании установленной проверяющей группой (лицом) или аудитором степени выполнения требований СФУТ 9.03-2025 посредством квалифицированной оценки.

Оценивание показателя ИБ Mij осуществляется путем проставления символа "Х" в соответствующую графу формы опросного листа.

7. Для показателей ИБ устанавливается следующая шкала степени их выполнения:

"не выполняется" – оценке присваивается значение, равное 0;

"выполняется частично" – оценке присваивается значение 0,25, 0,5 или 0,75;

"выполняется" – оценке присваивается значение, равное 1.

Если показатель ИБ предназначен для оценки требований, которые на момент оценки уровня соответствия не являются актуальными для банка (по причине технической невозможности или экономической нецелесообразности реализации требований), что отражено в документах банка, то такой показатель ИБ определяется как неоцениваемый (заполняется графа "н/о" – нет оценки) и не учитывается в формировании результатов итогового уровня соответствия ИБ банка требованиям СФУТ 9.03-2025.

8. В зависимости от содержания требования ИБ их показатели оцениваются по:

степени документированности;

степени выполнения требования ИБ;

степени документированности и выполнения требования ИБ.

9. При проведении оценки показателей, для которых оценивается только степень документированности, выставляются следующие оценки:

"0" – требования показателя ИБ не установлены во внутренних документах банка;

"1" – требования показателя ИБ установлены во внутренних документах банка.

10. При проведении оценки показателей, для которых оценивается только степень выполнения требования ИБ, выставляются следующие оценки:

"0" – требования показателя ИБ не выполняются;

"0,5" – требования показателя ИБ выполняются в неполном объеме;

"1" – требования показателя ИБ выполняются в полном объеме.

11. При проведении оценки показателей, для которых оценивается как степень документированности, так и степень их выполнения, выставляются следующие оценки:

"0" – требования показателя ИБ не установлены во внутренних документах банка и не выполняются;

"0,25" – требования показателя ИБ не установлены во внутренних документах банка, но выполняются в неполном объеме;

"0,5" – требования показателя ИБ установлены во внутренних документах банка, но не выполняются;

"0,75" – требования показателя ИБ установлены во внутренних документах банка, но выполняются в неполном объеме;

"1" – требования показателя ИБ установлены во внутренних документах банка и выполняются в полном объеме.

12. Оценка показателя ИБ основывается на свидетельствах, в качестве источников которых используются:

внутренние документы банка и иные документы, относящиеся к обеспечению ИБ банка;

информация от работников банка, полученная по результатам их интервьюирования;

результаты наблюдений проверяющей группы (лица) или аудитора в ходе проведения оценки.

13. Источники полученных свидетельств документируются в графе "Источник свидетельств" формы опросного листа (внутренние документы, результаты опроса работников банка, наблюдения проверяемых лиц).

Глава 3. Установление способа оценивания СИБ банка на основании оценки выполнения требований, определенных в разделе II СФУТ 9.03-2025

14. Оценка реализации базовых требований к СИБ банка определяется с помощью показателей ИБ, позволяющих оценить степень выполнения требований ИБ СФУТ 9.03-2025 по следующим направлениям:

обеспечение антивирусной защиты;

обеспечение безопасной разработки программного обеспечения (далее – ПО);

обеспечение безопасности автоматизированных рабочих мест (далее – АРМ);

обеспечение безопасности при работе с глобальной компьютерной сетью Интернет (далее – сеть Интернет);

обеспечение безопасности серверного оборудования;

обеспечение безопасности среды виртуализации;

обеспечение ИБ автоматизированной банковской системы (далее – АБС) на стадиях ее жизненного цикла;

обеспечение криптографической защиты информации с применением средств криптографической защиты информации (далее – СКЗИ);

обеспечение физической безопасности;

обучение и повышение осведомленности по вопросам ИБ;

предотвращение утечек конфиденциальной информации;

управление доступом;

управление событиями и инцидентами ИБ;

управление уязвимостями.

15. Оценка степени выполнения требований СФУТ 9.03-2025 для отдельного направления СИБ Ni определяется как среднеарифметическое всех оценок G показателей ИБ Mij, входящих в данное направление СИБ, и вычисляется по формуле

где i – номер направления СИБ (i = [1,14]);

j – номер показателя ИБ в направлении СИБ;

n – количество всех оцениваемых показателей ИБ в направлении СИБ.

16. Если все показатели ИБ направления СИБ, предназначенные для оценки требований, на момент оценки уровня соответствия не являются актуальными для банка (по причине технической невозможности или экономической нецелесообразности реализации требований), что отражено в документах банка, то расчет оценки степени выполнения требований СФУТ 9.03-2025 для этого направления СИБ не осуществляется.

