161-ФЗ о национальной платежной системе: что регулирует закон

161-ФЗ — федеральный закон от 27 июня 2011 года № 161-ФЗ «О национальной платежной системе»: он определяет, как в России переводятся деньги внутри платёжных систем, кто такие субъекты национальной платёжной системы (НПС) и что для них обязательно, включая защиту информации и ответственность перед клиентом за операции без его согласия. Государственная дума приняла закон 14 июня 2011 года, Совет Федерации одобрил его 22 июня, президент подписал 27 июня — с этой датой закон и вошёл в оборот как «161-ФЗ».

Закон охватывает всю платёжную инфраструктуру страны — от порядка оказания платёжных услуг и требований к банковским платёжным агентам до Национальной системы платёжных карт (карта «Мир», глава 4.1) и платформы цифрового рубля (глава 4.2). Это не закон об информационной безопасности: большая часть его statей — про лицензирование операторов, порядок клиринга и расчётов, банковскую тайну в платёжной системе.

Материал не пересказывает 161-ФЗ целиком — для ИБ-портала важны конкретные узлы: статья 9 (ответственность оператора за несанкционированные операции) и статья 27 (защита информации в платёжной системе), а также то, как их дополнили антифрод-законы 2023–2026 годов.

161-ФЗ регулирует оказание платёжных услуг и перевод денежных средств, использование электронных средств платежа и деятельность субъектов национальной платёжной системы — банков-операторов по переводу денег, операторов платёжных систем, операторов услуг платёжной инфраструктуры, НСПК и Банка России как регулятора и надзорного органа НПС. Каждому типу субъекта посвящена отдельная статья закона.

Для клиента — физического или юридического лица — 161-ФЗ формулирует правила использования электронного средства платежа: карты, мобильного приложения банка, платежа через Систему быстрых платежей. Именно эта часть закона — статья 9 — определяет, кто отвечает, если деньги списаны без согласия клиента, и это первый из двух узлов, которые разбираются ниже отдельно.

Статья 9 обязывает оператора по переводу денежных средств информировать клиента о каждой операции с использованием электронного средства платежа (ч. 4); если операция прошла без согласия клиента, итог зависит от того, кто и когда нарушил порядок — банк обязан возместить сумму в течение 30 дней в одних случаях и освобождается от возмещения в других (ч. 11–15). Правило работает как трёхходовая логика, а не единое «банк всегда возвращает деньги».

Отдельно от этой трёхходовой логики стоит часть 12: если оператор уже получил уведомление клиента по ч. 11, но списание всё равно произошло — уже после отправки уведомления, — банк обязан возместить эту сумму в течение 30 дней без каких-либо условий и без права доказывать вину клиента.

Это не то же самое, что возмещение по ч. 15 за операцию, совершённую до уведомления, где у банка есть право доказать нарушение клиентом порядка использования средства платежа — часть 12 такой оговорки не содержит.

Ещё несколько частей статьи важны для практики. До заключения договора банк обязан информировать клиента об условиях использования средства платежа, включая случаи повышенного риска (ч. 3). Банк обязан хранить уведомления, направленные клиенту и полученные от него, не менее трёх лет (ч. 6) — это прямое требование к системам логирования и хранения операционных данных.

А часть 9.1 статьи, где раньше был отдельный механизм приостановки операций, с 2023 года утратила силу — её заменил более широкий механизм из частей 11.6–11.11, появившийся благодаря антифрод-закону 369-ФЗ: он привязывает приостановку электронного средства платежа к попаданию данных клиента в базу Банка России о случаях мошенничества.

Этот механизм и его связь со статьёй 27 разбираются в отдельном разделе ниже.

Статья 27 обязывает операторов по переводу денежных средств, платёжные системы, платёжных агентов и других субъектов национальной платёжной системы защищать информацию о средствах и методах обеспечения информационной безопасности и персональные данные клиентов; контроль и надзор без права доступа к самой защищаемой информации ведут ФСБ и ФСТЭК (ч. 1–2), а требования к защите информации при переводах устанавливает Банк России (ч. 3).

Отдельная норма — часть 1.1 статьи — прямо запрещает размещать в интернете информацию, которая помогает неправомерно получить доступ к информационным системам операторов, электронным средствам платежа клиентов или базам данных с информацией о клиентах. По формулировке это норма против фишинговой и мошеннической инфраструктуры — сайтов-клонов, инструкций по обходу защиты, схем неправомерного доступа к счетам.

Часть 4 обязывает операторов реализовывать мероприятия по противодействию переводам без согласия клиента в порядке, установленном Банком России. Это уже прямая правовая обязанность внедрять антифрод-системы у банков и платёжных систем, закреплённая нормой закона, а не рекомендация регулятора.

С 2023 по 2026 год три закона поверх 161-ФЗ выстроили систему антифрода: 369-ФЗ (2023) заменил прежний механизм новым — двухдневной приостановкой подозрительных переводов и базой данных Банка России о случаях мошенничества; 41-ФЗ (2025) создал государственную информационную систему (ГИС) противодействия правонарушениям; 210-ФЗ, известный как «антифрод 2.0» (2026), сделал интеграцию с этой ГИС обязательной и добавил лимит карт, 6-часовую задержку повторных операций и защиту банковских приложений от вредоносного ПО. Ниже — только то, что относится к самому 161-ФЗ;

полный разбор 210-ФЗ и график вступления его норм в силу — на отдельной странице «Антифрод 2.0», здесь тема не дублируется.

↔ таблицу можно прокрутить вбок

Термин «антифрод 1.0» для единого предыдущего закона в открытых источниках не закрепился — обозначение условное, редакция использует его только для контраста с «антифрод 2.0». Подробности о самом термине, полном перечне норм 210-ФЗ и графике вступления в силу с 26.06.2026 по 01.01.2028 — на странице «Антифрод 2.0».

Для рынка информационной безопасности 161-ФЗ вместе с антифрод-надстройкой — источник обязательного спроса: закон прямо обязывает банки и операторов платёжных систем закупать и интегрировать конкретные классы средств защиты, способные обмениваться сигналами с базой Банка России и государственной информационной системой. оценка

На практике статьи 9 и 27 и антифрод-законы 2023–2026 годов подталкивают банки и операторов к нескольким параллельным направлениям закупок: платформам класса антифрод / защита ДБО, которые распознают признаки мошеннических операций и обмениваются данными с базой Банка России; средствам защиты мобильных банковских приложений от вредоносного ПО — прямое требование 210-ФЗ; системам, которые обеспечивают выполнение технических требований к защите информации по статье 27 и подконтрольны надзору ФСТЭК и ФСБ.

Чем плотнее законодатель связывает 161-ФЗ с обязательными государственными системами — ГИС по 41-ФЗ, базой Банка России по 369-ФЗ — тем меньше у банков возможности обходиться внутренними самописными решениями вместо сертифицированных продуктов.