IT-Dienstleister für Finanzinstitute müssen Sicherheit nachweisen
Russlands Föderationsrat hat Sicherheitsvorgaben für IT-Auslagerungen und Cloud-Dienste im Finanzsektor gebilligt. Anbieter müssen die Einhaltung jährlich bestätigen; bei der Offenlegung ausgetauschter Informationen haften sie ebenso wie Finanzinstitute.
Meldepflicht und gemeinsame Haftung
Das vom Föderationsrat gebilligte Gesetz regelt IT-Auslagerungen und Cloud-Dienstleistungen für Finanzinstitute.
Es legt Anforderungen an die Informationssicherheit der Anbieter fest, die auch Daten mit beschränktem Zugang erfassen.
Banken, Versicherer und andere von der Bank von Russland beaufsichtigte Organisationen müssen der Zentralbank mitteilen, wenn sie solche Dienstleister beauftragen wollen.
Sowohl die Anbieter als auch die Finanzinstitute haften für die Offenlegung von Informationen, die sie miteinander austauschen.
Das Gesetz tritt ein Jahr nach seiner amtlichen Veröffentlichung in Kraft.
Ein konkretes Datum für das Inkrafttreten nennt die Mitteilung nicht.
Jährlicher Nachweis durch lizenzierte Prüfer
IT- und Cloud-Anbieter müssen jährlich bestätigen, dass sie die festgelegten Anforderungen erfüllen.
Dafür müssen sie eine Prüfungsgesellschaft beauftragen, die eine Lizenz des Föderalen Sicherheitsdienstes Russlands oder des Föderalen Dienstes für technische und Exportkontrolle Russlands besitzt.
Das Gesetz macht zudem Vorgaben für Verträge zwischen Finanzinstituten und ihren Auftragnehmern.
Laut Mitteilung soll es vor Cyberangriffen über die Infrastruktur der Anbieter schützen und das Risiko von Kundendatenlecks verringern.
Sicherheit endet nicht beim Institut
Die Vorgaben beziehen externe IT-Infrastruktur in den Schutz von Finanzinstituten ein.
Die Haftung für offengelegte Informationen trifft beide Vertragsseiten.
Der jährliche Nachweis ergänzt die Meldepflicht bei einer geplanten Beauftragung.