Серверное направление: только часть IT-компаний могут допустить к банковской тайне
Рабочая группа правительственной подкомиссии по развитию ИИ предложила разрешить финорганизациям передавать обработку и хранение данных — включая банковскую тайну и другие сведения ограниченного доступа — только тем IT-компаниям, которые владеют собственными серверами, узнал Forbes. В случае принятия инициативы банкам будет проще работать с внешними подрядчиками (облачными сервисами и дата-центрами), но, как предупреждают юристы, рынок IT-аутсорсинга рискует остаться доступным только крупнейшим игрокам. Не у всех провайдеров есть собственное оборудование, значительная его часть приобретается в лизинг, указывают эксперты
«Позволит снизить расходы»
Рабочая группа «Инфраструктура и ЦОДы для искусственного интеллекта» правительственной подкомиссии подготовила поправки к законопроекту об использовании облачных услуг финансовыми организациями и об IT-аутсорсинге. Forbes ознакомился с проектом, его содержание подтвердил собеседник, знакомый с документом.
В проекте рабочей группы уточняется определение IT-компании, которую финансовые организации вправе привлечь к размещению, обработке и хранению данных, в том числе банковской тайны и других сведений ограниченного доступа: это IT-компании с аккредитацией, «оказывающие услуги по размещению, хранению и обработке информации на вычислительных мощностях (серверах), принадлежащих привлекаемой организации». В законопроекте, принятом Госдумой в первом чтении еще в 2023 году, говорится, что привлекаемыми организациями могут быть любые IT-компании с аккредитацией, а также другие организации финансового рынка.
Согласно поправкам к законопроекту, подготовленным рабочей группой, привлекаемые организации обязаны информировать финансовые организации «об инцидентах, связанных с нарушением требований к обеспечению защиты информации» в течение двух часов после их выявления привлекаемой организаций.
Forbes направил запрос в Сбербанк (старший вице-президент банка Андрей Белевцев председательствует в рабочей группе).
Главе комитета по финансовому рынку Госдумы и одному из авторов законопроекта, депутату Госдумы Анатолию Аксакову известно о поправке в части уточнения определения привлекаемой организации. «Знаю и морально поддерживаю», — сообщил он Forbes. Аксаков допускает, что облачным сервисам может быть разрешена обработка данных финансовых организаций, в том числе банковской тайны. «Это позволит снизить расходы организаций, поскольку для обработки цифровых данных требуются большие вычислительные мощности, это, соответственно, большие затраты», — поясняет он.
Помимо экономии, это, по его мнению, позволит также обмениваться опытом, знаниями и «может дать синергетический эффект на развитие технологий и обработку информации, которая будет поступать в облачную систему». Депутат не стал комментировать причины столь длительного, уже более чем трехлетнего рассмотрения законопроекта, но сообщил, что второе чтение должно состояться в этом году.
В Минцифры поддерживают проект рабочей группы. «Предлагаемые изменения направлены на устранение регуляторных ограничений и расширение возможностей банков по использованию внешней IT-инфраструктуры. Такой подход позволит более эффективно использовать существующие мощности и инфраструктуру рынка. В перспективе это может сформировать дополнительный спрос на услуги коммерческих ЦОД и способствовать развитию соответствующего сегмента, — пояснили Forbes в пресс-службе министерства. — В целом Минцифры поддерживает это направление работы. Для дальнейшего развития IT-аутсорсинга важно продолжать работу по снятию избыточных регуляторных ограничений с учетом требований к надежности и безопасности информационных систем».
«Снимают главный правовой барьер»
Поправки распространяются как на облачные сервисы, так и на оборудование для вычислений и хранения данных в центрах обработки данных (ЦОД), рассуждает директор по взаимодействию с органами государственной власти РТК-ЦОД (входит в «Ростелеком») Дмитрий Панышев. «Важно различать: сейчас некоторые финансовые организации размещают свое оборудование в дата-центрах, но по услуге colocation (колокация — услуга по размещению серверов заказчика в ЦОД). В поправках же речь идет об облачных услугах размещения, хранения и обработки информации на вычислительных мощностях, принадлежащих привлекаемой организации», — говорит он.
Облачные провайдеры и ЦОДы, которые сдают в аренду собственные выделенные серверы, под норму подпадают, согласен руководитель направления «Разрешение It&Ip споров» «Рустам Курмаев и партнеры» Ярослав Шицле. «Классический colocation, когда сервер банка стоит в чужой стойке, формально не подпадает: оператор продает место, электричество и охлаждение, а данные не обрабатывает», — добавляет он.
Общий объем потребления облачных сервисов в России в 2025 году составил 487 млрд рублей, на рыночное потребление пришлось 417 млрд рублей (доля — 85%), следует из данных отчета агентства Apple Hills Digital (AHD), с которым ранее ознакомился Forbes. На внутреннее потребление корпораций пришлось около 15%, и оно наиболее существенно в финансовой отрасли и телекоме. Публичное облако (модель, когда провайдер предоставляет через интернет вычислительные ресурсы сразу многим клиентам, при этом сама физическая инфраструктура — серверы, дата-центры — принадлежит и управляется провайдером) доминирует: 92% рыночного потребления, или 383 млрд рублей. На прочие типы среды развертывания приходится лишь около 8% (34 млрд рублей). Объем российского рынка ЦОДов в 2025 году составил 100 млрд рублей, оценивали в МТС.
По словам Шицле, законодателям следует уточнить вопрос принадлежности вычислительных мощностей. «Принадлежащих» можно прочитать как право собственности. Тогда без ясного статуса остаются провайдеры, которые работают на лизинговом или арендованном оборудовании, на серверах компании своей группы или через субподрядчика. Для рынка, где значительная часть оборудования приобретается в лизинг, это серьезный вопрос. Правильнее было бы написать «принадлежащих на праве собственности или ином законном основании», — считает юрист.
Также, по его словам, следует снять риск в части привязки к IT-аккредитации. «Аккредитация задумана как инструмент налоговых льгот, и с 2026 года ее правила ужесточены. Не каждый ЦОД-оператор аккредитован, а аккредитацию можно потерять. Закон должен ответить на вопрос, что происходит с данными банка и договором, если провайдер утратил статус в середине контракта», — размышляет Шицле.
В целом, законопроект «положительный», говорит Панышев. Он позволит, по его словам, участникам регулируемого ЦБ рынка «использовать современные и экономически эффективные технологии, не создавая всю IT-экспертизу внутри себя, поскольку это затратно и является непрофильной для участников рынка деятельностью». «Поправки снимают главный правовой барьер, то есть риск, что передача данных подрядчику будет расценена как раскрытие банковской тайны. Но реальный эффект определит не закон, а требования Банка России к провайдерам, которые законопроект оставляет на усмотрение регулятора, — размышляет Шицле. — Если эти требования фактически обяжут перестроить ЦОД под банковские стандарты, рынок аутсорсинга останется доступен только крупнейшим игрокам».
