ФЕДЕРАЛЬНЫЙ ЗАКОН РОССИЙСКОЙ ФЕДЕРАЦИИ

от 2 ноября 2026 года №350-ФЗ

О внесении изменений в отдельные законодательные акты Российской Федерации

Принят Государственной Думой 14 октября 2026 года

Одобрен Советом Федерации 28 октября 2026 года

Статья 1

Внести в Федеральный закон "О банках и банковской деятельности" (в редакции Федерального закона от 3 февраля 1996 года №17-ФЗ) (Ведомости Съезда народных депутатов РСФСР и Верховного Совета РСФСР, 1990, №27, ст. 357; Собрание законодательства Российской Федерации, 1996, №6, ст. 492; 2012, №27, ст. 3588; №50, ст. 6954; №53, ст. 7605; 2013, №11, ст. 1076; №19, ст. 2329; №26, ст. 3207; №27, ст. 3438; №30, ст. 4084; №51, ст. 6699; 2014, №26, ст. 3395; №52, ст. 7543; 2015, №27, ст. 3950; №29, ст. 4357; 2017, №18, ст. 2661; 2018, №24, ст. 3400; №27, ст. 3950; №31, ст. 4852; №32, ст. 5100, 5115; 2019, №6, ст. 463; №49, ст. 6953; №52, ст. 7787; 2021, №27, ст. 5151; 2022, №1, ст. 40; №10, ст. 1401; №14, ст. 2190; №43, ст. 7271; №50, ст. 8792; 2023, №1, ст. 16; №25, ст. 4447; №31, ст. 5766, 5784; 2024, №31, ст. 4462; №33, ст. 4956, 4971; №48, ст. 7214; №53, ст. 8532; 2025, №7, ст. 541; №26, ст. 3493; №31, ст. 4633; №48, ст. 7236, 7242; 2026, №26, ст. 3464, 3469) следующие изменения:

1) статью 26 дополнить частями шестьдесят восьмой - семидесятой следующего содержания:

"Кредитная организация в случаях и порядке, которые предусмотрены статьей 30.2 настоящего Федерального закона, вправе передавать организации, указанной в части четвертой статьи 30.2 настоящего Федерального закона (далее - привлекаемая организация), сведения, содержащие банковскую тайну. Привлекаемая организация и ее работники обязаны хранить тайну об операциях, о счетах и вкладах клиентов и корреспондентов кредитной организации. За разглашение сведений, составляющих банковскую тайну, привлекаемая организация и ее работники несут ответственность, включая возмещение нанесенного ущерба, в порядке, установленном федеральным законом.

Кредитная организация в случаях и порядке, которые предусмотрены статьей 30.3 настоящего Федерального закона, вправе передавать иностранному банку сведения, содержащие банковскую тайну.

Кредитная организация, передающая иностранному банку сведения, содержащие банковскую тайну, в случаях и порядке, которые предусмотрены статьей 30.3 настоящего Федерального закона, обязана обеспечить хранение таким иностранным банком и его работниками тайны об операциях, о счетах и вкладах клиентов и корреспондентов кредитной организации.";

2) дополнить статьями 30.2 и 30.3 следующего содержания:

"Статья 30.2. Отношения между кредитной организацией и организацией, привлекаемой к обработке информации ограниченного доступа

Кредитная организация в соответствии с порядком и требованиями, которые установлены Банком России на основании статьи 57.5-3 Федерального закона от 10 июля 2002 года №86-ФЗ "О Центральном банке Российской Федерации (Банке России)", вправе поручить по истечении 60 дней, следующих за днем направления уведомления в Банк России в соответствии с частью второй настоящей статьи, при отсутствии решения Банка России, принятого на основании пункта 1 части третьей статьи 57.5-3 Федерального закона от 10 июля 2002 года №86-ФЗ "О Центральном банке Российской Федерации (Банке России)", привлекаемой организации с учетом ограничений, установленных законодательством Российской Федерации, осуществление сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) с использованием информационных систем и их компонентов, принадлежащих на законном основании привлекаемой организации и находящихся на территории Российской Федерации, на основании заключенного в соответствии с гражданским законодательством с привлекаемой организацией договора. Кредитная организация вправе поручить привлекаемой организации осуществление сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения персональных данных в соответствии с настоящей частью без согласия субъектов персональных данных при условии соответствия договора, предусмотренного настоящей частью, требованиям части 3 статьи 6 Федерального закона от 27 июля 2006 года №152-ФЗ "О персональных данных". Привлекаемая организация, которой кредитная организация поручила осуществлять указанные в настоящей части действия с информацией ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), осуществляет с такой информацией только те действия, которые соответствуют правам и обязанностям данной кредитной организации при обработке такой информации.

