Про затвердження Вимог до авторизованої електронної системи

НАЦІОНАЛЬНА КОМІСІЯ З ЦІННИХ ПАПЕРІВ ТА ФОНДОВОГО РИНКУ

РІШЕННЯ

30.12.2021

м. Київ

N 1310

Зареєстровано в Міністерстві юстиції України

24 січня 2022 р. за N 77/37413

Про затвердження Вимог до авторизованої електронної системи

Відповідно до статті 110 Закону України "Про ринки капіталу та організовані товарні ринки" та пункту 13 частини першої статті 8 Закону України "Про державне регулювання ринків капіталу та організованих товарних ринків", Національна комісія з цінних паперів та фондового ринку

ВИРІШИЛА:

1. Затвердити Вимоги до авторизованої електронної системи, що додаються.

2. Центральному депозитарію цінних паперів не пізніше шести місяців з дати прийняття Національною комісією з цінних паперів та фондового ринку рішення про авторизацію програмно-технічного комплексу Центрального депозитарію цінних паперів, призначеного для проведення зборів власників облігацій, забезпечити створення комплексної системи захисту інформації авторизованої електронної системи з підтвердженою відповідністю у встановленому законодавством України порядку та надати до НКЦПФР підтверджуючі документи.

3. Департаменту інформаційних технологій (Заїка А.) забезпечити:

подання цього рішення на державну реєстрацію до Міністерства юстиції України;

оприлюднення цього рішення на офіційному вебсайті Національної комісії з цінних паперів та фондового ринку.

4. Це рішення набирає чинності з дня його офіційного опублікування.

5. Контроль за виконанням цього рішення покласти на члена Комісії Бойка Ю.

Голова Комісії

Руслан МАГОМЕДОВ

ПОГОДЖЕНО:

Перший заступник Міністра

цифрової трансформації України

Олексій ВИСКУБ

Голова Державної служби

спеціального зв'язку та

захисту інформації України

Юрій ЩИГОЛЬ

Протокол засідання Комісії

від 30 грудня 2021 р. N 59

ЗАТВЕРДЖЕНО

Рішення Національної комісії з цінних паперів та фондового ринку

30 грудня 2021 року N 1310

Вимоги до авторизованої електронної системи

I. Загальні положення

1. Ці Вимоги до авторизованої електронної системи розроблено відповідно до частини четвертої статті 110 Закону України "Про ринки капіталу та організовані товарні ринки" (далі - Закон), та встановлюють вимоги щодо створення, авторизації Національною комісією з цінних паперів та фондового ринку та подальшого функціонування авторизованої електронної системи, яка призначена для проведення зборів власників облігацій.

2. У цих Вимогах терміни вживаються в таких значеннях:

авторизована електронна система - це авторизований НКЦПФР програмно-технічний комплекс Центрального депозитарію цінних паперів (далі - ПТК ЦД), що відповідає встановленим НКЦПФР Вимогам (далі - авторизована система);

програмно-технічний комплекс Центрального депозитарію, що призначений для проведення зборів власників облігацій (ПТК ЦД) - програмно-технічний комплекс (сукупність модулів та компонентів), створений з урахуванням цих Вимог, що забезпечує ідентифікацію і реєстрацію власників цінних паперів (їх представників) для участі у зборах власників цінних паперів, отримання документів, з якими власники цінних паперів можуть ознайомитися під час підготовки до зборів, голосування бюлетенем та взяття участі в обговоренні з питань порядку денного, підбиття підсумків голосування з питань порядку денного зборів, а також реалізацію інших функцій та процесів, визначених законодавством;

альтернативна автентифікація - процедура (засіб) електронної ідентифікації та автентифікації власника облігацій (його представника) в авторизованій електронній системі, з використанням якої в авторизованій електронній системі може здійснюватися ідентифікація та підтвердження дій власника облігацій (його представника) в авторизованій електронній системі, зокрема, реєстрація власника облігацій (його представника) для участі у зборах власників облігацій, направлення голосів та інші дії, що передбачає ідентифікацію та автентифікацію власника (його представника) на підставі даних відповідного переліку власників облігацій, складеного відповідно до законодавства про депозитарну систему, з використанням унікального значення депозитарного коду

