Российские банки ускоренно сворачивают сотрудничество с внешними ИТ- и ИБ-подрядчиками и переносят ключевые системы внутрь собственного контура. Для независимых компаний на рынке кибербезопасности и ИТ‑услуг это означает реальную угрозу потери крупнейших заказчиков – прежде всего системно значимых банков и крупных финансовых групп.
Крупные банки «забирают» ИТ и безопасность обратно
По данным системного интегратора «Информзащита», еще в 2022 году, в первый год масштабных санкций, крупнейшие банки выносили на аутсорс порядка 25–35% своих ИТ- и ИБ‑процессов. В 2023–2024 годах доля аутсорса постепенно росла и к концу 2024 года достигла уже 32–42%. Казалось, модель привлечения внешних команд закрепляется и становится нормой.
Однако в течение 2025 года тренд резко развернулся: доля переданных на сторону процессов вернулась к уровням 2022 года. То есть фактически крупные банки за год откатили несколько лет расширения аутсорса и начали массово забирать критичные сервисы «домой» – под контроль собственных ИТ‑подразделений и служб безопасности.
Средние банки тоже режут аутсорс, но не так радикально
У банков среднего размера сокращение зависимости от внешних подрядчиков не менее заметно. К концу 2024 года у них на аутсорсе находилось 45–52% ИТ- и ИБ‑функций, в зависимости от конкретной организации. Но уже по итогам 2025 года этот показатель просел до 35–45%.
Таким образом, даже те игроки, у которых нет таких ресурсов, как у крупнейших финансовых групп, все равно вынуждены пересматривать модель работы с аутсорсерами. Они по возможности укрупняют собственные команды, переводят внутрь наиболее чувствительные процессы, а внешним провайдерам оставляют лишь ту часть работ, которую сложно или экономически невыгодно тянуть своими силами.
Небольшие банки остаются на аутсорсе, но тоже ужимаются
Фактически только малые банки по-прежнему активно опираются на аутсорсинг в части цифровизации и кибербезопасности. Но и здесь динамика уже отрицательная. В 2024 году такие организации передавали внешним компаниям 52–67% профильных процессов, а в 2025-м – уже 48–62%.
Главное ограничение очевидно: дефицит кадров. Небольшие кредитные организации не имеют возможности содержать крупные команды ИТ и ИБ, конкурировать по зарплатам с флагманами рынка и одновременно развивать собственные продукты. Поэтому полностью отказаться от аутсорса им попросту нечем заменить внешние компетенции – даже если бы они и хотели сделать то же самое, что крупные банки.
Санкции, регуляторика и риски цепочек поставок
Резкое охлаждение интереса к ИТ- и ИБ‑аутсорсу эксперты связывают с несколькими факторами. Во‑первых, с санкционным давлением, которое повлияло и на поставки технологий, и на возможность долгосрочного сотрудничества с рядом зарубежных и аффилированных компаний.
Во‑вторых, на решения банков заметно повлияли новые требования к так называемым «критичным ИТ-сервисам» и ужесточение регулирования в этой части. Российский регулятор ввел дополнительные рекомендации для кредитных организаций относительно того, как следует управлять критически важными ИТ- и ИБ‑процессами. В результате многие банки предпочли максимально сократить внешние зависимости в той зоне, которую регулятор считает наиважнейшей для устойчивости финансовой системы.
Отдельная линия – «общие риски цепочек поставок». Чем сложнее ландшафт поставщиков технологий и услуг, тем больше точек входа для атак и сбоев. Банки стали гораздо осторожнее относиться к многоуровневым схемам, где между ними и реальным исполнителем работ стоит несколько промежуточных компаний.
Что теперь считается критичными ИТ‑сервисами
Под критичными ИТ‑сервисами кредитные организации и регулятор сегодня понимают не один, а целый набор ключевых задач. В эту категорию попадают:
- криптографические решения и управление ключами;
- базовая ИТ‑инфраструктура, обеспечивающая непрерывность операций;
- контур цифрового рубля;
- сервисы мониторинга и реагирования на инциденты информационной безопасности (SOC);
- системы, без которых невозможна устойчивая работа платежей, дистанционного банковского обслуживания и других ключевых сервисов.
Если раньше значительная часть этих функций часто передавалась внешним специализированным ИТ- и ИБ‑компаниям, то сейчас многие банки стремятся замкнуть их на собственные подразделения или, в крайнем случае, на дочерние структуры внутри банковских групп.
Что банки по-прежнему готовы отдавать на сторону
Полного отказа от аутсорса не происходит. Банки продолжают использовать внешние компетенции, но точечно и на других условиях. Среди задач, которые чаще всего остаются у подрядчиков:
- независимый аудит систем информационной безопасности;
- разработка и сопровождение фронт-систем (включая интерфейсы клиентских приложений и части дистанционного банковского обслуживания);
- борьба с мошенничеством, включая высокоспециализированные антифрод‑решения;
- обеспечение и поддержка стандартов безопасности данных платежных карт (PCI DSS).
По словам участников рынка, речь идет скорее о стратегической переоценке подхода к аутсорсингу, чем о его полном сворачивании. Банки пересматривают правила взаимодействия: усиливают контроль, сокращают число внешних подрядчиков, требуют большей прозрачности процессов и гарантированной управляемости рисков.
Почему безопасность стала аргументом против аутсорса
Одна из ключевых причин изменения модели – рост киберугроз. По оценке компаний, работающих в сфере кибербезопасности, около 30% атак на российские организации в последние годы были направлены именно на цепочки поставок. То есть злоумышленники бьют не напрямую по банкам или крупным корпорациям, а по их технологическим и сервисным подрядчикам, через которых можно получить доступ к нескольким целевым клиентам сразу.
