Из личного опыта - очень часто ЦКЗ компаний, входящих в экосистему сбера используют правила безопасности приближенные к банку. С этим персонально сталкивался
Стандарты киберзащиты и требований по их обеспечению устанавливаются на уровне банка и являются стандартом для всех дочерних компаний. Если сейчас это не соответствует, то это лишь вопрос времени.