Про затвердження Вимог до авторизованої електронної системи

Тип: Рішення

№ 1310

Дата: 30 грудня 2021 р.

Статус: Чинний

НАЦІОНАЛЬНА КОМІСІЯ З ЦІННИХ ПАПЕРІВ ТА ФОНДОВОГО РИНКУ

РІШЕННЯ

30.12.2021 № 1310

Зареєстровано в Міністерстві

юстиції України

24 січня 2022 р.

за № 77/37413

Про затвердження Вимог до авторизованої електронної системи

{Із змінами, внесеними згідно з Рішеннями Національної комісії

з цінних паперів та фондового ринку

№ 64 від 27.01.2022

№ 245 від 06.03.2023}

Відповідно до статті 110 Закону України "Про ринки капіталу та організовані товарні ринки" та пункту 13 частини першої статті 8 Закону України "Про державне регулювання ринків капіталу та організованих товарних ринків", Національна комісія з цінних паперів та фондового ринку ВИРІШИЛА:

1. Затвердити Вимоги до авторизованої електронної системи, що додаються.

2. Центральному депозитарію цінних паперів не пізніше шести місяців з дати прийняття Національною комісією з цінних паперів та фондового ринку рішення про авторизацію програмно-технічного комплексу Центрального депозитарію цінних паперів, призначеного для проведення зборів власників облігацій, забезпечити створення комплексної системи захисту інформації авторизованої електронної системи з підтвердженою відповідністю у встановленому законодавством України порядку та надати до НКЦПФР підтверджуючі документи.

3. Департаменту інформаційних технологій (Заїка А.) забезпечити:

подання цього рішення на державну реєстрацію до Міністерства юстиції України;

оприлюднення цього рішення на офіційному вебсайті Національної комісії з цінних паперів та фондового ринку.

4. Це рішення набирає чинності з дня його офіційного опублікування.

5. Контроль за виконанням цього рішення покласти на члена Комісії Бойка Ю.

Голова Комісії

Р. Магомедов

ПОГОДЖЕНО:

Голова Державної служби спеціального

зв'язку та захисту інформації України

Перший заступник Міністра

цифрової трансформації України

Ю. Щиголь

О. Вискуб

ЗАТВЕРДЖЕНО

Рішення Національної комісії

з цінних паперів та фондового

ринку

30 грудня 2021 року № 1310

Зареєстровано в Міністерстві

юстиції України

24 січня 2022 р.

за № 77/37413

ВИМОГИ

до авторизованої електронної системи

I. Загальні положення

1. Ці Вимоги встановлюють правила створення, авторизації Національною комісією з цінних паперів та фондового ринку та подальшого функціонування авторизованої електронної системи, яка призначена для проведення зборів власників облігацій, загальних зборів акціонерів.

{Абзац перший пункту 1 розділу I із змінами, внесеними згідно з Рішенням Національної комісії з цінних паперів та фондового ринку № 64 від 27.01.2022; в редакції Рішення Національної комісії з цінних паперів та фондового ринку № 245 від 06.03.2023}

2. У цих Вимогах терміни вживаються в таких значеннях:

авторизована електронна система - це авторизований НКЦПФР програмно-технічний комплекс Центрального депозитарію цінних паперів (далі - ПТК ЦД), що відповідає встановленим НКЦПФР Вимогам (далі - авторизована система);

збори власників цінних паперів - збори власників облігацій, загальні збори акціонерів;

{Пункт 2 розділу I доповнено абзацом третім згідно з Рішенням Національної комісії з цінних паперів та фондового ринку № 245 від 06.03.2023}

програмно-технічний комплекс Центрального депозитарію, що призначений для проведення зборів власників цінних паперів (ПТК ЦД) - програмно-технічний комплекс (сукупність модулів та компонентів), створений з урахуванням цих Вимог, що забезпечує ідентифікацію і реєстрацію власників цінних паперів (їх представників) для участі у зборах власників цінних паперів, отримання документів, з якими власники цінних паперів можуть ознайомитися під час підготовки до зборів, голосування бюлетенем та взяття участі в обговоренні з питань порядку денного, підбиття підсумків голосування з питань порядку денного зборів, а також реалізацію інших функцій та процесів, визначених законодавством;

