• Кредитные организации — только аккредитованные IT-компании либо банки с универсальной лицензией, где более 50% голосов прямо или косвенно контролируются государством, регионами, муниципалитетами или гражданами РФ без двойного гражданства. 

• Небанковские финансовые организации — аккредитованные IT-компании, а также другие участники финансового рынка под российским контролем. 

• Российские банки с универсальной лицензией под контролем иностранных банков — могут поручать обработку иностранному банку, но для этого нужно согласование ЦБ, ФСБ и Росфинмониторинга. При этом иностранный банк должен вести деятельность не менее трёх лет, а ЦБ — иметь соглашение об обмене информацией с регулятором страны, где он находится. Передача данных не должна угрожать стабильности банковской системы. 

Ещё одно важное условие: информационные системы исполнителя должны находиться на территории Российской Федерации. 

• Финансовая организация обязана заранее уведомить Банк России о намерении привлечь стороннего исполнителя. К уведомлению нужно приложить заключение об операционном аудите исполнителя, проведённом организацией с лицензией ФСТЭК и (или) ФСБ. 

• Передавать данные можно будет по истечении 60 дней после направления уведомления, если ЦБ за это время не примет решение о запрете. 

• Исполнитель обязан ежегодно проходить операционный аудит и направлять его результаты заказчику и в ЦБ. 

• При выявлении инцидента информационной безопасности исполнитель должен сообщить заказчику в течение двух часов с момента его обнаружения. 

• У исполнителя должны быть сотрудники, отвечающие за информационную безопасность. У руководителя не должно быть непогашенной судимости за экономические и компьютерные преступления. Также исполнитель и его руководитель не должны являться «блокируемыми лицами» по закону о специальных экономических мерах. 

• За нарушения Банк России вправе запретить обработку информации с использованием систем исполнителя на срок до шести месяцев. 

• Данные, полученные в ходе обработки, нужно хранить не менее пяти лет.