рахунку у цінних паперах власника облігацій або рахунку у цінних паперах номінального утримувача (у разі, якщо облігації обліковуються на рахунку у цінних паперах номінального утримувача, клієнтом (клієнтом клієнта) якого є власник облігацій), одноразового коду підтвердження ідентифікації особи, який власник облігацій (його представник) отримує на його адресу електронної пошти та номер мобільного телефону, що зазначені в системі депозитарного обліку в порядку, визначеному законодавством про депозитарну систему, а також паролю, створеного власником облігацій (його представником) при першій автентифікації в авторизованій електронній системі, та відомого тільки такій особі;

документація - взаємопов'язані документи або документ, які/який містить опис функціональних можливостей програмно-технічного комплексу, проєктні та організаційні рішення для забезпечення функціонування, перевірки функціонування програмно-технічного комплексу;

технічне завдання - документ, який визначає мету, підстави, призначення, вимоги, які необхідні для розроблення ПТК ЦД;

цілісність інформації - умови, за яких інформація зберігається, передається та приймається без змін.

Термін "номінальний утримувач" вживається у значенні, наведеному в Законі України "Про депозитарну систему України", термін "збори власників облігацій" - у значенні, наведеному в Законі України "Про ринки капіталу та організовані товарні ринки".

3. Функціональні можливості ПТК ЦД мають відповідати вимогам, наведеним у Законі України "Про ринки капіталу та організовані товарні ринки", порядку проведення зборів власників облігацій, затверджених рішенням НКЦПФР, та цим Вимогам.

ПТК ЦД має відповідати Вимогам до програмних продуктів, які використовуються на фондовому ринку, та програмного забезпечення автоматизованих, інформаційних та інформаційно-телекомунікаційних систем, призначених для здійснення професійної діяльності на фондовому ринку, депозитарної діяльності Центрального депозитарію цінних паперів, затверджених рішенням НКЦПФР від 02 жовтня 2012 року N 1342, зареєстрованого в Міністерстві юстиції України 19 жовтня 2012 року за N 1760/22072, з урахуванням особливостей, встановлених цими Вимогами та рішеннями НКЦПФР щодо відповідного ПТК ЦД в частині вимог щодо створення комплексної системи захисту інформації у ПТК ЦД з підтвердженою відповідністю у встановленому законодавством України порядку.

4. Центральний депозитарій може мати ПТК ЦД у власності або на праві користування.

5. ПТК ЦД може включати один або кілька модулів та компонентів, які на постійній основі забезпечують належне функціонування та захист ПТК ЦД у відповідності до цих Вимог.

6. Центральний депозитарій має право надавати послуги щодо забезпечення проведення зборів власників облігацій виключно після авторизації НКЦПФР ПТК ЦД у відповідності до цих Вимог.

II. Вимоги до ПТК ЦД

1. Центральний депозитарій повинен мати системи, компоненти та механізми, які забезпечують безперервне функціонування ПТК ЦД задля запобігання інцидентам, та відповідати наступним вимогам НКЦПФР:

1) бути стійкими, тобто мати достатню ресурсну спроможність для оброблення запитів ідентифікації і реєстрації власників облігацій (їх представників) для участі у зборах власників облігацій, голосування з питань порядку денного;

2) здатними забезпечити на постійній основі належне безперервне функціонування, захист, зберігання та виключно авторизований доступ до інформації в ПТК ЦД з використанням засобів альтернативної автентифікації та/або електронної ідентифікації, що відповідають цим Вимогам;

3) забезпечувати резервне копіювання критичних для діяльності даних;

4) використовувати дублювання апаратних компонентів, які забезпечують функціонування ПТК;

5) мати процедури переміщення між основною та резервною локацією;

6) мати процедури опрацювання критичних сценаріїв та інцидентів;

7) цільовий максимальний час відновлення функцій у разі збоїв має бути найкоротшим можливим, але в будь-якому разі не довше ніж шість годин робочого часу або до закінчення робочого дня.

2. ПТК ЦД (окремі його модулі та компоненти) створюється Центральним

депозитарієм або на замовлення Центрального депозитарію іншим суб'єктом господарювання на підставі технічного завдання або аналогічного за змістом документа, та повинен мати технічну та експлуатаційну документацію.

Така документація повинна містити опис реалізованих бізнес-процесів та процедур, які відповідно до вимог нормативно-правових актів НКЦПФР програмно реалізовані цим комплексом, мати інструкції щодо адміністрування, користування програмним комплексом, описи засобів захисту інформації, опис процедур резервного копіювання та відновлення інформації.