17. Оценка степени соответствия требований СИБ банка требованиям СФУТ 9.03-2025 LСИБ определяется как среднеарифметическое оценок степени выполнения требований всех актуальных направлений СИБ и вычисляется по формуле

где i – номер направления СИБ;

k – количество актуальных направлений СИБ.

Глава 4. Установление способа оценивания СМИБ банка на основании оценки выполнения требований, определенных в разделе III СФУТ 9.03-2025

18. Оценка организации и обеспечения функционирования СМИБ банка определяется с помощью показателей ИБ, позволяющих оценить степень выполнения СМИБ следующих требований СФУТ 9.03-2025:

требования к организации и функционированию подразделения ИБ банка;

требования к определению области действия СМИБ;

требования к выбору подхода к оценке рисков ИБ и проведению оценки рисков ИБ;

требования к разработке и реализации процесса обработки рисков ИБ;

требования к разработке документов, регламентирующих деятельность в области обеспечения ИБ;

требования к принятию руководством банка решений о реализации и эксплуатации СМИБ;

требования к разработке и реализации программ по обучению и повышению осведомленности работников банка в области ИБ;

требования к организации обнаружения инцидентов ИБ и реагирования на них;

требования к организации обеспечения непрерывности ИБ и ее восстановления после сбоев;

требования к мониторингу и оценке эффективности СМИБ;

требования к проведению внутреннего аудита ИБ;

требования к анализу функционирования СМИБ;

требования к анализу СМИБ со стороны руководства банка;

требования к принятию решений по улучшению СМИБ.

19. Оценка степени выполнения СМИБ отдельного требования СФУТ 9.03-2025 Ni определяется как среднеарифметическое всех оценок G показателей ИБ Mij, входящих в данное требование СМИБ, и вычисляется по формуле

где i – номер требования СМИБ (i = [15,28]);

j – номер показателя ИБ в требовании СМИБ;

n – количество всех оцениваемых показателей ИБ в требовании СМИБ.

20. Оценка степени соответствия требований СМИБ банка требованиям СФУТ 9.03-2025 LСМИБ определяется как среднеарифметическое оценок степени выполнения всех требований СМИБ и вычисляется по формуле

где i – номер требования СМИБ.

Глава 5. Определение итогового уровня соответствия ИБ банка требованиям СФУТ 9.03-2025

21. Итоговая оценка степени соответствия требований ИБ банка требованиям СФУТ 9.03-2025 L вычисляется по формуле

22. Если оценка L лежит в интервале [0;0,25), то присваивается нулевой уровень соответствия ИБ требованиям СФУТ 9.03-2025.

Если оценка L лежит в интервале [0,25;0,5), то присваивается первый (неудовлетворительный) уровень соответствия ИБ требованиям СФУТ 9.03-2025.

Если оценка L лежит в интервале [0,5;0,75), то присваивается второй (удовлетворительный) уровень соответствия ИБ требованиям СФУТ 9.03-2025.

Если оценка L лежит в интервале [0,75;0,85), то присваивается третий (хороший) уровень соответствия ИБ требованиям СФУТ 9.03-2025.

Если оценка L лежит в интервале [0,85;0,95), то присваивается четвертый (достаточный) уровень соответствия ИБ требованиям СФУТ 9.03-2025.

Если оценка L лежит в интервале [0,95;1], то присваивается пятый (высокий) уровень соответствия ИБ требованиям СФУТ 9.03-2025.

23. Полученное в результате оценки степени выполнения требований значение L является основой для формирования заключения по результатам оценки уровня соответствия.

24. Система обеспечения ИБ банка считается организованной и функционирующей при достижении четвертого (достаточного) и пятого (высокого) уровней соответствия ИБ требованиям СФУТ 9.03-2025.

 

Приложение

к Стандарту финансовых услуг и технологий СФУТ 9.05-2026 "Банковская деятельность. Обеспечение информационной безопасности. Оценка уровня соответствия информационной безопасности банков требованиям СФУТ 9.03-2025"

Форма

Опросный лист при проведении оценки уровня соответствия ИБ банка требованиям СФУТ 9.03-2025

Обозначение показателя ИБ, Mij	Показатель ИБ	Оценка показателя ИБ*, G						Источник свидетельств
		0	0,25	0,5	0,75	1	н/о
Показатели ИБ по направлению СИБ
Показатели по направлению СИБ "Обеспечение антивирусной защиты", М1