Кредитная организация обязана уведомить Банк России о намерении поручить привлекаемой организации осуществление указанных в части первой настоящей статьи действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) до такого поручения.

К уведомлению, указанному в части первой настоящей статьи, прилагаются заключение и (или) отчет организации, которая имеет лицензии федерального органа исполнительной власти, уполномоченного в области противодействия техническим разведкам и технической защиты информации, и (или) федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности, полученные в порядке, предусмотренном законодательством Российской Федерации, и соответствует требованиям, установленным на основании пункта 3 части первой статьи 57.5-3 Федерального закона от 10 июля 2002 года №86-ФЗ "О Центральном банке Российской Федерации (Банке России)", а также в соответствии с требованиями, установленными на основании статьи 57.5-3 Федерального закона от 10 июля 2002 года №86-ФЗ "О Центральном банке Российской Федерации (Банке России)", проводит операционный аудит привлекаемой организации, включая оценку соответствия привлекаемой организации установленным на основании пункта 1 части первой статьи 57.5-3 Федерального закона от 10 июля 2002 года №86-ФЗ "О Центральном банке Российской Федерации (Банке России)" требованиям к обеспечению защиты информации и требованиям к операционной надежности (далее для целей настоящей статьи - проверяющая организация). Указанное уведомление направляется в форме электронного документа, подписывается усиленной квалифицированной электронной подписью уполномоченного лица и должно содержать следующие сведения:

1) наименование, адрес кредитной организации;

2) фамилии, имена, отчества (при наличии), номера контактных телефонов, адреса электронной почты работников привлекаемой организации, которые осуществляют функции по обеспечению информационной безопасности привлекаемой организации, а также специальных должностных лиц привлекаемой организации, ответственных за обеспечение сохранности информации ограниченного доступа;

3) наименование привлекаемой организации, которой планируется поручить осуществление указанных в части первой настоящей статьи действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне);

4) сведения, подтверждающие соответствие привлекаемой организации требованиям, установленным настоящей статьей, и соответствие проверяющей организации требованиям, установленным на основании статьи 57.5-3 Федерального закона от 10 июля 2002 года №86-ФЗ "О Центральном банке Российской Федерации (Банке России)".

Под привлекаемыми организациями понимаются организации, осуществляющие деятельность в области информационных технологий, аккредитованные в порядке, установленном законодательством Российской Федерации, а также банки с универсальной лицензией, которые находятся под контролем Российской Федерации, и (или) субъекта Российской Федерации, и (или) муниципального образования, и (или) гражданина Российской Федерации, не имеющего гражданства другого государства, и (или) контролируемых ими совместно или по отдельности лиц. Для целей настоящей статьи под контролем понимается возможность определять решения, принимаемые банками с универсальной лицензией, находящимися под контролем Российской Федерации, и (или) субъекта Российской Федерации, и (или) муниципального образования, и (или) гражданина Российской Федерации, не имеющего гражданства другого государства, и (или) контролируемых ими совместно или по отдельности лиц, указанными в настоящей части, в силу наличия права прямо или косвенно распоряжаться более чем 50 процентами общего количества голосов, приходящихся на голосующие акции (доли), составляющие уставный капитал данных банков с универсальной лицензией, находящихся под контролем Российской Федерации, и (или) субъекта Российской Федерации, и (или) муниципального образования, и (или) гражданина Российской Федерации, не имеющего гражданства другого государства, и (или) контролируемых ими совместно или по отдельности лиц.

Привлекаемая организация и ее работники в соответствии с порядком и требованиями, которые установлены Банком России на основании статьи 57.5-3 Федерального закона от 10 июля 2002 года №86-ФЗ "О Центральном банке Российской Федерации (Банке России)", обязаны обеспечить защиту полученной от кредитной организации в соответствии с настоящим Федеральным законом и другими федеральными законами информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), в том числе контроль за отсутствием факта несанкционированного доступа к указанной информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), и в случае ее разглашения несут ответственность в соответствии с законодательством Российской Федерации и договором, заключенным в соответствии с гражданским законодательством между привлекаемой организацией и кредитной организацией.