Суб'єктом господарювання, який на замовлення Центрального депозитарію створив ПТК ЦД (окремі його модулі та компоненти), не може бути особа, щодо якої застосовано спеціальні економічні та інші обмежувальні заходи (санкції) відповідно до Закону України "Про санкції".

3. У процесі використання ПТК ЦД підлягає супроводженню та технічній підтримці. Зміни до програмно-технічного комплексу вносяться у порядку його супроводження та подальшого розвитку.

У разі внесення суттєвих змін до ПТК ЦД, Центральний депозитарій зобов'язаний повідомляти про це НКЦПФР протягом місяця з дати впровадження в промислову експлуатацію відповідних змін. Відповідальність щодо належного впровадження суттєвих змін та подальшого функціонально стабільного, безперервного функціонування ПТК ЦД та його відповідність цим Вимогам покладається на Центральний депозитарій.

Не вважаються суттєвими змінами до ПТК ЦД зміни, які не змінюють алгоритми бізнес-процесів, що підтримує ПТК ЦД, склад його модулів, алгоритми та технології взаємодії/обміну даними між компонентами ПТК ЦД, не призводять до суттєвих змін у функціонуванні ПТК ЦД.

4. Функціональність ПТК ЦД має відповідати вимогам:

1) мати механізми забезпечення ідентифікації та автентифікації користувачів, зокрема, забезпечувати можливість електронної ідентифікації власників облігацій (їх представників) за допомогою кваліфікованого електронного підпису, або шляхом альтернативної автентифікації. Ризик, пов'язаний із вибором процедури (засобу) електронної ідентифікації в авторизованій електронній системі, несе власник облігацій;

2) система має вести протоколи реєстрації дій всіх користувачів системи та вести відповідні журнали;

3) мати механізм розподілення повноважень та рівнів доступу (рольова модель) для користувачів, відокремлені повноваження для адміністрування та настроювання системи;

4) обмін даними між клієнтом та системою має проходити із використанням засобів захисту інформації;

5) мати механізми забезпечення зберігання даних про проведені збори впродовж визначеного законодавством часу (включаючи архівування даних) та надавати доступ до історичних даних за запитом.

5. Центральний депозитарій має впровадити та підтримувати заходи інформаційної безпеки ПТК ЦД, спрямовані на:

1) захист ПТК ЦД від несанкціонованого доступу та/або витоку/ розголошенню інформації з обмеженим доступом;

2) забезпечення конфіденційності, цілісності та доступності даних в ПТК ЦД.

Центральний депозитарій має впровадити та підтримувати заходи і механізми для оперативної ідентифікації та управління ризиками інформаційної безпеки ПТК ЦД.

III. Порядок авторизації ПТК ЦД, що використовується для проведення зборів власників облігацій

1. Авторизацію ПТК ЦД здійснює НКЦПФР у відповідності до процедур, передбачених цими Вимогами, після подання Центральним депозитарієм відповідної заяви щодо готовності ПТК ЦД для отримання статусу авторизованої системи.

2. Авторизація ПТК ЦД здійснюється шляхом прийняття НКЦПФР відповідного рішення щодо авторизації після встановлення відповідності ПТК ЦД цим Вимогам.

3. Авторизація ПТК ЦД здійснюється за двома етапами. Центральний депозитарій може подати документи для проходження першого та другого етапів авторизації ПТК ЦД одночасно.

4. Для проходження першого етапу авторизації ПТК ЦД Центральний депозитарій подає до НКЦПФР наступні документи:

1) заява про авторизацію ПТК ЦД (складається в довільній формі);

2) внутрішні документи Центрального депозитарію (політики, правила, процедури, інші документи) про засоби забезпечення

збереження інформації та безперервності функціонування ПТК ЦД, які мають відповідати наступним вимогам:

а) передбачати дублювання апаратних компонентів, які у разі відмови дають змогу використовувати резервну інфраструктуру, зокрема мережеві підключення, технічні засоби та канали електронних комунікацій, засоби захисту інформації тощо;

б) забезпечувати резервне копіювання критичних для діяльності даних;

в) мати визначений цільовий час відновлення функцій, який має бути найкоротшим можливим;

г) мати обчислювальні потужності, достатні для виконання бізнес-функцій без перебоїв і відмов;