{Абзац четвертий пункту 2 розділу I із змінами, внесеними згідно з Рішенням Національної комісії з цінних паперів та фондового ринку № 245 від 06.03.2023}

альтернативна автентифікація - процедура (засіб) електронної ідентифікації та автентифікації власника цінних паперів (його представника) в авторизованій електронній системі, з використанням якої в авторизованій електронній системі здійснюється ідентифікація та підтвердження дій власника цінних паперів (його представника) в авторизованій електронній системі, зокрема, реєстрація власника цінних паперів (його представника) для участі у зборах власників цінних паперів, направлення голосів та інші дії, що передбачає ідентифікацію та автентифікацію власника (його представника) на підставі даних відповідного переліку власників іменних цінних паперів, складеного відповідно до законодавства про депозитарну систему України, з використанням унікального значення депозитарного коду рахунку у цінних паперах власника цінних паперів або рахунку у цінних паперах номінального утримувача (у разі, якщо цінні папери обліковуються на рахунку у цінних паперах номінального утримувача, клієнтом (клієнтом клієнта) якого є власник цінних паперів), одноразового коду підтвердження ідентифікації особи, який власник цінних паперів (його представник) отримує на його адресу електронної пошти та номер мобільного телефону, що зазначені в системі депозитарного обліку в порядку, визначеному законодавством про депозитарну систему України, а також паролю, створеного власником цінних паперів (його представником) при першій автентифікації в авторизованій електронній системі, та відомого тільки такій особі;

{Абзац п'ятий пункту 2 розділу I в редакції Рішення Національної комісії з цінних паперів та фондового ринку № 245 від 06.03.2023}

документація - взаємопов'язані документи або документ, які/який містить опис функціональних можливостей програмно-технічного комплексу, проєктні та організаційні рішення для забезпечення функціонування, перевірки функціонування програмно-технічного комплексу;

технічне завдання - документ, який визначає мету, підстави, призначення, вимоги, які необхідні для розроблення ПТК ЦД;

цілісність інформації - умови, за яких інформація зберігається, передається та приймається без змін.

Термін "номінальний утримувач" вживається у значенні, наведеному в Законі України "Про депозитарну систему України", термін "збори власників облігацій" - у значенні, наведеному в Законі України "Про ринки капіталу та організовані товарні ринки".

3. Функціональні можливості ПТК ЦД мають відповідати вимогам, наведеним у Законі України «Про ринки капіталу та організовані товарні ринки», Законі України «Про акціонерні товариства», порядків проведення зборів власників облігацій, скликання та проведення очних загальних зборів акціонерів та скликання та проведення електронних загальних зборів акціонерів, затверджених НКЦПФР, та цим Вимогам.

{Абзац перший пункту 3 розділу I в редакції Рішення Національної комісії з цінних паперів та фондового ринку № 245 від 06.03.2023}

ПТК ЦД має відповідати Вимогам до програмних продуктів, які використовуються на фондовому ринку, та програмного забезпечення автоматизованих, інформаційних та інформаційно-телекомунікаційних систем, призначених для здійснення професійної діяльності на фондовому ринку, депозитарної діяльності Центрального депозитарію цінних паперів, затверджених рішенням НКЦПФР від 02 жовтня 2012 року № 1342, зареєстрованого в Міністерстві юстиції України 19 жовтня 2012 року за № 1760/22072, з урахуванням особливостей, встановлених цими Вимогами.

{Абзац другий пункту 3 розділу I із змінами, внесеними згідно з Рішенням Національної комісії з цінних паперів та фондового ринку № 64 від 27.01.2022}

4. Центральний депозитарій може мати ПТК ЦД у власності або на праві користування.

5. ПТК ЦД може включати один або кілька модулів та компонентів, які на постійній основі забезпечують належне функціонування та захист ПТК ЦД у відповідності до цих Вимог.

6. Центральний депозитарій має право надавати послуги щодо забезпечення проведення зборів власників цінних паперів, укладати договори, якими регулюються відносини щодо використання авторизованої електронної системи виключно після авторизації НКЦПФР ПТК ЦД у відповідності до цих Вимог.

