Какая финансовая организация является субъектом КИИ? #ibbank

8-го февраля Правительство утвердило Постановление №127 об утверждении показателей категорирования объектов критической информационной инфраструктуры. Учитывая, что в эти дни под Магнитогорском проходит 10-й юбилейный форум по информационной безопасности организаций финансовой сферы, и в пятницу будет заседание, посвященное как раз обсуждению финансовой организации как субъекта КИИ, я решил пробежаться глазами по установленным критериям и понять, кто из финансовых структур попадет под раздачу. Тут надо сразу оговориться, что субъектами КИИ являются все финансовые организации, а вот значимыми объектами КИИ обладать будут далеко не все из них. Принятое ПП-127 касается как раз вопроса о том, какие объекты КИИ будут признаны значимыми.

Итак, из 5 критериев значимости к финансовым организациям относится только 3-й, "Экономическая значимость". Ни социальной, ни политической, ни экологической значимости, ни тем более значимости для обороноспособности страны, финансовые организации не имеют. Остается только экономическая значимость, в рамках которой выделяется всего 3 показателя:

1. Возникновение ущерба субъекту критической информационной инфраструктуры, который является государственной корпорацией, государственным унитарным предприятием, муниципальным унитарным предприятием, государственной компанией, организацией с участием государства и (или) стратегическим акционерным обществом, стратегическим предприятием, оцениваемого в снижении уровня дохода (с учетом налога на добавленную стоимость, акцизов и иных обязательных платежей) по всем видам деятельности (процентов прогнозируемого объема годового дохода по всем видам деятельности)
2. Возникновение ущерба бюджетам Российской Федерации, оцениваемого:
• в снижении доходов федерального бюджета (процентов прогнозируемого годового дохода бюджета);
• в снижении доходов бюджета субъекта Российской Федерации (процентов прогнозируемого годового дохода бюджета);
• в снижении доходов бюджетов государственных внебюджетных фондов (процентов прогнозируемого годового дохода бюджета)
3. Прекращение или нарушение проведения клиентами операций по банковским счетам и (или) без открытия банковского счета или операций, осуществляемых субъектом критической информационной инфраструктуры, являющимся в соответствии с законодательством Российской Федерации системно значимой кредитной организацией, оператором услуг платежной инфраструктуры системно и (или) социально значимых платежных систем или системно значимой инфраструктурной организацией финансового рынка, оцениваемое среднедневным (по отношению к числу календарных дней в году) количеством осуществляемых операций, (млн. единиц) (расчет осуществляется по итогам года, а для создаваемых объектов - на основе прогнозных значений).

Кто попадает под первый критерий? Финансовых организаций, которые являются ГУПом, МУПом, госкорпорацией или госкомпанией у нас нет. А вот финансовыми структурами с участием государства у нас являются:

• Банк России
• Сбербанк
• Внешэкономбанк
• Национальный Клиринговый Центр 
• ВТБ
• Россельхозбанк
• Газпромбанк
• Глобэкс (как дочка ВЭБ)
• Связь-Банк (как дочка ВЭБ)
• МСП Банк (как дочка Федеральной корпорация по развитию малого и среднего предпринимательства)
• Российский капитал (как дочка АИЖК)
• ВБРР
• Почта Банк (как дочка ВТБ и Почты России)
• РНКБ (как дочка Росимущества)
• Еврофинанс Моснарбанк (как дочка ГПБ и ВТБ)
• Крайинвестбанк
• Дальневосточный Банк
• Акибанк
• Алмазэргиэнбанк
• Московское Ипотечное Агентство
• Росэксимбанк
• БМ-Банк
• Русь
• Хакасский Муниципальный Банк
• Банк Казани
• Почтобанк (не путать с Почта Банк)
• Новикомбанк
• НСПК.

Предположу, что Бинбанк, Открытие, Рост Банк, Уралприватбанк и Промсвязьбанк тоже можно отнести в этот список, так как ЦБ в рамках санации стал их основным инвестором.

Список стратегических предприятий и стратегических акционерных обществ утвержден Указом Президента от 4 августа 2004-го года №1009 - в нем более 1000 пунктов, большая часть из которых уже удалена. Из финансовых структур там только ВТБ. Но бояться упомянутым организациям не стоит, так как порог входа в список значимых начинается с 5% ущерба от уровня дохода, а это огромная цифра.

 Со вторым показателем, с ущербом субъектам РФ, тоже, на мой взгляд, все просто. Даже те доли процента, что указаны в Постановления Правительства, как мне кажется, достаточно велики, чтобы кто-то из банков мог претендовать на попадание в список владельцев значимых объектов.

Остается последний критерий, Системно значимыми кредитными организациями у нас являются, согласно Указанию Банка России от 22.07.2015 3737-У, следующие 11 организаций:

• АО ЮниКредит Банк
• Банк ГПБ
• Банк ВТБ
• АО «АЛЬФА-БАНК»
• ПАО Сбербанк
• ПАО «Московский Кредитный Банк»
• ПАО Банк «ФК Открытие»
• ПАО РОСБАНК
• ПАО «Промсвязьбанк»
• АО «Райффайзенбанк»
• АО «Россельхозбанк».

Системно значимых инфраструктурных организаций финансового рынка у нас всего 4:

• Центральный депозитарий
• Расчетный депозитарий
• Репозитарий
• Центральный контрагент.

Наконец, к операторам услуг платежной инфраструктуры системно и (или) социально значимых (но не национально значимых) платежных систем у нас относятся (по состояния на 9-е февраля) следующие организации:

• Русславбанк и ВТБ (для CONTACT)
• НСПК, Банк России (для Visa)
• Платежный центр, Золотая корона (для Золотой короны)
• Национальный расчетный депозитарий (для НРД)
• Лидер (для ПС Лидер)
• НСПК, Банк России (для MasterCard)
• ВТБ (для ПС ВТБ)
• Сбербанк (для ПС Сбербанка)
• Рапида, ВТБ (для Рапиды).

Вот тут заранее сложно сказать, кто из данного перечня попадет под критерий в виде 3 миллионов операций в день, которые могут быть прекращены или нарушено их проведение.

Вот такой список финансовых организаций, как потенциальных владельцев значимых объектов КИИ, получается. Всем успехов в успешном категорировании. Кстати, из финального текста, уж не знаю по каким причинам, но исчезла очень важная деталь. В проекте подразумевалось, что субъект КИИ должен составить перечень объектов КИИ и направить его отраслевому регулятору в течении 6 месяцев с момента принятия соответствуюшего Постановления Правительства о категорировании. Потом на само категрирование выделялся год. То есть получалось, что итоговое категорирование у вас должно было завершиться максимум через 1,5 года с момента выхода ПП по категорированию. Все было логично. Так вот в принятом документе исчезла приписка про 6 месяцев. Теперь субъект КИИ должен согласовать с отраслевым регулятором перечень объектов КИИ, но не говорится, в течении какого срока? А срок категорирования (максимум один год) отсчитывается от согласования перечня. Но если нет финального срока на согласование, то и срок категорирования у нас может быть растянут до бесконечности с постоянной отмазкой "мы все еще составляем перечень объектов КИИ". Вот такой парадокс и кто это придумал - непонятно :-(