Привлекаемая организация в соответствии с требованиями, установленными на основании статьи 57.5-3 Федерального закона от 10 июля 2002 года №86-ФЗ "О Центральном банке Российской Федерации (Банке России)", осуществляет внутренний контроль и ежегодно проводит операционный аудит, включая оценку соответствия привлекаемой организации установленным на основании пункта 1 части первой статьи 57.5-3 Федерального закона от 10 июля 2002 года №86-ФЗ "О Центральном банке Российской Федерации (Банке России)" требованиям к обеспечению защиты информации и требованиям к операционной надежности, с привлечением проверяющей организации. Подготовленные по результатам проведения операционного аудита привлекаемой организации заключение и (или) отчет проверяющей организации направляются в кредитную организацию, которая поручила привлекаемой организации в соответствии с частью первой настоящей статьи осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), привлекаемую организацию, а также в Банк России.

Привлекаемая организация обязана уведомить кредитную организацию, которая поручила привлекаемой организации в соответствии с частью первой настоящей статьи осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), о намерении расторгнуть договор, предусмотренный частью первой настоящей статьи, не позднее шести месяцев до предполагаемой даты расторжения этого договора и обеспечить сохранность такой информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне) до момента ее передачи указанной кредитной организации. Кредитная организация, которая в соответствии с частью первой настоящей статьи поручила привлекаемой организации осуществление действий в отношении информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), до предполагаемой даты расторжения договора, предусмотренного частью первой настоящей статьи, обязана принять от привлекаемой организации ранее переданную ей указанной кредитной организацией информацию ограниченного доступа (за исключением сведений, отнесенных к государственной тайне).

Договором, указанным в части первой настоящей статьи, должны быть предусмотрены:

1) порядок направления привлекаемой организацией в кредитную организацию на ежеквартальной основе информации о соблюдении целевых показателей оказания услуг привлекаемой организацией в части обеспечения защиты информации и операционной надежности, а также состав такой информации;

2) формы и порядок направления привлекаемой организацией в кредитную организацию информации об инцидентах, связанных с нарушением требований к обеспечению защиты информации, инцидентах, связанных с нарушением требований к операционной надежности, которые произошли в период деятельности привлекаемой организации, осуществляемой на основании указанного договора, в течение двух часов с момента их выявления привлекаемой организацией;

3) ответственность привлекаемой организации и ее работников за разглашение полученной от кредитной организации в соответствии с настоящим Федеральным законом и другими федеральными законами информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне);

4) порядок направления уведомления, предусмотренного частью седьмой настоящей статьи.

Привлекаемая организация должна соответствовать следующим требованиям:

1) в отношении привлекаемой организации не проводится процедура ликвидации юридического лица, не принято решение о ее исключении из единого государственного реестра юридических лиц в соответствии с законодательством Российской Федерации о государственной регистрации юридических лиц, отсутствует решение (определение) арбитражного суда о введении процедуры банкротства в соответствии с законодательством Российской Федерации о несостоятельности (банкротстве), а также в течение последних двух лет не принимались меры в соответствии с частью двадцать второй статьи 74 Федерального закона от 10 июля 2002 года №86-ФЗ "О Центральном банке Российской Федерации (Банке России)";

2) в штате привлекаемой организации имеются работники, которые осуществляют функции по обеспечению информационной безопасности привлекаемой организации, а также специальные должностные лица, ответственные за обеспечение сохранности информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), указанной в части первой настоящей статьи;

3) у руководителя привлекаемой организации отсутствует неснятая или непогашенная судимость за совершение преступления в сфере экономики или преступления в сфере компьютерной информации;

4) привлечение привлекаемой организации и взаимодействие с ней осуществляются в соответствии с порядком, установленным на основании части первой статьи 57.5-3 Федерального закона от 10 июля 2002 года №86-ФЗ "О Центральном банке Российской Федерации (Банке России)";

