Сравнение 757-П ЦБ РФ и утратившего силу 684-П

Брокеры, дилеры, управляющие, депозитарии и регистраторы, определенные в абзаце 10, пп.2.1.11 Положения 481-П:

на лицензиатов, которые вне зависимости от фактических значений показателей деятельности на постоянной основе соблюдают лицензионные требования и условия, установленные подпунктами 2.1.1 - 2.1.9, 2.1.12 настоящего пункта, пунктами 2.2 - 2.7 настоящего Положения в отношении лицензиатов, определивших годовой диапазон, соответствующий графе 5 приложения к настоящему Положению.

(пп. 2.1.11 введен Указанием Банка России от 17.12.2018 N 5013-У)

Добавились (с 01.01.2022):

• оператор инвестиционной платформы (2-4 квартал более 100к лиц обслужили);
• оператор финансовой платформы (2-4 квартал более 100к лиц обслужили);
• оператор информационных систем, которые выпускают ЦФА (2-4 квартал более 25к лиц обслужили);
• оператор обмена ЦФА (2-4 квартал более 25к лиц обслужили)

• Специализированные депозитарии инвестиционных фондов (ИФ), паевых ИФ и остальных НПФ, ранее не указанных;
• Брокеры, дилеры, управляющие, депозитарии и регистраторы, не попадающие в п.1.4.3;
• Управляющие компании ИФ, паевых ИФ и НПФ;
• Форекс-дилеры;
• Операторы финансовой платформы, не указанные в п.1.4.3;
• Операторы информационных систем, выпускающих ЦФА, не указанные в п.1.4.3;
• Оператор обмена ЦФА, не указанный в п.1.4.3;
• Страховые, не указанные в п.1.4.3;
• Общества взаимного страхования;
• Страховые брокеры;

При проведении пентестов:

В случае выявления уязвимостей ИБ, НФО (стандартный и усиленный) должны устранять такие уязвимости в соответствии с установленными в ОРД правилами (порядок, сроки), которые регламентируют процедуры нейтрализации угроз

Теперь нужно проводить оценку соответствия по требованиям к ОУД.4.

Для усиленного: в случае сертификации ПО должны обеспечить сертификацию не ниже 4 уровня доверия (приказ ФСТЭК № 76 от 2.06.2020)

Для стандартного – не ниже 5 уровня доверия

Добавились требования о применении мер защиты по использованию УКЭП, УЭП или иных СКЗИ, реализующих функцию имитозащиты.

Такие меры не применяются в случае, если используются выделенные сегменты вычислительных сетей И такие меры определены как НЕактуальные в модели угроз

Технология обработки информации на стороне клиентов должна обеспечивать:

При использовании ЕИС ПДн (в том числе биометрии) соответствовать требованиям Приказа ФСТЭК № 21;

При использовании ЕСИА – соответствовать требованиям Приказа Минкомсвязи № 210

Был п.2 684-П, в котором было требование по отношению ко всем НФО.

Сейчас требование действует только для НФО, соответствующих минимальному, стандартному и усиленному

Добавилось условие: перечень типов инцидентов согласуется с ФОИВ и размещается на сайте БР. НФО должны информировать БР о принятых мерах и мероприятиях по реагированию на инцидент.

НФО должны информировать БР об используемых сайтах, необходимых для деятельности в сфере фин. Рынков.

Информирование должно осуществляться через АС или техническую инфраструктуру БР (если такое невозможно, то НФО предоставляют в БО сведения через резервный способ взаимодействия)

Глава 2 (для операторов финансовой платформы, регистратора финансовых транзакций)

с 01.01.2022

Глава 3 (ОИС, выпускающие ЦФА, оператор обмена ЦФА)

с 01.01.2022