Нормативные акты по безопасности НПС

[Алексей Лукацкий]

Решил свести все воедино:
- ФЗ-161 "О национальной платежной системе" (обсуждается тут)
- ПП-584 "О защите информации в платежных системах" (на форуме обсуждается тут и у меня на блоге)
- 379-П - "О бесперебойности функционирования платежных систем и анализе рисков в платежных системах" (обсуждение отсутствует тут и у меня на блоге)
- 380-П - "О порядке осуществления наблюдения в национальной платежной системе"
- 381-П - "О порядке осуществления надзора за соблюдением не являющимися кредитными организациями операторами платежных систем, операторами услуг платежной инфраструктуры требований Федерального закона от 27 июня 2011 года N 161-ФЗ "О национальной платежной системе", принятых в соответствие с ним нормативных актов Банка России"
- 382-П - "О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств" - краткий обзор у меня на блоге
- 2831-У - "Об отчетности по обеспечению защиты информации при осуществлении переводов денежных средств операторов платежных систем, операторов услуг платежной инфраструктуры, операторов по переводу денежных средств"

[Saksedei]

Алексей Лукацкий, Добрый день. Возник вопрос по 2831 -У. У вас в блоге написано, что, цитирую, "В отчете по форме 0403202 указываются значения показателей EV1пс и EV2пс, итоговый показатель Rпс". Где взять методику вычисления показателей? Или она берется из самооценки по СТО БР ИББС - 1.0?

[ra1nman]

Алексей Лукацкий, Добрый день. Возник вопрос по 2831 -У. У вас в блоге написано, что, цитирую, "В отчете по форме 0403202 указываются значения показателей EV1пс и EV2пс, итоговый показатель Rпс". Где взять методику вычисления показателей? Или она берется из самооценки по СТО БР ИББС - 1.0?

Отвечу за Алексея:
методика заполнения отчета приведена в приложении к 2831 -У
а методика вычисления самих показателей EV1пс и EV2пс приведена в приложении к 382-П

[whirlwind]

Давайте подробнее разберемся. Отправить отчет по форме 0403202 я должен до 30 дней со дня проведения оценки, какие сроки на ее проведение? Кому я должен отправить ЦБ или Платежной системе?
Отчеты по форме 0403203 ежемесячно, кому? и с какой поры?)))
Если нужно, пишите на makolian@yandex.ru скину xls файл с забитой методикой как в СТО (сделал сегодня, выкладывать на форуме файлы не умею)

[Алексей Лукацкий]

Давайте подробнее разберемся. Отправить отчет по форме 0403202 я должен до 30 дней со дня проведения оценки, какие сроки на ее проведение? Кому я должен отправить ЦБ или Платежной системе?
Отчеты по форме 0403203 ежемесячно, кому? и с какой поры?)))
Если нужно, пишите на makolian@yandex.ru скину xls файл с забитой методикой как в СТО (сделал сегодня, выкладывать на форуме файлы не умею)

Отправлять ЦБ. Ежемесячно. С 1 июля 2012 года.

ЗЫ. Аттачить файл надо в расширенном режиме ввода сообщения

[whirlwind]

Выкладываю методику xls по 382-П, найдете ошибку пишите)
Оказывается мыло не подтвердил, не было прав на это дело.

[Billy]

Все таки не понятно: "Отправить отчет по форме 0403202 я должен до 30 дней со дня проведения оценки, какие сроки на проведение оценки первый раз?"
Как я понял, проведенная самооценка (СТО БР ИББС) в декабре 2010 не катит в качестве отправной точки..
То есть оценку надо проводить сейчас для определения исходного уровня организации, и видимо раз не указан точный срок, то несколько месяцев то у нас есть?

[Ерохин Сергей]

Все таки не понятно: "Отправить отчет по форме 0403202 я должен до 30 дней со дня проведения оценки, какие сроки на проведение оценки первый раз?"
Как я понял, проведенная самооценка (СТО БР ИББС) в декабре 2010 не катит в качестве отправной точки..
То есть оценку надо проводить сейчас для определения исходного уровня организации, и видимо раз не указан точный срок, то несколько месяцев то у нас есть?

Читайте внимательно 382-П. п. 2.15.2. Самооценка проводится один раз в два года. Время проведения самооценки определяется оператором или по требованию ЦБ. Соответственно, 382-П вступает в силу с 01.07.2012г. Берем два года 01.07.2014г. Получается, что до 2014г. вы должны определить время и провести самооценку (не учитывается вариант, когда ЦБ запросил вас провести самооценку).

[whirlwind]

Читайте внимательно 382-П. п. 2.15.2. Самооценка проводится один раз в два года. Время проведения самооценки определяется оператором или по требованию ЦБ. Соответственно, 382-П вступает в силу с 01.07.2012г. Берем два года 01.07.2014г. Получается, что до 2014г. вы должны определить время и провести самооценку (не учитывается вариант, когда ЦБ запросил вас провести самооценку).

Понял вашу логику, однако 2.15.2 пункт не так звучит.
Где написано что время проведения определяется оператором?
и каким ?-оператором по переводу денежных средств или оператором услуг плат. инфр. или оператором платежной системы?

Но думаю раз сроков нет, значит вы правы!

[Saksedei]

whirlwind, Спасибо. Еще один вопрос вот мы осуществляем переводы денежный средств по системам корона, вестер юнион и тд. А так же есть система банк-клиент. Мы же не являемся операторами этих систем?

[ser-storchak]

whirlwind, Спасибо. Еще один вопрос вот мы осуществляем переводы денежный средств по системам корона, вестер юнион и тд. А так же есть система банк-клиент. Мы же не являемся операторами этих систем?

Мы являемся операторами по переводу денежных средств.

