Зареєстровано в Міністерстві

юстиції України

19 жовтня 2012 р.

за № 1760/22072

Відповідно до пункту 20 статті 8 Закону України "Про державне регулювання ринку цінних паперів в Україні" (448/96-ВР) , з метою встановлення єдиних підходів до використання програмних продуктів у професійній діяльності на фондовому ринку Національна комісія з цінних паперів та фондового ринку ВИРІШИЛА:

1. Затвердити Вимоги до програмних продуктів, які використовуються на фондовому ринку, та програмного забезпечення автоматизованих, інформаційних та інформаційно-телекомунікаційних систем, призначених для здійснення професійної діяльності на фондовому ринку, депозитарної діяльності Центрального депозитарію цінних паперів, що додаються.

2. Визнати таким, що втратило чинність, рішення Державної комісії з цінних паперів та фондового ринку від 16 липня 2003 року № 349 (z1057-03) "Про встановлення вимог до програмних продуктів на фондовому ринку", зареєстроване в Міністерстві юстиції України 17 листопада 2003 року за № 1057/8378.

3. Управлінню інформаційних технологій, зовнішніх та внутрішніх комунікацій (А. Заїка) забезпечити:

подання цього рішення на державну реєстрацію до Міністерства юстиції України;

публікацію цього рішення відповідно до законодавства.

4. Це рішення набирає чинності через шість місяців з дня його офіційного опублікування.

5. Контроль за виконанням цього рішення покласти на члена Комісії К. Кривенка.

ЗАТВЕРДЖЕНО

Рішення Національної

комісії з цінних паперів

та фондового ринку

02.10.2012 № 1342

Зареєстровано в Міністерстві

юстиції України

19 жовтня 2012 р.

за № 1760/22072

1. Ці Вимоги розроблено відповідно до пунктів 13, 20 статті 8 Закону України "Про державне регулювання ринку цінних паперів в Україні" (448/96-ВР) , Законів України "Про електронні документи та електронний документообіг" (851-15) , "Про електронні довірчі послуги" (2155-19) , "Про інформацію" (2657-12) , "Про доступ до публічної інформації" (2939-17) , "Про авторське право і суміжні права" (3792-12) , "Про захист інформації в інформаційно-телекомунікаційних системах" (80/94-ВР) , підпункту 8 пункту 6 Положення про Національну комісію з цінних паперів та фондового ринку (1063/2011) , затвердженого Указом Президента України від 23 листопада 2011 року № 1063, Указу Президента України від 22 травня 1998 року № 505 (505/98) "Про Положення про порядок здійснення криптографічного захисту інформації в Україні", постанови Кабінету Міністрів України від 29 березня 2006 року № 373 (373-2006-п) "Про затвердження Правил забезпечення захисту інформації в інформаційних, телекомунікаційних та інформаційно-телекомунікаційних системах", наказу Адміністрації Державної служби спеціального зв`язку та захисту інформації України від 20 липня 2007 року № 141 (z0862-07) "Про затвердження Положення про порядок розроблення, виробництва та експлуатації засобів криптографічного захисту інформації", зареєстрованого в Міністерстві юстиції України 30 липня 2007 року за № 862/14129.

2. Ці Вимоги встановлюються до спеціалізованих програмних продуктів, програмного забезпечення автоматизованих, інформаційних систем, які створюються та/або використовуються професійними учасниками фондового ринку, Центральним депозитарієм цінних паперів (далі - Центральний депозитарій) при здійсненні професійної діяльності, депозитарної діяльності Центрального депозитарію (далі - програмні продукти).

Ці Вимоги встановлюються до програмного забезпечення спеціалізованих інформаційно–телекомунікаційних систем (далі - ІТС) для здійснення професійної діяльності, депозитарної діяльності Центрального депозитарію, яке створюється та/або використовується професійними учасниками фондового ринку, Центральним депозитарієм.

Ці Вимоги розповсюджуються на всі спеціалізовані програмні продукти, які використовуються для формування форм подання до Національної комісії з цінних паперів та фондового ринку (далі - Комісія) адміністративних даних різних видів та інформації, а також при обміні інформацією у електронному вигляді між професійними учасниками фондового ринку та/або Центральним депозитарієм.