В случае успешной атаки на ИТ- или ИБ‑подрядчика под ударом оказываются сразу десятки, а то и сотни его заказчиков. Для банков это неприемлемый риск: один инцидент в инфраструктуре провайдера может привести к массовым утечкам данных, остановке критичных сервисов и серьезным репутационным потерям.
Отсюда и логика: чем меньше внешних связей внутри критичных контуров, тем легче их контролировать и защищать. Собственные команды, работающие в рамках единой инфраструктуры банка, в такой модели выглядят надежнее, пусть и дороже.
Чем это грозит российским ИБ‑ и ИТ‑компаниям
Для независимых ИБ‑вендоров и ИТ‑аутсорсеров складывающаяся ситуация крайне чувствительна. Крупнейшие банки традиционно были для них основными и самыми платежеспособными клиентами. Теперь этот сегмент рынка сужается: большие игроки переносят значимую часть работ внутрь, оставляя на аутсорсе лишь ограниченный диапазон задач.
Это означает:
- падение объемов крупных проектов, особенно в зоне построения или полного сопровождения инфраструктуры;
- рост конкуренции за оставшиеся виды работ – аудит, нишевые сервисы, интеграцию;
- давление на цены и маржу, поскольку банки будут активнее торговаться и сравнивать подрядчиков;
- необходимость для ИБ-компаний перестраивать продуктовые линейки и бизнес‑модели.
Особенно сложно придется тем игрокам, чей бизнес был почти полностью завязан на банковский сектор. Им придется либо срочно выходить в новые отрасли, либо переходить от сервисной модели к продуктовой, предлагая тиражируемые решения, которые можно продавать более широкому кругу клиентов.
Как могут адаптироваться ИБ‑подрядчики
Чтобы не потерять рынок окончательно, российским компаниям в области ИТ и кибербезопасности придется менять стратегию. Возможные направления адаптации:
1. Углубление специализации. Вместо универсального «комплексного ИБ‑подрядчика» – роль экспертного игрока в одной-двух нишах (например, антифрод, защита платежной инфраструктуры, аналитика инцидентов, защищенная разработка).
2. Разработка собственных продуктов. Базироваться не только на сервисной выручке, но и на продаже лицензий и подписок на свои платформы и решения. Это особенно важно в контексте импортозамещения и спроса на отечественное ПО.
3. Работа с другими секторами. Перераспределение фокуса на промышленность, ритейл, логистику, здравоохранение, органы власти – сегменты, где спрос на ИБ‑услуги растет, а ресурс на создание собственных крупных команд есть не у всех.
4. Модель «аутсорс внутри периметра клиента». Создание смешанных команд, которые формально остаются сотрудниками подрядчика, но работают на инфраструктуре и под управлением заказчика, максимально вписаны в его процессы и проходят те же проверки, что штатные сотрудники.
5. Усиление компетенций в управлении рисками и соответствием требованиям регулятора. Банкам важно не только «тушить пожары», но и уверенно проходить проверки, аудиты и стресс‑тесты.
Что это значит для банков в долгосрочной перспективе
Перенос критичных сервисов внутрь контура повышает управляемость и снижает зависимость от внешних факторов, но одновременно несет и обратную сторону:
- возрастают расходы на содержание и развитие внутренних ИТ- и ИБ‑команд;
- растет конкуренция за квалифицированные кадры, что поднимает зарплаты и усложняет найм;
- замедляется скорость внедрения инноваций, поскольку внешние подрядчики часто были драйверами новых подходов и технологий.
Для крупных банков эти издержки приемлемы, они воспринимаются как плата за устойчивость и контроль. Для средних и малых игроков нагрузки могут оказаться критичными. Им придется балансировать между требованиями регулятора, реальными рисками и собственными финансовыми возможностями.
В перспективе нескольких лет возможно усиление консолидации: небольшие банки, не способные одновременно выдерживать регуляторное давление и создавать мощные внутренние ИТ‑блоки, будут объединяться или входить в орбиты более крупных групп.
Как может измениться рынок через 3–5 лет
Если нынешняя тенденция сохранится, через несколько лет рынок ИТ и ИБ в финансовом секторе может выглядеть так:
- крупные банки – почти полностью «самодостаточны» по критичным сервисам и работают с аутсорсом точечно;
- средние банки – комбинируют собственные команды и ограниченный пул доверенных подрядчиков, часто из числа структур, входящих в одну финансовую группу;
- малые банки – остаются зависимыми от аутсорса, но под гораздо более жестким контролем регулятора и с более строгими требованиями к подрядчикам.
Для российских ИБ‑компаний это и вызов, и окно возможностей. Те, кто сумеет перестроиться, предложить рынку новые модели сотрудничества, усилить технологическую экспертизу и доказать надежность в условиях ужесточения требований, смогут не только сохранить позиции, но и вырасти за счет конкурентов, не выдержавших изменений.
Итог: «своя» ИТ и ИБ как новая норма для крупных игроков
На фоне санкций, роста киберугроз и ужесточения регулирования российский банковский сектор ускоренно движется к модели, в которой ключевая ИТ‑ и ИБ‑инфраструктура должна быть под прямым контролем самого банка. Для независимых ИБ‑ и ИТ‑компаний это означает постепенную потерю роли стратегических партнеров крупных финансовых организаций и необходимость срочной трансформации.
В выигрыше останутся те подрядчики, которые смогут встроиться в новую реальность: работать ближе к периметру клиента, брать на себя наиболее сложные, штучные задачи и одновременно доказывать, что не усиливают, а снижают совокупный риск для банков. Остальным придется искать новых заказчиков и новые ниши – иначе рынок, который долгие годы был одним из самых привлекательных, станет для них источником все уменьшающегося потока контрактов.