5) привлекаемая организация осуществляет внутренний контроль и ежегодно проводит операционный аудит, включая оценку соответствия привлекаемой организации требованиям к обеспечению защиты информации и требованиям к операционной надежности, установленным на основании пункта 1 части первой статьи 57.5-3 Федерального закона от 10 июля 2002 года №86-ФЗ "О Центральном банке Российской Федерации (Банке России)", с привлечением проверяющей организации;

6) привлекаемая организация, лицо, осуществляющее функции единоличного исполнительного органа привлекаемой организации, отсутствуют в перечне организаций и физических лиц, в отношении которых имеются сведения об их причастности к экстремистской деятельности или терроризму, либо в составляемых в рамках реализации полномочий, предусмотренных главой VII Устава ООН, Советом Безопасности ООН или органами, специально созданными решениями Совета Безопасности ООН, перечнях организаций и физических лиц, связанных с террористическими организациями и террористами или распространением оружия массового уничтожения;

7) в отношении привлекаемой организации, лица, осуществляющего функции единоличного исполнительного органа привлекаемой организации, отсутствует принятое межведомственным координационным органом, осуществляющим функции по противодействию финансированию терроризма и экстремистской деятельности, решение о замораживании (блокировании) денежных средств или иного имущества лица в соответствии со статьей 7.4 Федерального закона от 7 августа 2001 года №115-ФЗ "О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма";

8) привлекаемая организация, лицо, осуществляющее функции единоличного исполнительного органа привлекаемой организации, не являются блокируемыми лицами в соответствии с частью 2.1 статьи 3 Федерального закона от 30 декабря 2006 года №281-ФЗ "О специальных экономических мерах и принудительных мерах";

9) привлекаемая организация, лицо, осуществляющее функции единоличного исполнительного органа привлекаемой организации, не являются лицами, осуществляющими деятельность на территории Российской Федерации без полученной в установленном порядке лицензии, в случае, если законодательство Российской Федерации в отношении такой деятельности предусматривает ее наличие, либо лицами, оказывающими услуги с использованием сайта в информационно-телекоммуникационной сети "Интернет", в случае, если доменное имя этого сайта, указатель страницы этого сайта содержатся в Едином реестре доменных имен, указателей страниц сайтов в информационно-телекоммуникационной сети "Интернет" и сетевых адресов, позволяющих идентифицировать сайты в информационно-телекоммуникационной сети "Интернет", содержащие информацию, распространение которой в Российской Федерации запрещено;

10) лицо, осуществляющее функции единоличного исполнительного органа привлекаемой организации, не включено в реестр контролируемых лиц, предусмотренный законодательством о правовом положении иностранных граждан в Российской Федерации;

11) привлекаемая организация не отнесена Банком России к высокой степени (уровню) риска совершения подозрительных операций в соответствии со статьей 9.1 Федерального закона от 10 июля 2002 года №86-ФЗ "О Центральном банке Российской Федерации (Банке России)";

12) привлекаемая организация соответствует иным требованиям, установленным Банком России на основании статьи 57.5-3 Федерального закона от 10 июля 2002 года №86-ФЗ "О Центральном банке Российской Федерации (Банке России)".

В случае разглашения привлекаемой организацией и (или) ее работниками информации ограниченного доступа (за исключением сведений, отнесенных к государственной тайне), полученной от кредитной организации в соответствии с настоящим Федеральным законом и другими федеральными законами, кредитная организация и привлекаемая организация несут ответственность в соответствии с законодательством Российской Федерации.

Кредитная организация обязана хранить с использованием информационных систем и их компонентов сведения о совершенных клиентами операциях (сделках) не менее пяти лет с момента их совершения.

Действие положений частей первой - десятой настоящей статьи не распространяется на вытекающие из договоров отношения кредитной организации с банковскими платежными агентами, операторами услуг информационного обмена, поставщиками платежных приложений, операционными центрами и платежными клиринговыми центрами, а также на случаи осуществления трансграничного перевода денежных средств и случаи передачи информации для рассмотрения заявлений клиентов участников платежной системы, касающихся использования электронных средств платежа без добровольного согласия клиентов, в соответствии с Федеральным законом от 27 июня 2011 года №161-ФЗ "О национальной платежной системе".

Статья 30.3. Особенности взаимодействия банка с универсальной лицензией, находящегося под контролем иностранного банка, и иностранного банка, привлекаемого к обработке информации ограниченного доступа