3. У цих Вимогах терміни використовуються у таких значеннях:

документація - взаємопов’язані документи або документ, які/який містить опис функціональних можливостей програмного продукту, проектні та організаційні рішення для забезпечення функціонування, перевірки функціонування програмного продукту. Функціональні можливості програмного продукту мають відповідати вимогам, наведеним у: Законі України "Про депозитарну систему України" (5178-17) ; цих Вимогах; Правилах (умовах) здійснення діяльності з торгівлі цінними паперами: брокерської діяльності, дилерської діяльності, андеррайтингу, управління цінними паперами (z0052-07) , затверджених рішенням Державної комісії з цінних паперів та фондового ринку від 12 грудня 2006 року № 1449, зареєстрованих у Міністерстві юстиції України 23 січня 2007 року за № 52/13319 (у редакції рішення Державної комісії з цінних паперів та фондового ринку від 15 листопада 2011 року № 1638); Положенні про функціонування фондових бірж (z2082-12) , затвердженому рішенням Комісії від 22 листопада 2012 року № 1688, зареєстрованому в Міністерстві юстиції України 14 грудня 2012 року за № 2082/22394; Порядку та умовах надання статусу Центрального депозитарію цінних паперів (z0688-13) , затверджених рішенням Комісії від 16 квітня 2013 року № 597, зареєстрованих у Міністерстві юстиції України 26 квітня 2013 року за № 688/23220; Порядку та умовах видачі ліцензій на провадження окремих видів професійної діяльності на фондовому ринку (ринку цінних паперів), переоформлення ліцензії, видачі дубліката та копії ліцензії (z0854-13) , затверджених рішенням Комісії від 14 травня 2013 року № 817, зареєстрованих у Міністерстві юстиції України 01 червня 2013 року за № 854/23386; Ліцензійних умовах провадження професійної діяльності на фондовому ринку (ринку цінних паперів) - діяльності з організації торгівлі на фондовому ринку (z0856-13) , затверджених рішенням Комісії від 14 травня 2013 року № 818, зареєстрованих у Міністерстві юстиції України 01 червня 2013 року за № 856/23388; Ліцензійних умовах провадження професійної діяльності на фондовому ринку (ринку цінних паперів) - діяльності з торгівлі цінними паперами (z0857-13) , затверджених рішенням Комісії від 14 травня 2013 року № 819, зареєстрованих у Міністерстві юстиції України 01 червня 2013 року за № 857/23389; Положенні про провадження депозитарної діяльності (z1084-13) , затвердженому рішенням Комісії від 23 квітня 2013 року № 735, зареєстрованому в Міністерстві юстиції України 27 червня 2013 року за № 1084/23616; Ліцензійних умовах провадження професійної діяльності на фондовому ринку (ринку цінних паперів) - депозитарної діяльності та клірингової діяльності (z0897-13) , затверджених рішенням Комісії від 21 травня 2013 року № 862, зареєстрованих у Міністерстві юстиції України 06 червня 2013 року за № 897/23429;

життєвий цикл програмного продукту - період часу, який починається з моменту встановлення вимог до програмного продукту, включає в себе розробку, використання, супроводження, технічну підтримку програмного продукту і закінчується припиненням використання програмного продукту;

засіб криптографічного захисту інформації - програмний, апаратно-програмний, апаратний або інший засіб, призначений для криптографічного захисту інформації;

засоби розробки програмних продуктів - засоби, до складу яких входять мови програмування, засоби розробки баз даних, операційні системи, програмні продукти обміну даними, в тому числі з використанням поштових систем, офісні пакети додатків;

криптографічний захист - вид захисту, що реалізується за допомогою перетворень інформації з використанням спеціальних даних (ключових даних) з метою приховування (або відновлення) змісту інформації, підтвердження її справжності, цілісності, авторства тощо;

спеціалізована інформаційно-телекомунікаційна система - сукупність інформаційних та телекомунікаційних систем, які у процесі обробки інформації для здійснення професійної діяльності на фондовому ринку, депозитарної діяльності Центрального депозитарію діють як єдине ціле;

