Максим Ривтин, основатель Cityhost.ua: Анализируем требования Нацбанка к финансовым учреждениям по использованию облака
Использование облачных технологий позволяет украинскому бизнесу быстро адаптировать ИТ-инфраструктуру под текущие потребности и без значительных затрат масштабировать ресурсы. В то же время, передача данных и части инфраструктуры внешнему провайдеру создает дополнительные риски для информационной безопасности. Чтобы их минимизировать, Национальный банк Украины установил некоторые правила использования облачных услуг банками, финансовыми компаниями и платежными учреждениями. Теперь договоры с облачными провайдерами должны соответствовать определенным НБУ требованиям, а сам факт заключения такого договора финансовое учреждение должно сообщать регулятору. Основатель Cityhost.ua Максим Ривтин рассказал, на что обращает внимание НБУ, какие положения обязательно должны быть предусмотрены договором и что нужно учитывать при выборе поставщика облачных услуг.
Постановление Правления НБУ от 25.08.2025 № 99, которым утверждено Положение о порядке применения технологии облачных вычислений, стало реакцией регулятора на рост роли внешних ИТ-поставщиков в работе финансового сектора и усиление киберугроз. Документ был обнародован 2 сентября 2025, а в силу вступил 1 ноября 2025 года. Для финансовых учреждений предусмотрели шестимесячный переходный период, в течение которого они должны были привести действующие договоры в соответствие с новыми правилами. Поэтому в полной мере требования постановления оказались обязательными для рынка с 1 мая 2026 года.
До появления новых правил финансовый сектор руководствовался постановлением НБУ от 08.03.2022 г. № 42. Она позволила банкам хранить и обрабатывать персональные данные клиентов и банковскую тайну, а также осуществлять процессинг на оборудовании, расположенном в странах Европейского Союза, Великобритании, США или Канаде. Эта норма установлена на период действия военного положения и в течение двух лет после прекращения, поэтому продолжает действовать и сегодня.
«Проблема заключалась в том, что предыдущие правила преимущественно определяли, где могут храниться данные, но не устанавливали четких требований к выбору провайдера, содержанию договора или необходимых сертификатов. Постановление № 99 перевело временное разрешение в системную модель регулирования и закрыло эти пробелы», – объясняет основатель Cityhost.ua Максим Ривтин.
Новые требования распространяются на банки, поставщики финансовых услуг, операторы и участники платежных систем, а также технологические операторы платежных услуг. Положение включает основные модели облачных сервисов — IaaS, PaaS, SaaS и SECaaS. При этом регулятор не устанавливает ограничений типа облака: допускается использование частной, коллективной, публичной или гибридной инфраструктуры.
Фактически под действие требований попадают все внешние облачные ресурсы, используемые финансовой компанией в своей работе:
Особое внимание постановление уделяет цепным облачным услугам. Например, финансовое учреждение может заключить договор с SaaS-провайдером, который в свою очередь размещает информацию в инфраструктуре другого облачного поставщика. Если партнер не отвечает требованиям регулятора, возникает дополнительный риск. Именно поэтому провайдер должен заранее сообщать клиенту об изменениях партнеров или субподрядчиков, если такие изменения могут повлиять на исполнение договорных обязательств.
Непосредственных регуляторных требований к облачным провайдерам постановление не устанавливает, поскольку НБУ оценивает финансовое учреждение, его договор с поставщиком и систему управления рисками. В то же время, выполнение этих требований на практике невозможно без соответствующей готовности самого провайдера. Поэтому при его выборе следует обратить внимание на следующие критерии:
Раздел IV Положение предусматривает 18 обязательных положений, учитываемых в договоре. Если рассмотреть их с практической точки зрения, они охватывают пять основных направлений:
После вступления в силу постановления НБУ №99 выбор облачного провайдера для финансового учреждения уже нельзя сводить только к сравнению стоимости и техническим характеристикам. Теперь это комплексная проверка юридических, технических и рисков безопасности. Чтобы снизить потенциальные угрозы, организациям следует действовать по последовательному алгоритму:
«Раньше многие финансовые компании при выборе облачной инфраструктуры прежде сравнивали цену и доступные ресурсы, а вопросы безопасности отходили на второй план. Постановление №99 не принесло принципиально новых требований к безопасности. Она скорее поставила безопасность на один уровень со стоимостью услуг, отмечает основатель Cityhost.ua Максим Ривтин. — Теперь финансовые клиенты сразу спрашивают пакет подтверждающих документов: сертификаты, информацию о партнерах, порядок уведомления об инцидентах и процедуру удаления данных. Если провайдер не может быстро предоставить эти документы, до обсуждения стоимости его услуг дело просто не доходит, — объясняет Ривтин Максим».
Постановление Национального банка Украины №99 от 25 августа 2025 года не запретило финансовым учреждениям использовать облачные технологии. Ее цель – сделать такое использование контролируемым и предсказуемым. Теперь проверка провайдера, приведение договоров в соответствие с новыми правилами и подготовленный пакет подтверждающих документов является важным условием работы с финансовым сектором. Для компаний, не относящихся к финансовой сфере, эти требования напрямую не являются обязательными. Однако они могут служить полезным ориентиром при выборе любой облачной услуги – от доступного виртуального хостинга до комплексной корпоративной инфраструктуры.
- Последние
- Популярные
- Сентябрь, 24
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
Новости по дням
25 сентября 2026