[Enhot]

Если я правильно понял, то даже самый маленький банк, у которого нет банкоматов, который не работает с платежными системами, но у которого есть банк-клиент - является оператором по переводу денежных средств?

[Алексей Лукацкий]

Если я правильно понял, то даже самый маленький банк, у которого нет банкоматов, который не работает с платежными системами, но у которого есть банк-клиент - является оператором по переводу денежных средств?

Даже если у него нет банка-клиента, он все равно оператор по переводу денежных средств. Ради чего-то он же создавался. И какие средства он переводит, пусть и приносимые бабушками наликом ;-)

[flop]

Отправлять ЦБ. Ежемесячно. С 1 июля 2012 года.

Алексей, т.е. июль 2012 является первым отчетным месяцем, за который требуется предоставить отчет до 10 августа?

[Алексей Лукацкий]

Алексей, т.е. июль 2012 является первым отчетным месяцем, за который требуется предоставить отчет до 10 августа?

Я не ЦБ и не могу делать за него выводов. Но учитывая, что документ вступает в силу с 1-го июля, то могу предположить, что вы правы - отчет надо предоставить до 10 августа.

[Алексей Лукацкий]

Может кому будет полезно - http://lukatsky.blogspot.com/2012/06/blog-post_28.html

[merced2001]

приложил мой файлик с расчетом и чуть-чуть написал про оценку соответствия по 382-П тут http://www.itsec.pro/2012/06/blog-post_28.html#more

382-P_www_itsec_pro.rar

[Sat_Kelman]

Спасибо за файлики. Все же попроще. Итак обязанностей куча висит, так теперь еще и это...

[Berckut]

Даже если у него нет банка-клиента, он все равно оператор по переводу денежных средств. Ради чего-то он же создавался. И какие средства он переводит, пусть и приносимые бабушками наликом ;-)

Кто-то из вас не прав...

http://bankir.ru/publikacii/s/nps-li...-tsb-10001405/
Начальник отдела контроля за рисками в частных платежных системах департамента регулирования расчетов Банка России:

- Правильно ли утверждение, что не каждая кредитная организация потенциально является оператором ПС?
- Правильно. Конечно, если такое решение будет принято и кредитная организация захочет специализироваться в направлении ПС, то, наверное, она может. Но то, что касается выявления уже существующих ПС, то речь - только о кредитных организациях, у которых открыто не менее трех Лоро-счетов в других кредитных организациях, и по этим счетам есть определенный оборот, превышающий некую планку, размер которой будет установлен.

[Алексей Лукацкий]

Кто-то из вас не прав...

http://bankir.ru/publikacii/s/nps-li...-tsb-10001405/
Начальник отдела контроля за рисками в частных платежных системах департамента регулирования расчетов Банка России:

Почему? Я писал про оператора по переводу денежных средств, а коллега из ЦБ про оператора ПС. Это разные понятия. ЦБ насчитывает в России сейчас примерно 7-8 десятков платежных систем. Операторов же по переводу денежных средств на порядок больше.

[Berckut]

Всё, мозг взорвался....

[Алексей Лукацкий]

Всё, мозг взорвался....

Да там все просто. Иерархия следующая: платежный субагент - платежный агент - оператор по переводу денежных средств - оператор ПС. Особняком стоит оператор услуш платежной инфраструктуры. Банк является либо оператором по переводу денежных средств, либо оператором платежной системы.

[lennatlen]

Алексей, и все-таки если можно, для новичков: Банк является участником платежной системы "CONTACT", осуществляет переводы физлиц без открытия счета, имеет Клиент-Банк. Если я правильно поняла, мы являемся операторами по переводу денежных средств.И тогда должны принять к исполнению 2831-У и соответственно 382-У. Заранее спасибо.

[Sat_Kelman]

lennatlen, 382-П и соответственно 2831-У ))

[JMD]

Получается, для заполнения формы 0403202 необходимо будет заполнять регистрационные номера операторов платежных систем, которые должны публиковаться Банком России http://www.cbr.ru/today/?Prtid=rops
На данный момент пока нет ни одного оператора платежной системы, кроме Банка России.

[Berckut]

Получается, для заполнения формы 0403202 необходимо будет заполнять регистрационные номера операторов платежных систем, которые должны публиковаться Банком России http://www.cbr.ru/today/?Prtid=rops
На данный момент пока нет ни одного оператора платежной системы, кроме Банка России.

В случае если отчитывающийся оператор является оператором по переводу денежных средств, графа 5 не заполняется.
см. методику заполнения.

[JMD]

В случае если отчитывающийся оператор является оператором по переводу денежных средств, графа 5 не заполняется.
см. методику заполнения.

Что-то я графы 5 в форме 0403202 не наблюдаю. Дайте ссылку на конкретный пункт.

Я имею ввиду пункты 5, 6, 7 Методики составления отчетности по форме 0403202 "Сведения о выполнении операторами платежных систем, операторами услуг платежной инфраструктуры, операторами по переводу денежных средств требований к обеспечению защиты информации при осуществлении переводов денежных средств" (2831-У).

[Berckut]

Что-то я графы 5 в форме 0403202 не наблюдаю. Дайте ссылку на конкретный пункт.

Я имею ввиду пункты 5, 6, 7 Методики составления отчетности по форме 0403202 "Сведения о выполнении операторами платежных систем, операторами услуг платежной инфраструктуры, операторами по переводу денежных средств требований к обеспечению защиты информации при осуществлении переводов денежных средств" (2831-У).

спутал с формой 0403203

[artn]

Банк является участником платежной системы "CONTACT"

Я так понимаю, в этом случае вам ещё и 2829-У

[whirlwind]

Время идет, отчет по форме 0403203 отправлять все-таки нужно?