спеціалізований програмний продукт - програмний продукт, який створюється із застосуванням засобів розробки програмних продуктів та використовується професійними учасниками, Центральним депозитарієм на фондовому ринку при здійсненні професійної діяльності, депозитарної діяльності Центрального депозитарію, за винятком:

програмного засобу ІТС (операційної системи, програми обміну електронною поштою, програмного засобу захисту ІТС тощо), які без додаткових змін та доповнень у повному обсязі можуть використовуватись у діяльності, не пов`язаній з фондовим ринком;

програмного продукту загального користування (операційна система, офісний засіб, засіб архівування даних, файловий менеджер, програма обміну електронною поштою тощо), який без додаткових змін та доповнень у повному обсязі може використовуватись у діяльності, не пов`язаній з фондовим ринком;

допоміжного програмного продукту, використання або невикористання якого не впливає на професійну діяльність, депозитарну діяльність Центрального депозитарію;

Під використанням програмного продукту на фондовому ринку професійними учасниками, Центральним депозитарієм під час здійснення професійної діяльності, депозитарної діяльності Центрального депозитарію слід розуміти як безпосереднє використання програмного продукту зазначеними суб’єктами, так і використання програмного продукту клієнтами зазначених суб’єктів у випадках, якщо необхідність такого використання зумовлена наданням зазначеними суб’єктами послуг під час здійснення ними професійної діяльності, депозитарної діяльності Центрального депозитарію.

Визначення спеціалізованого програмного продукту поширюється на програмні продукти для комп’ютерів та інших електронних пристроїв, у тому числі бездротових (мобільних).

Визначення спеціалізованого програмного продукту поширюється на програмні засоби у формі відокремлених програм, програмних засобів та комплексів, у формі комплексних, у тому числі розподілених, автоматизованих систем, у формі веб-сайтів та веб-застосунків;

технічне завдання - документ, оформлений в установленому ГОСТ 19.201-78 порядку, який визначає мету, підстави, призначення, вимоги, які необхідні для розроблення (розвитку або модернізації) програмного продукту або програмного забезпечення ІТС, а також стадії та етапи розробки;

функціональні вимоги - опис функцій, які реалізовані (пропонується реалізувати) у програмному продукті або посилаються на програмний продукт та обумовлюють його функціональні можливості, є підставою для технічних рішень при його створенні;

цілісність інформації - умови, за яких інформація зберігається, передається та приймається без змін.

4. У цих Вимогах інші терміни використовуються у значеннях, наведених у законодавстві України.

1. Програмний продукт, який створюється професійним учасником фондового ринку, Центральним депозитарієм або на замовлення професійного учасника фондового ринку, Центрального депозитарію, створюється на підставі технічного завдання або аналогічного за змістом документа.

Програмний продукт, який створено не на замовлення професійного учасника фондового ринку або Центрального депозитарію, а було придбано або отримано у користування професійним учасником фондового ринку, Центральним депозитарієм, повинен мати документацію.

2. Технічне завдання або інший аналогічний за змістом документ щодо створення програмного продукту з метою програмної реалізації норм певного нормативно-правового акта Комісії має відповідати вимогам норм такого нормативно-правового акта та цим Вимогам.

3. Професійні учасники фондового ринку та Центральний депозитарій мають використовувати програмні продукти та засоби розробки програмних продуктів на правових підставах із дотриманням майнових та авторських прав, а також із дотриманням законодавства про санкції.

4. Документація до програмного продукту повинна містити опис реалізованих процедур, які відповідно до вимог нормативно-правових актів Комісії програмно реалізовані цим продуктом, мати інструкцію щодо користування програмним продуктом, опис процедури резервного копіювання та відновлення інформації, у тому числі баз даних, якщо програмний продукт використовується для створення або модифікації власних даних, описи процедур роботи з інформацією різного рівня доступу до неї, засобів захисту інформації.

5. Засоби захисту інформації, які використовуються у складі програмного продукту, мають бути реалізовані відповідно до національних стандартів, нормативно-правових актів з питань захисту інформації.

1. Функціональність програмного продукту має відповідати таким вимогам:

а) інтерфейс користувача програмного продукту забезпечує керування функціями, зазначеними у технічному завданні на програмний продукт або аналогічному за змістом документі, та повинен відповідати вимогам цих документів.