{Пункт 6 розділу I в редакції Рішення Національної комісії з цінних паперів та фондового ринку № 245 від 06.03.2023}

II. Вимоги до ПТК ЦД

1. Центральний депозитарій повинен мати системи, компоненти та механізми, які забезпечують безперервне функціонування ПТК ЦД задля запобігання інцидентам, та відповідати наступним вимогам НКЦПФР:

1) бути стійкими, тобто мати достатню ресурсну спроможність для оброблення запитів ідентифікації і реєстрації власників цінних паперів (їх представників) для участі у зборах власників облігацій, голосування з питань порядку денного;

{Підпункт 1 пункту 1 розділу II із змінами, внесеними згідно з Рішенням Національної комісії з цінних паперів та фондового ринку № 245 від 06.03.2023}

2) здатними забезпечити на постійній основі належне безперервне функціонування, захист, зберігання та виключно авторизований доступ до інформації в ПТК ЦД з використанням засобів альтернативної автентифікації та/або електронної ідентифікації, що відповідають цим Вимогам;

3) забезпечувати резервне копіювання критичних для діяльності даних;

4) використовувати дублювання апаратних компонентів, які забезпечують функціонування ПТК ЦД;

{Підпункт 4 пункту 1 розділу II із змінами, внесеними згідно з Рішенням Національної комісії з цінних паперів та фондового ринку № 64 від 27.01.2022}

5) мати процедури переміщення між основною та резервною локацією;

6) мати процедури опрацювання критичних сценаріїв та інцидентів;

7) цільовий максимальний час відновлення функцій у разі збоїв має бути найкоротшим можливим, але в будь-якому разі не довше ніж шість годин робочого часу або до закінчення робочого дня.

2. ПТК ЦД (окремі його модулі та компоненти) створюється Центральним депозитарієм або на замовлення Центрального депозитарію іншим суб'єктом господарювання на підставі технічного завдання або аналогічного за змістом документа, та повинен мати технічну та експлуатаційну документацію.

Така документація повинна містити опис реалізованих бізнес-процесів та процедур, які відповідно до вимог нормативно-правових актів НКЦПФР програмно реалізовані цим комплексом, мати інструкції щодо адміністрування, користування програмним комплексом, описи засобів захисту інформації, опис процедур резервного копіювання та відновлення інформації.

Суб'єктом господарювання, який на замовлення Центрального депозитарію створив ПТК ЦД (окремі його модулі та компоненти), не може бути особа, щодо якої застосовано спеціальні економічні та інші обмежувальні заходи (санкції) відповідно до Закону України "Про санкції".

3. У процесі використання ПТК ЦД підлягає супроводженню та технічній підтримці. Зміни до програмно-технічного комплексу вносяться у порядку його супроводження та подальшого розвитку.

{Абзац другий пункту 3 розділу II виключено на підставі Рішенням Національної комісії з цінних паперів та фондового ринку № 245 від 06.03.2023}

{Абзац третій пункту 3 розділу II виключено на підставі Рішенням Національної комісії з цінних паперів та фондового ринку № 245 від 06.03.2023}

У разі внесення суттєвих змін до ПТК ЦД, які мають наслідком видалення окремої функції ПТК ЦД або додавання нової функції ПТК ЦД щодо забезпечення проведення зборів власників цінних паперів, Центральний депозитарій зобов'язаний повідомляти про це НКЦПФР протягом місяця з дати впровадження в дослідну експлуатацію відповідних змін шляхом надання до НКЦПФР:

{Пункт 3 розділу II доповнено новим абзацом згідно з Рішенням Національної комісії з цінних паперів та фондового ринку № 245 від 06.03.2023}

повідомлення про внесення змін до ПТК ЦД (складається в довільній формі);

інформацію та/або документи, що описують зміни до ПТК ЦД та підтверджують дотримання цих Вимог;

протокол внутрішнього тестування Центральним депозитарієм функціональних можливостей ПТК ЦД після внесення змін до ПТК ЦД.

Не вважаються суттєвими змінами до ПТК ЦД зміни, які не змінюють алгоритми бізнес-процесів, що підтримує ПТК ЦД, склад його модулів, алгоритми та технології взаємодії/обміну даними між компонентами ПТК ЦД, не призводять до суттєвих змін у функціонуванні ПТК ЦД.

