Руководство по соответствию · Банки и платежи

Требования НБМ к ИКТ:
что тестировать и что сообщать

Регламент ИКТ Национального банка действует в полном объёме с июня 2026 года. Пентесты, аудит, инциденты, годовая отчётность — по пунктам, со ссылками на текст.

Обновлено 7 мин чтения 6 источников
Содержание
  1. К кому применяется и с какого момента
  2. Пентесты и сканирование (пп. 30, 33)
  3. Аудит критичных систем (пп. 24–25)
  4. Уведомление об инцидентах (п. 81)
  5. Ваш календарь обязательств
  6. Поставщики и аутсорсинг
  7. НБМ, PCI DSS и DORA: где пересекаются
  8. Как мы строим тест для НБМ
  9. Частые вопросы
  10. Источники

За 30 секунд

  • Регламент, утверждённый ПИК № 29 от 12.02.2025, действует с 20 марта 2025 года; последние сроки приведения в соответствие (15 месяцев) истекли в июне 2026 года 12.
  • Применяется к банкам, платёжным обществам, эмитентам электронных денег и почтовым операторам, оказывающим платёжные услуги 1.
  • Пентест критичных систем: минимум раз в 3 года, на продуктиве, специалистами с международными сертификатами 1.
  • Об инциденте с критичными функциями уведомляют до конца рабочего дня; итоговый отчёт за подписью руководства — в течение 20 дней 1.
  • До 31 января НБМ получает результаты пентестов и сканирований, а также отчёты PCI DSS и SWIFT, если они есть 1.
Действует
20.03.2025 1
Пентест
≤ 3 лет 1
Инцидент
в тот же день 1
Годовой отчёт
31 января 1

К кому применяется и с какого момента

Регламент о минимальных требованиях к управлению рисками ИКТ, информационной безопасности и непрерывности деятельности утверждён Постановлением Исполнительного комитета НБМ № 29 от 12 февраля 2025 года, опубликован в Официальном мониторе № 62-65 от 20.02.2025 и действует с 20 марта 2025 года 13. Применяется к поставщикам платёжных услуг по ст. 5 ч. (1) п. a)–d) Закона № 114/2012: банкам, платёжным обществам, эмитентам электронных денег и почтовым операторам 1.

  1. 3 месяца
    Июнь 2025

    Уведомление об инцидентах (п. 81).

  2. 9 месяцев
    Декабрь 2025

    Управление, безопасность, пентесты, операции, инциденты, оценка рисков и годовая отчётность (пп. 4–56, 62, 65–67, 76–80, 82).

  3. 12 месяцев
    Март 2026

    Первые требования к непрерывности деятельности (пп. 57, 58.1–58.11).

  4. 15 месяцев
    Июнь 2026

    Тестирование и пересмотр плана непрерывности и остальные требования (пп. 58.12–61, 63–64, 68–75).

Пентесты и сканирование (пп. 30, 33)

Регламент требует системы оценки и тестирования, подтверждающей, что меры контроля действительно работают (п. 33). Конкретно 1:

ПунктЧто требует
30.1Периодическое сканирование уязвимостей критичных приложений, систем, сетевого оборудования и рабочих станций; своевременные меры или компенсирующие контроли 1
33.1Сканирование и пентесты соразмерно риску и важности систем 1
33.2Для критичных систем и сервисов: на постоянной основе, минимум раз в 3 года или чаще по требованию НБМ 1
33.3По заранее определённым сценариям, утверждённым учреждением, на продуктивных системах в реальном времени 1
33.4Экспертами с международными сертификатами, напр. OSCP, CEH, GPEN, CPENT, LPT 1
33.5При значительных изменениях инфраструктуры или процессов, после крупных инцидентов и при запуске новых систем, доступных из интернета 1

Аудит критичных систем (пп. 24–25)

Отдельно от тестов все критичные системы и сервисы ИКТ проходят внутренний или внешний аудит минимум раз в 3 года. Минимальный список, если они есть: автоматизированная система внутренних платежей (SAPI), удалённые платёжные инструменты, SWIFT, core banking, базы данных, Active Directory, управление идентификацией и привилегированным доступом, межсетевой экран, VPN, электронный документооборот и мессенджеры 1. Рекомендации устраняются своевременно, соразмерно риску (п. 25) 1.

Пентест Active Directory, VPN, межсетевого экрана и интернет-банкинга даёт технические доказательства, которые аудит может использовать напрямую, — особенно по привилегированному доступу, где бумажная конфигурация и реальность расходятся чаще всего.

Уведомление об инцидентах (п. 81)

Об инцидентах уведомляют через PCSI или, если она недоступна, по адресу [email protected] 1:

  1. День 0
    Первичное уведомление — критичные функции

    Без промедления, до конца рабочего дня; если инцидент произошёл менее чем за 2 часа до конца дня — в течение 4 часов с начала следующего рабочего дня (п. 81.1).

  2. День 1
    Первичное уведомление — платёжные услуги

    Для инцидентов со значимыми функциями или непрерывностью платёжных услуг — не позднее следующего рабочего дня (п. 81.2).

  3. ≤ 3 дней
    Промежуточный отчёт

    Обстоятельства, затронутые системы, оценка влияния и принятые меры (п. 81.3).

  4. ≤ 20 дней
    Итоговый отчёт

    За подписью члена органа управления: основные причины, фактическое влияние и меры против повторения (п. 81.4).

Ваш календарь обязательств

Ответьте на три-четыре вопроса и увидите в одном месте, что направлять в НБМ и что тестировать, с пунктом регламента 145.

Календарь обязательств по ИКТ перед НБМ

Ориентировочно, по тексту регламента; не заменяет его чтения и диалога с НБМ.