Інтерфейс користувача програмного продукту забезпечує керування функціями, наведеними у документації до програмного продукту;

б) обслуговувати запити користувачів та забезпечувати надання необхідної інформації, якщо програмний продукт використовується для обслуговування запитів користувачів та надання користувачам інформації.

Можливість обслуговування запитів користувачів повинна бути передбачена технічним завданням або аналогічним за змістом документом, якщо програмний продукт створюється для обслуговування запитів користувачів та надання користувачам інформації;

Можливість обслуговування запитів користувачів здійснюється за умови наведення такої функції у документації до програмного продукту, якщо програмний продукт створений для обслуговування запитів користувачів та надання користувачам інформації;

в) передбачати можливість перегляду інформації, створеної з урахуванням вимог нормативно-правового акта Комісії, за допомогою програмного продукту, створеного на вимогу такого нормативно-правового акта;

г) передбачати можливість роздрукування на певну (запитувану) дату на паперовому носії документів, створених в електронній формі за допомогою програмного продукту та передбачених певним нормативно-правовим актом Комісії, відповідно до якого цей продукт створено, здійснювати контроль формату даних таких документів, контроль та перевірку відповідності та цілісності інформації документів в електронній формі, якщо продукт створено для здійснення зазначених функцій на виконання вимог нормативно-правового акта Комісії.

Дані, що відображені у роздрукованих документах на паперових носіях, повинні відповідати даним, що містяться у електронній формі цього документа та відповідати вимогам, визначеним нормативно-правовими актами Комісії;

ґ) мати механізм обробки незавершених логічно неподільних операцій (трансакцій) та забезпечувати ведення журналів усіх виконаних у програмному продукті функцій у разі виконання програмним продуктом неподільних операцій (трансакцій).

Помилки у роботі програмного продукту або його аварійне завершення не повинні викликати втрату, часткове або повне порушення інформаційного масиву, з яким працює програмний продукт;

д) мати власний або використовувати наявні механізми створення резервних копій та відновлення інформації з резервних копій незалежно від того, у якій з попередніх версій програмного продукту ця резервна копія була створена, якщо програмний продукт використовується для створення або модифікації власних даних;

е) передбачати можливість додавання нових функціональних модулів до програмного продукту без зміни структури програмного продукту або блокування використання нових функціональних модулів, якщо цим програмним продуктом така можливість передбачена.

Можливість блокування використання нових функціональних модулів до програмного продукту, які створені для роботи з інформацією з обмеженим доступом, повинна бути передбачена на виконання вимог певного нормативно-правового акта Комісії;

є) забезпечувати для формування даних, які подаються до Комісії, експорт інформації у форматах, які визначає Комісія, та імпорт інформації з цих форматів у разі можливості виконання імпорту інформації;

ж) у разі призначення програмного продукту для обробки інформації, вимоги щодо захисту якої встановлено законодавством, програмний продукт повинен мати вбудовані механізми захисту інформації від несанкціонованого доступу, механізми забезпечення ідентифікації та автентифікації користувачів, механізми збереження цілісності електронних документів, реєстрації дій користувачів, управління доступом користувачів до інформації та окремих функцій, що надаються продуктом; програмний продукт може не включати вбудованих механізмів захисту, а використовувати зазначені механізми захисту системного програмного забезпечення або мати можливість інтегруватися в комплексну систему захисту інформації автоматизованої системи, у якій цей продукт використовується, якщо використання програмного продукту передбачає його інтегрування в комплексну систему захисту інформації;

з) програмний продукт, у тому числі електронна торговельна система (далі - ЕТС) фондової біржі, який при формуванні інформації використовує інформаційні, інформаційно-телекомунікаційні системи передачі інформації, повинен мати вбудовані механізми або передбачати можливість підключення сторонніх засобів здійснення діагностики функціонування програмного продукту, ЕТС фондової біржі, систем передачі інформації та у разі виявлення порушення роботи програмного продукту, ЕТС фондової біржі, системи передачі інформації надавати попередження;

и) у разі використання вбудованих засобів криптографічного захисту інформації (далі - КЗІ) такі засоби повинні мати сертифікат відповідності або позитивний експертний висновок за результатами державної експертизи у сфері КЗІ відповідно до законодавства;

і) у разі використання вбудованих засобів електронного підпису чи печатки, або засобів удосконаленого електронного підпису чи печатки, або засобів кваліфікованого електронного підпису чи печатки їх застосування здійснюється відповідно до Законів України "Про електронні документи та електронний документообіг" (851-15) , "Про електронні довірчі послуги" (2155-19) ;

ї) відповідати (не суперечити) функціональним вимогам, які безпосередньо або опосередковано випливають з вимог нормативно-правових актів Комісії, до відповідного напряму професійної діяльності на фондовому ринку.

