Цифровой рубль для банка с универсальной лицензией: план до 1 сентября 2027 года

С 1 сентября 2026 года операции с цифровым рублём обязаны предоставлять системно значимые кредитные организации и кредитные организации, признанные Банком России значимыми на рынке платёжных услуг. Следующими, для кого возникает такая обязанность по Федеральному закону от 23.07.2025 № 248-ФЗ, являются банки с универсальной лицензией. Для них срок наступает 1 сентября 2027 года, и перенести его договорённостью с регулятором нельзя.

Если начинать отсчёт от середины октября 2026 года, до срока остаётся около десяти с половиной месяцев. Типовой проект подключения занимает примерно десять месяцев. В нашем чек-листе готовности мы закладываем тринадцать, с запасом на согласования. У банка, который стартует сейчас, запаса времени уже нет – план должен быть сжатым, без «пустых» недель.

Ниже представлен план по месяцам и отмечены шаги, на которых в проекте чаще всего теряют время. Что именно требует Положение Банка России № 833-П, мы разбирали в отдельной статье, а здесь речь идёт о порядке работ.

Что нельзя ускорить

Большую часть проекта можно сжать, если привлечь больше специалистов, в том числе со стороны банка, и запараллелить работы. Но выполнение четырёх задач от бюджета не зависит:

• поставка средств криптографической защиты и оборудования,
• получение лицензии ФСБ России, если её у банка нет,
• опытная эксплуатация и приёмо-сдаточные испытания,
• согласование схемы сетевой связанности с Банком России.

Именно они задают каркас плана. Все остальные работы нужно выстроить вокруг них так, чтобы к моменту поставки оборудования было готово всё, что на нём должно работать, а к испытаниям были готовы документы, по которым их проводят.

План по месяцам

Октябрь и ноябрь 2026. Предпроектное обследование: определяется, что уже закрыто действующей инфраструктурой и ранее выполненными мероприятиями по ГОСТ Р 57580.1-2017, а что придётся дополнительно реализовать. Параллельно выбирается прикладное решение шлюза цифрового рубля и его разработчик. Здесь же принимается главное архитектурное решение: «инхаус» или «гибрид», одна площадка или две, какая схема резервирования. Варианты стоит посчитать по стоимости до того, как выбирать: разница между ними бывает кратной.

Ноябрь и декабрь. Разработка модели угроз и нарушителей безопасности, технического задания и технического проекта, ведомости поставки, схем сетевой связанности для тестового и промышленного контуров. Определяется перечень всех применимых требований к защите информации, которые должны быть реализованы в контуре. К концу декабря заказы на СЗИ, СКЗИ и оборудование должны быть размещены. Если лицензии ФСБ России у банка нет, заявку подают в эти же сроки: без лицензии банк не сможет выполнять функции удостоверяющего центра, а их у него будет два. Здесь же стартует разработка организационно-распорядительных документов, определяющих порядок реализации мер защиты информации в контуре безопасности с учётом всех применимых нормативных актов.

Январь и февраль 2027. Поставка и монтаж оборудования, развёртывание контура удостоверяющих центров и административного сегмента. Параллельно, не дожидаясь техники, разрабатывается комплект организационно-распорядительных документов удостоверяющего центра: регламенты, порядок ведения реестра сертификатов, перечень угроз при идентификации без личного присутствия, порядок разбора конфликтных ситуаций и иные необходимые документы. Подробно мы рассматривали состав комплекта в статье про подчинённый УЦ. В это же время готовятся программа и методика испытаний.

Март. Настройка обоих УЦ, выпуск корневых сертификатов, публикация списков отозванных сертификатов. Внедрение сервиса автоматизации выпуска сертификатов и настройка взаимодействия с ЕСИА (при наличии).

Апрель. Организация контуров обработки и контроля, сегмента взаимодействия с платформой Банка России, защиты каналов. К концу месяца схема сетевой связанности должна быть согласована с Банком России.

Май. Проведение оценки влияния среды функционирования на СКЗИ, в том числе в клиентских приложениях. Издание приказов о ролях и ответственных, проведение обучения работников удостоверяющего центра с оформлением результатов.

Июнь и июль. Проведение опытной эксплуатации по утверждённой программе и методике, устранение замечаний, затем приёмо-сдаточных испытаний с протоколами и отчётами.

Август. Оформление Акта о готовности выполнения требований к обеспечению защиты информации, издание приказа о вводе в промышленную эксплуатацию.

Резерва в этом плане нет. Любая задержка при поставке или согласовании сдвигает испытания, а испытания сдвигать уже некуда.

Где проекты теряют время

На стыках ответственности подрядчиков. В проекте обычно участвует несколько команд: разработчик шлюза, интегратор средств защиты, команда ДБО и мобильного приложения. Каждая отвечает за свой блок, а криптография и защищённые каналы оказываются между ними. Разработчик шлюза уверен, что их закрывает инфраструктура, а команда инфраструктуры считает, что это зона прикладного решения. Обнаруживается это на испытаниях. Границы ответственности нужно закрепить в договорах и в техническом проекте до начала работ.

На документах удостоверяющего центра. Их часто откладывают «на потом» и берутся за них уже после внедрения, потому что техника кажется важнее. Но без регламентов, приказов и обученных людей УЦ не принять, а на разработку и согласование этого комплекта уходят месяцы. Если начать в январе, документы будут готовы к опытной эксплуатации. Если в апреле, выполнить требования в срок уже не получится.

На оценке среды функционирования СКЗИ. Средство криптографической защиты сертифицировано для конкретных условий, описанных в формуляре и эксплуатационной документации. Если фактическая инфраструктура или клиентское приложение отличаются от этих условий, это выявляется при оценке влияния – и тогда приходится переделывать уже развёрнутое. Требования формуляров нужно учитывать при техническом проектировании (ноябрь–декабрь), а не на этапе оценки (май).

На ожидании типовых решений. Ассоциация ФинТех по поручению Банка России готовит типовые архитектурные решения и конфигурации для подключения к платформе, уже вышел плейбук с вариантами подключения. Это полезный ориентир для выбора архитектуры. Но это рекомендации и срок 1 сентября 2027 года они не меняют, поэтому ждать их выхода, чтобы начать проект, нельзя.

Если вы начинаете позже

Если проект стартует в декабре или январе, план придётся сжимать. Что можно сделать:

• Разрабатывать организационно-распорядительные документы параллельно с техническим проектом, а не после него.
• Первым разворачивать тестовый контур, чтобы шлюз и фронты начали отладку до готовности промышленного.
• Вынести на сторону провайдера ту часть инфраструктуры, которую допустимо разместить вне банка (это возможно при гибридной архитектуре). Это не снимает с банка функции удостоверяющего центра, но сокращает объём собственных работ.
• Заранее договориться с поставщиками о сроках поставки СКЗИ и зафиксировать их в договоре.

При этом опытную эксплуатацию и испытания сокращать не стоит: именно по их результатам проверяют Акт о готовности.

Проверить, где вы сейчас относительно срока, можно по нашему чек-листу готовности к цифровому рублю: в нём те же этапы, расписанные обратным отсчётом от вашей даты.

---

Подключение к платформе цифрового рубля. Обследование готовности, архитектура, поставка и внедрение средств защиты, удостоверяющие центры, комплект документов и подготовка к приёмке. Срок от 10 месяцев, стоимость определяем по результатам обследования. Подробнее об услуге