НКЦПФР має право надати запит Центральному депозитарію щодо надання додаткових документів або інформації щодо суттєвих змін до ПТК ЦД, які мають наслідком видалення окремої функції ПТК ЦД або додавання нової функції ПТК ЦД щодо забезпечення проведення зборів власників цінних паперів, для визначення відповідності цим Вимогам.

Центральний депозитарій повинен забезпечити НКЦПФР можливість перевірки НКЦПФР суттєвих змін до ПТК ЦД, які мають наслідком видалення окремої функції ПТК ЦД або додавання нової функції ПТК ЦД щодо забезпечення проведення зборів власників цінних паперів, шляхом демонстрації функціональних та технічних можливостей ПТК ЦД після внесення змін до ПТК ЦД.

За результатами дослідження НКЦПФР відповідності суттєвих змін до ПТК ЦД, які мають наслідком видалення окремої функції ПТК ЦД або додавання нової функції ПТК ЦД щодо забезпечення проведення зборів власників цінних паперів, цим Вимогам, складається відповідний висновок про відповідність/невідповідність змін до ПТК ЦД цим Вимогам.

На підставі цього висновку на засіданні НКЦПФР не пізніше ніж протягом місяця з дня подання Центральним депозитарієм документів, передбачених цим пунктом, приймається рішення про погодження суттєвих змін до ПТК ЦД, які мають наслідком видалення окремої функції ПТК ЦД або додавання нової функції ПТК ЦД щодо забезпечення проведення зборів власників цінних паперів, або про відмову у погодженні відповідних суттєвих змін до ПТК ЦД. НКЦПФР приймає рішення про відмову у погодженні суттєвих змін до ПТК ЦД, які мають наслідком видалення окремої функції ПТК ЦД або додавання нової функції ПТК ЦД щодо забезпечення проведення зборів власників цінних паперів, якщо документи, подані Центральним депозитарієм, містять недостовірну, неповну інформацію та/або складено висновок про невідповідність змін до ПТК ЦД цим Вимогам.

Повідомлення про погодження суттєвих змін до ПТК ЦД, які мають наслідком видалення окремої функції ПТК ЦД або додавання нової функції ПТК ЦД щодо забезпечення проведення зборів власників цінних паперів, або про відмову у погодженні відповідних суттєвих змін до ПТК ЦД (з наданням копії відповідного рішення та висновку про відповідність/невідповідність), надсилається (видається) Центральному депозитарію не пізніше наступного робочого дня за датою прийняття відповідного рішення.

З дати прийняття рішення НКЦПФР про погодження суттєвих змін до ПТК ЦД, які мають наслідком видалення окремої функції ПТК ЦД або додавання нової функції ПТК ЦД щодо забезпечення проведення зборів власників цінних паперів, оновлений ПТК ЦД з урахуванням відповідних змін впроваджується у промислову експлуатацію та використовується для проведення зборів власників цінних паперів відповідно до законодавства.

Рішення про погодження суттєвих змін до ПТК ЦД, які мають наслідком видалення окремої функції ПТК ЦД або додавання нової функції ПТК ЦД щодо забезпечення проведення зборів власників цінних паперів, розміщується на вебсайті НКЦПФР протягом наступного робочого дня з дати прийняття відповідного рішення.

Центральний депозитарій повідомляє НКЦПФР відповідно до Порядку ведення обліку програмних продуктів на фондовому ринку, затвердженого рішенням НКЦПФР від 13 листопада 2012 року № 1617, зареєстрованого в Міністерстві юстиції України 21 січня 2013 року за № 141/22673 (у редакції рішення Національної комісії з цінних паперів та фондового ринку від 29 квітня 2020 року № 211), про внесення суттєвих змін до ПТК ЦД протягом місяця з дати впровадження в промислову експлуатацію відповідних змін.