2. Створення програмним продуктом архіву даних у разі, якщо архівація даних, передбачена технічним завданням або аналогічним за змістом документом, наведена у документації до програмного продукту, повинно забезпечити дотримання таких вимог:

а) можливість здійснювати архівування даних, які втратили актуальність, для їх подальшого зберігання протягом строку, визначеного законодавством;

б) можливість пошуку документів та інформації в архіві, який створюється програмним продуктом.

1. У процесі життєвого циклу програмний продукт підлягає супроводженню та технічній підтримці.

2. У разі внесення змін до законодавства, вимогам якого повинен відповідати програмний продукт, ці зміни мають бути впроваджені через зміни у програмному продукті у термін, передбачений відповідним законодавством.

3. У разі власної розробки або розробки на замовлення зміни до програмного продукту розробляються на підставі змін до технічного завдання на цей програмний продукт або документа, що його замінює, та відображаються в експлуатаційній документації на програмний продукт.

Зміни до програмного продукту, який придбано або отримано у користування, вносяться у порядку супроводження такого продукту та повинні мати супроводжувальну документацію (актуалізовану експлуатаційну документацію або зміни та доповнення до неї у вигляді окремих документів).

1. При обробці в ІТС професійного учасника фондового ринку, Центрального депозитарію інформації, яка є власністю держави, або інформації з обмеженим доступом, вимога щодо захисту якої встановлена законом, повинен забезпечуватися захист такої інформації шляхом створення комплексної системи захисту інформації з підтвердженою відповідністю у встановленому законодавством порядку.

2. Програмне забезпечення ІТС професійного учасника фондового ринку, Центрального депозитарію створюється на підставі технічного завдання, яке повинно містити вимоги із захисту інформації.

Зазначене технічне завдання (або окреме технічне завдання на систему захисту інформації в ІТС) повинно бути погоджено з Державною службою спеціального зв’язку та захисту інформації України в установленому порядку.

3. Функціональність програмного забезпечення ІТС професійного учасника фондового ринку, Центрального депозитарію має відповідати вимогам:

а) мати механізм забезпечення ідентифікації та автентифікації користувачів, реєстрації дій користувачів в ІТС;

б) мати механізм керування ІТС;

в) забезпечувати обмін даними та інформацією засобами телекомунікаційної системи ІТС під час їх автоматизованої обробки;

г) забезпечувати доступ користувача інформаційної системи ІТС до телекомунікаційних мереж, мережі Інтернет або інших мереж для обміну даними та інформацією;

ґ) забезпечувати захист даних та інформації від комп’ютерних вірусів;

д) мати механізм встановлення повноважень користувачів щодо виконання певних дій з обробки інформації (читання, модифікація, знищення, введення інформації тощо) та розмежування доступу користувачів до інформації, яка обробляється в ІТС;

е) забезпечувати блокування несанкціонованих дій щодо інформації, яка обробляється в ІТС.

4. При створенні ІТС та програмного забезпечення ІТС професійного учасника фондового ринку або Центрального депозитарію програмні засоби мають використовуватись на правових підставах із дотриманням майнових та авторських прав, а також законодавства про санкції.

5. Документація до програмного забезпечення ІТС професійного учасника фондового ринку, Центрального депозитарію повинна мати опис функціональних можливостей, які відповідно до вимог законодавства, у тому числі нормативно-правових актів Комісії, реалізовані цим програмним забезпеченням, мати інструкцію щодо користування програмним забезпеченням.

6. У процесі життєвого циклу прийняте до експлуатації програмне забезпечення ІТС професійного учасника фондового ринку, Центрального депозитарію підлягає супроводженню та технічній підтримці.