Добрый день.
Прямых указаний именно для АБС нет. Существуют архитектуры АБС, принимающие сообщения от клиентов. Поэтому Банк России и рекомендует рассматривать каждый случай отдельно.
По существу вопроса – если АБС не обрабатывает полученные от клиента платежные поручения, то и сертифицировать (проводить анализ уязвимостей) не надо.
Следует отметить, что согласно требованиям 683-П “В отношении прикладного программного обеспечения автоматизированных систем и приложений, не указанных в абзаце первом настоящего подпункта, кредитные организации должны самостоятельно определять необходимость сертификации или анализа уязвимостей и контроля отсутствия недекларированных возможностей.”. То есть Банк может самостоятельно принять решение и сертифицировать или провести анализ уязвимостей в отношении АБС, даже если это не обязательно.