3) внутрішні документи Центрального депозитарію (політики, правила, процедури, інші документи) щодо системи захисту інформації, її передання, мінімізації ризиків втрати, спотворення, несанкціонованого доступу та/або витоку, яка має відповідати наступним вимогам:

а) мати механізми захисту від несанкціонованого доступу, які відповідають вимогам законодавства у сфері захисту інформації, до ПТК та інформації у ньому;

б) мати механізми забезпечення безпеки та цілісності даних в ПТК, які відповідають вимогам законодавства у сфері захисту інформації, зокрема, але не обмежуючись: мережевої безпеки, антивірусного захисту, розподілу прав доступу до ресурсів ПТК, ведення журналів системних подій та дій користувачів;

в) забезпечувати постійний моніторинг стану функціонування ПТК;

г) для забезпечення цілісності, мінімізації ризиків спотворення інформації має бути передбачена можливість використання кваліфікованого електронного підпису відповідно до вимог законодавства.

5. Для проходження другого етапу авторизації ПТК ЦД Центральний депозитарій подає до НКЦПФР наступні документи:

1) інформацію та/або документи про ПТК ЦД, які підтверджують дотримання цих Вимог;

2) інформацію про технічні засоби які призначені для функціонування ПТК ЦД, зокрема про серверне, комутаційне обладнання, тощо.

НКЦПФР має право надати запит Центральному депозитарію щодо надання додаткових документів або інформації щодо ПТК ЦД для визначення відповідності ПТК ЦД цим Вимогам.

6. Центральний депозитарій повинен забезпечити НКЦПФР можливість перевірки НКЦПФР ПТК ЦД шляхом демонстрації функціональних та технічних можливостей ПТК ЦД, підготувати та надати НКЦПФР протокол тестових випробувань навантажень технічних засобів, що призначені для функціонування ПТК ЦД, протокол тестування функціональних можливостей ПТК ЦД

7. За результатами дослідження НКЦПФР відповідності ПТК ЦД цим Вимогам, складається відповідний висновок про відповідність/невідповідність ПТК ЦД цим Вимогам.

8. Рішення про авторизацію або про відмову в авторизації ПТК ЦД приймається на засіданні НКЦПФР, після складання НКЦПФР висновку, передбаченого пунктом 7 цього розділу.

У разі одночасного подання Центральним депозитарієм до НКЦПФР документів для проходження першого та другого етапів авторизації ПТК ЦД, НКЦПФР приймає рішення про авторизацію або про відмову в авторизації ПТК ЦД протягом місяця з дати отримання документів, передбачених пунктами 4, 5 та 6 цього розділу.

У разі подання Центральним депозитарієм до НКЦПФР документів для проходження першого етапу авторизації ПТК ЦД окремо від документів для проходження другого етапу авторизації ПТК ЦД (але пізніше, ніж за 15 днів до дати подання документів для проходження другого етапу авторизації ПТК ЦД), НКЦПФР приймає рішення про авторизацію або про відмову в авторизації ПТК ЦД протягом п'ятнадцяти днів з дати отримання документів, передбачених підпунктами 5 та 6 цього розділу.

9. НКЦПФР приймає рішення про відмову в авторизації ПТК ЦД якщо документи, подані Центральним депозитарієм, містять недостовірну, неповну інформацію та/або складено висновок про невідповідність ПТК ЦД цим Вимогам.

10. Повідомлення про авторизацію або про відмову в авторизації ПТК ЦД (з наданням копії відповідного рішення та висновку, передбаченого пунктом 8 цього розділу) надсилається (видається) Центральному депозитарію протягом наступного робочого дня з дати прийняття відповідного рішення.

З дати прийняття рішення НКЦПФР про авторизацію ПТК ЦД набуває статусу авторизованої

електронної системи, відповідно до частини четвертої статті 110 Закону України "Про ринки капіталу та організовані товарні ринки".

11. Рішення про авторизацію ПТК ЦД, що використовується для проведення зборів власників облігацій, розміщується на вебсайті НКЦПФР протягом наступного робочого дня з дати прийняття відповідного рішення.

12. Статус авторизованої електронної системи, яка відповідає цим Вимогам, діє протягом життєвого циклу ПТК ЦД. Зміна статусу ПТК ЦД, як авторизованої електронної системи, визначається відповідним рішенням НКЦПФР.

Директор департаменту

інформаційних технологій

Андрій ЗАЇКА