Центральний депозитарій зобов'язаний забезпечити створення комплексної системи захисту інформації оновленого ПТК ЦД з урахуванням суттєвих змін до ПТК ЦД, які мають наслідком видалення окремої функції ПТК ЦД або додавання нової функції ПТК ЦД щодо забезпечення проведення зборів власників цінних паперів, з підтвердженою відповідністю у встановленому законодавством України порядку після прийняття НКЦПФР рішення про погодження відповідних змін, а також надати до НКЦПФР відповідні підтверджуючі документи протягом п'яти робочих днів після їх отримання.»;

4. Функціональність ПТК ЦД має відповідати вимогам:

1) мати механізми забезпечення ідентифікації та автентифікації користувачів, зокрема, забезпечувати можливість електронної ідентифікації власників цінних паперів (їх представників) за допомогою кваліфікованого електронного підпису, або шляхом альтернативної автентифікації. Ризик, пов'язаний із вибором процедури (засобу) електронної ідентифікації в авторизованій електронній системі, несе власник облігацій;

{Підпункт 1 пункту 4 розділу II із змінами, внесеними згідно з Рішенням Національної комісії з цінних паперів та фондового ринку № 245 від 06.03.2023}

2) система має вести протоколи реєстрації дій всіх користувачів системи та вести відповідні журнали;

3) мати механізм розподілення повноважень та рівнів доступу (рольова модель) для користувачів, відокремлені повноваження для адміністрування та настроювання системи;

4) обмін даними між клієнтом та системою має проходити із використанням засобів захисту інформації;

5) мати механізми забезпечення зберігання даних про проведені збори впродовж визначеного законодавством часу (включаючи архівування даних) та надавати доступ до історичних даних за запитом.

5. Центральний депозитарій має впровадити та підтримувати заходи інформаційної безпеки ПТК ЦД, спрямовані на:

1) захист ПТК ЦД від несанкціонованого доступу та/або витоку/ розголошенню інформації з обмеженим доступом та персональних даних;

{Підпункт 1 пункту 5 розділу II із змінами, внесеними згідно з Рішенням Національної комісії з цінних паперів та фондового ринку № 245 від 06.03.2023}

2) забезпечення конфіденційності, цілісності та доступності даних в ПТК ЦД.

Центральний депозитарій має впровадити та підтримувати заходи і механізми для оперативної ідентифікації та управління ризиками інформаційної безпеки ПТК ЦД.

III. Порядок авторизації ПТК ЦД

{Заголовок розділу III в редакції Рішення Національної комісії з цінних паперів та фондового ринку № 245 від 06.03.2023}

1. Авторизацію ПТК ЦД здійснює НКЦПФР у відповідності до процедур, передбачених цими Вимогами, після подання Центральним депозитарієм відповідної заяви щодо готовності ПТК ЦД для отримання статусу авторизованої системи.

2. Авторизація ПТК ЦД здійснюється шляхом прийняття НКЦПФР відповідного рішення щодо авторизації після встановлення відповідності ПТК ЦД цим Вимогам.

3. Авторизація ПТК ЦД здійснюється за двома етапами. Центральний депозитарій може подати документи для проходження першого та другого етапів авторизації ПТК ЦД одночасно.

4. Для проходження першого етапу авторизації ПТК ЦД Центральний депозитарій подає до НКЦПФР наступні документи:

1) заява про авторизацію ПТК ЦД (складається в довільній формі);

2) внутрішні документи Центрального депозитарію про засоби забезпечення збереження інформації та безперервності функціонування ПТК ЦД, які мають відповідати наступним вимогам:

а) передбачати дублювання апаратних компонентів, які у разі відмови дають змогу використовувати резервну інфраструктуру, зокрема мережеві підключення, технічні засоби та канали електронних комунікацій, засоби захисту інформації тощо;

б) забезпечувати резервне копіювання критичних для діяльності даних;

в) мати визначений цільовий час відновлення функцій, який має бути найкоротшим можливим;

г) мати обчислювальні потужності, достатні для виконання бізнес-функцій без перебоїв і відмов;

{Підпункт 2 пункту 4 розділу III із змінами, внесеними згідно з Рішенням Національної комісії з цінних паперів та фондового ринку № 64 від 27.01.2022}

3) внутрішні документи Центрального депозитарію щодо системи захисту інформації, її передання, мінімізації ризиків втрати, спотворення, несанкціонованого доступу та/або витоку, яка має відповідати наступним вимогам:

а) мати механізми захисту від несанкціонованого доступу, які відповідають вимогам законодавства у сфері захисту інформації, до ПТК та інформації у ньому;

б) мати механізми забезпечення безпеки та цілісності даних в ПТК, які відповідають вимогам законодавства у сфері захисту інформації, зокрема, але не обмежуючись: мережевої безпеки, антивірусного захисту, розподілу прав доступу до ресурсів ПТК, ведення журналів системних подій та дій користувачів;

в) забезпечувати постійний моніторинг стану функціонування ПТК;

г) для забезпечення цілісності, мінімізації ризиків спотворення інформації має бути передбачена можливість використання кваліфікованого електронного підпису відповідно до вимог законодавства.