Какой вы поставщик?
Проходите ли вы ежегодную оценку PCI DSS?
Подключены ли вы к SWIFT?

Поставщики и аутсорсинг

Учреждение полностью отвечает за эффективность мер безопасности аутсорсинговых функций (п. 78), а договоры с поставщиками ИКТ содержат положения о конфиденциальности, целостности и доступности и обязанность сотрудничать с надзорными органами (п. 32) 1.

Для небанковских поставщиков регламент об аутсорсинге (ПИК № 28/2025) добавляет: внешний аудитор аутсорсинговой обработки карт имеет квалификацию QSA, если у поставщика нет ежегодного аудита QSA (п. 65.4), а договор при необходимости предусматривает пентест аутсорсинговых сервисов ИКТ (п. 77.3.2) 4.

НБМ, PCI DSS и DORA: где пересекаются

АспектНБМ (ПИК 29/2025)PCI DSS v4.0.1DORA (ЕС)
ПентестКритичные системы, ≤ 3 лет 1Среда карт, 12 месяцев 5Критичные функции ежегодно; TLPT раз в 3 года для определённых 6
ТестировщикиМеждународные сертификаты 1Квалифицированные, независимые 5Независимые; строгие требования для TLPT 6
ПродуктивДа, по утверждённым сценариям 1Периметр CDE 5TLPT на продуктиве 6

DORA не применяется в Республике Молдова напрямую, но это европейский ориентир для банков с акционерами из ЕС. Одна программа тестирования, спланированная по самой строгой частоте, покрывает все три.

Как мы строим тест для НБМ

  1. Критичный перечень

    Начинаем с критичных систем и списка п. 24: интернет-банкинг, SAPI, SWIFT, core banking, Active Directory, VPN.

  2. Утверждённые сценарии

    Сценарии пишутся и утверждаются учреждением до теста, как требует п. 33.3.

  3. Тест на продуктиве

    С согласованными окнами, экстренными контактами и немедленной остановкой при любом неожиданном эффекте.

  4. Отчёт для НБМ

    Находки с критичностью, доказательствами и исправлением, плюс сертификаты тестировщиков — готово к январской отчётности (п. 82.1).

  5. Повторный тест

    Подтверждает закрытие находок до отчётности.

Частые вопросы

Как часто НБМ требует тест на проникновение?
Для критичных систем и сервисов ИКТ — на постоянной основе и минимум раз в 3 года или чаще по требованию НБМ; а также при значительных изменениях, после крупных инцидентов и при запуске новых систем, доступных из интернета (пп. 33.2, 33.5) 1.
Какие сертификаты нужны тестировщикам?
Международно признанные сертификаты; регламент приводит примеры: CEPT, CPT, CEH, OSCP, OPST, CPENT, GPEN, LPT, PTC (п. 33.4) 1.
Тест проводится на продуктиве?
Да. П. 33.3 требует проводить тесты по заранее определённым сценариям, утверждённым учреждением, на продуктивных системах 1.
В какой срок сообщать об инциденте в НБМ?
Для критичных функций — до конца рабочего дня (или в течение 4 часов с начала следующего дня, если инцидент произошёл в последние 2 часа); для платёжных услуг — до следующего рабочего дня. Промежуточный отчёт — в течение 3 дней, итоговый — 20 дней (п. 81) 1.
Что отправлять в НБМ в конце года?
В течение месяца после окончания года: результаты пентестов, последние сканирования уязвимостей (на декабрь), отчёты SWIFT CSCF и PCI DSS, если есть, результаты тестов непрерывности и отчёт о значимых рисках ИКТ (п. 82) 1.
Применяется ли регламент к платёжным обществам?
Да: он применяется ко всем поставщикам платёжных услуг по ст. 5 ч. (1) п. a)–d) Закона 114/2012 — банкам, платёжным обществам, эмитентам электронных денег и почтовым операторам 1.

Источники

Каждое утверждение о законе или стандарте ссылается на официальный источник. Проверено на указанную дату.

  1. НБМ — Регламент о минимальных требованиях к управлению рисками ИКТ, информационной безопасности и непрерывности деятельности (ПИК № 29/2025), PDFbnm.md · проверено 23 октября 2026 г.
  2. НБМ — страница регламента со сроками приведения в соответствиеbnm.md · проверено 23 октября 2026 г.
  3. Государственный реестр правовых актов — ПИК № 29/2025legis.md · проверено 23 октября 2026 г.
  4. НБМ — Регламент об аутсорсинге функций небанковскими поставщиками платёжных услуг (ПИК № 28/2025, изм. ПИК № 229/2025)bnm.md · проверено 23 октября 2026 г.
  5. PCI DSS v4.0.1 — SAQ D для поставщиков услуг, r2 (требования 11.3 и 11.4)pcisecuritystandards.org · проверено 23 октября 2026 г.
  6. Регламент (ЕС) 2022/2554 (DORA)eur-lex.europa.eu · проверено 23 октября 2026 г.

Об авторах

Руководства пишет команда, которая проводит тесты, а не отдел маркетинга. Мы обновляем их, когда меняется закон, стандарт или то, что мы видим в тестах.

Команда Pentest.mdИнженеры по безопасности с сертификатами CEH, CISSP, CISA и CISM

Связанные руководства

Руководство по PCI DSS v4.0.1Руководство по DORA и TLPTРуководство по закону 48/2023Руководство по ISO 27001 и SOC 2Как подготовиться к пентестуСколько стоит пентестВсе руководства →

Январская отчётность приближается?

Пентесты критичных систем на продуктиве, с сертифицированными специалистами и отчётом, готовым для НБМ.

Запросить предложение →Задать вопрос