{Підпункт 3 пункту 4 розділу III із змінами, внесеними згідно з Рішенням Національної комісії з цінних паперів та фондового ринку № 64 від 27.01.2022}

5. Для проходження другого етапу авторизації ПТК ЦД Центральний депозитарій подає до НКЦПФР наступні документи:

1) інформацію та/або документи про ПТК ЦД, які підтверджують дотримання цих Вимог;

2) інформацію про технічні засоби які призначені для функціонування ПТК ЦД, зокрема про серверне, комутаційне обладнання, тощо.

НКЦПФР має право надати запит Центральному депозитарію щодо надання додаткових документів або інформації щодо ПТК ЦД для визначення відповідності ПТК ЦД цим Вимогам.

6. Центральний депозитарій повинен забезпечити НКЦПФР можливість перевірки НКЦПФР ПТК ЦД шляхом демонстрації функціональних та технічних можливостей ПТК ЦД, підготувати та надати НКЦПФР протокол тестових випробувань навантажень технічних засобів, що призначені для функціонування ПТК ЦД, протокол тестування функціональних можливостей ПТК ЦД.

{Пункт 6 розділу III із змінами, внесеними згідно з Рішенням Національної комісії з цінних паперів та фондового ринку № 64 від 27.01.2022}

7. За результатами дослідження НКЦПФР відповідності ПТК ЦД цим Вимогам, складається відповідний висновок про відповідність/невідповідність ПТК ЦД цим Вимогам.

8. Рішення про авторизацію або про відмову в авторизації ПТК ЦД приймається на засіданні НКЦПФР, після складання НКЦПФР висновку, передбаченого пунктом 7 цього розділу.

У разі одночасного подання Центральним депозитарієм до НКЦПФР документів для проходження першого та другого етапів авторизації ПТК ЦД, НКЦПФР приймає рішення про авторизацію або про відмову в авторизації ПТК ЦД протягом місяця з дати отримання документів, передбачених пунктами 4, 5 та 6 цього розділу.

У разі подання Центральним депозитарієм до НКЦПФР документів для проходження першого етапу авторизації ПТК ЦД окремо від документів для проходження другого етапу авторизації ПТК ЦД (але пізніше, ніж за 15 днів до дати подання документів для проходження другого етапу авторизації ПТК ЦД), НКЦПФР приймає рішення про авторизацію або про відмову в авторизації ПТК ЦД протягом п'ятнадцяти днів з дати отримання документів, передбачених підпунктами 5 та 6 цього розділу.

9. НКЦПФР приймає рішення про відмову в авторизації ПТК ЦД якщо документи, подані Центральним депозитарієм, містять недостовірну, неповну інформацію та/або складено висновок про невідповідність ПТК ЦД цим Вимогам.

10. Повідомлення про авторизацію або про відмову в авторизації ПТК ЦД (з наданням копії відповідного рішення та висновку, передбаченого пунктом 8 цього розділу) надсилається (видається) Центральному депозитарію протягом наступного робочого дня з дати прийняття відповідного рішення.

З дати прийняття рішення НКЦПФР про авторизацію ПТК ЦД набуває статусу авторизованої електронної системи, відповідно до частини четвертої статті 110 Закону України "Про ринки капіталу та організовані товарні ринки".

11. Рішення про авторизацію ПТК ЦД, що використовується для проведення зборів власників цінних паперів, розміщується на вебсайті НКЦПФР протягом наступного робочого дня з дати прийняття відповідного рішення.

{Пункт 11 розділу III із змінами, внесеними згідно з Рішенням Національної комісії з цінних паперів та фондового ринку № 245 від 06.03.2023}

12. Статус авторизованої електронної системи, яка відповідає цим Вимогам, діє протягом життєвого циклу ПТК ЦД. Зміна статусу ПТК ЦД, як авторизованої електронної системи, визначається відповідним рішенням НКЦПФР.

Директор департаменту

інформаційних технологій

А. Заїка