Обзор изменений в законодательстве за август 2026 года

23 сентября 2026

Новости

В обзоре изменений законодательства за август 2026 года рассмотрим следующие темы:

1. Критическая информационная инфраструктура

Рассмотрим изменения в приказе ФСТЭК России № 235.

2. Персональные данные

Рассмотрим планируемые изменения в форме проверочного листа по безопасности ПДн, требования к базам ПДн о пассажирах и персонале транспортных средств, а также разъяснения Минцифры и ФСТЭК России по вопросам ПДн.

3. Государственные информационные системы

Рассмотрим правила использования электронных сервисов в ГИС и ИС госорганов, внесенные и планируемые изменения в приказе ФСТЭК России № 117, требования к защите ГИС с использованием СКЗИ, порядок взаимодействия операторов ГИС с ГосСОПКА, а также требования к защите информации при предоставлении хостинга операторам ГИС.

4. Финансовые организации

Изучим новый Федеральный закон о криптовалютах, а также рассмотрим новые требования к операционной надежности кредитных организаций, планируемые порядок формирования и ведения ЕСУПК, требования к направлению банками информации в ЕСУПК и требования к защите информации, содержащейся в ЕСУПК.

5. Иное

Рассмотрим изменения в 63-ФЗ «Об электронной подписи», меры по обеспечению безопасности ОКИИ РФ, требования к ИС госорганов, изменения в лицензировании деятельности по разработке СКЗИ, новые правила регистрации доменных имен и требования к их регистраторам. Также рассмотрим планируемые изменения в законодательстве об ИИ, изменения в НПА Минцифры России в области использования электронной подписи (далее – ЭП) и новые условия отзыва сертификатов безопасности для доменов.

6. Стандартизация

Вспомним, какие национальные стандарты вступают в силу в августе, а также изучим обновленный отраслевой стандарт защиты данных Ассоциации больших данных.

7. ФСТЭК России

Разберем методику оценки уровня зрелости деятельности по защите информации, новые редакции перечней контрольно-измерительного и испытательного оборудования, а также разъяснение отдельных лицензионных требований в области ТЗКИ и СЗКИ. Рассмотрим справку-доклад о ходе работ по плану ТК 362 по состоянию на 28 августа 2026 года и приведем список обновленных перечней и реестров ФСТЭК России.

Критическая информационная инфраструктура

Изменения в приказе ФСТЭК России № 235

8 сентября был опубликован приказ Федеральной службы по техническому и экспортному контролю Российской Федерации (далее – РФ, ФСТЭК России соответственно) от 16.07.2026 № 220, вносящий изменения в требования к созданию систем безопасности значимых объектов критической информационной инфраструктуры (далее – ЗОКИИ), утвержденные приказом ФСТЭК России от 21.12.2017 № 235.

Документ дополняется 4 новыми требованиями, включая требование расчета показателя защищенности Кзи и показателя уровня зрелости Узи в рамках контроля состояния безопасности ЗОКИИ, а также направления результатов оценки Кзи во ФСТЭК России. Методика расчета Кзи была рассмотрена в обзоре Аналитического центра УЦСБ за ноябрь 2025 года, методика расчета Узи рассмотрена далее. Нововведениями устанавливается периодичность расчета показателей: не реже одного раза в 6 месяцев для Кзи и не реже одного раза в 3 года для Узи.

Изменения вступают в силу с 1 марта 2027 г.

Персональные данные

Изменение проверочного листа, применяемого при госконтроле за обработкой ПДн

3 августа был опубликован проект приказа Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (далее – Роскомнадзор) «О внесении изменений в форму проверочного листа (списка контрольных вопросов, ответы на которые свидетельствуют о соблюдении или несоблюдении контролируемым лицом обязательных требований), применяемого при осуществлении федерального государственного контроля (надзора) за обработкой персональных данных (далее – ПДн) Роскомнадзором и ее территориальными органами, утвержденную приказом Роскомнадзора от 24 декабря 2021 г. № 253».

Изменения включают 5 новых вопросов (к уничтожению или обезличиванию ПДн, к согласию на обработку ПДн и уведомлению Роскомнадзора об обработке ПДн), исключают 3 вопроса (касающихся согласия на обработку ПДн, уведомления Роскомнадзора и принятия организационных мер по защите ПДн) и уточняют отдельные формулировки.

Общественное обсуждение проекта прошло 18 августа.

Порядок работы с базами ПДн о пассажирах и персонале транспортных средств

14 августа Минтранс России внес проект приказа «Об утверждении Порядка формирования и ведения автоматизированных централизованных баз ПДн о пассажирах и персонале (экипаже) транспортных средств, а также срока хранения и порядка предоставления содержащихся в них данных». Проект отменяет аналогичный приказ Минтранса от 02.05.2024 № 162.

Документ содержит требования к формированию и использованию автоматизированных централизованных баз ПДн о пассажирах и персонале (экипаже) транспортных средств, выполняемые оператором Единой государственной информационной системы обеспечения транспортной безопасности и затрагивающие защиту ПДн, включая требования к сроку хранения ПДн, обеспечению информационной безопасности (далее – ИБ) и применению средств защиты информации (далее – СрЗИ), прошедших процедуру оценки соответствия.

Общественное обсуждение текста проекта завершилось 31 августа.

В случае принятия приказ вступит в силу с 1 марта 2027 года.

Разъяснения Минцифры России по вопросам использования сервиса MAX

Министерства цифрового развития, связи и массовых коммуникаций РФ (далее – Минцифры России) опубликовало письмо от 31.08.2026 № П13-81670 «О рассмотрении обращения», затрагивающее обеспечение ИБ при использовании мессенджера MAX.

В письме поясняется, кто выступает в роли оператора ПДн при работе сервиса, как определяется ответственность за нарушение безопасности ПДн, как обеспечивается гарантия безопасности при использовании MAX со стороны государства, а также что определяется Пользовательским соглашением и Политикой конфиденциальности MAX.

Также в письме перечислены меры по обеспечению ИБ при использовании MAX и приведен рекомендуемый порядок действий при подозрении на взлом аккаунта.

Разъяснение ФСТЭК России по вопросам обеспечения безопасности ПДн

ФСТЭК России адресно направлены разъяснения к опубликованному в июле проекту приказа «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности ПДн при их обработке в информационных системах персональных данных (далее – ИСПДн)». Подробнее с проектом приказа можно ознакомиться в обзоре Аналитического центра УЦСБ за июль 2026 года, а также в отдельной статье.

В соответствии с разъяснениями, проведение внеплановой оценки эффективности мер по обеспечению безопасности ПДн после вступления в силу проекта приказа не потребуется, если у организации есть действующие документы, подтверждающие проведение такой оценки в соответствии с приказом ФСТЭК России от 18.02.2013 № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности ПДн при их обработке в ИСПДн». После вступления в силу проекта приказа плановая оценка проводится уже в соответствии с новыми требованиями.

Государственные информационные системы

Правила использования электронных сервисов в государственных информационных системах (далее – ГИС) и информационных системах (далее – ИС) госорганов

20 августа было опубликовано постановление Правительства РФ от 18.08.2026 № 1024 «Об утверждении Правил использования технических средств, программ для электронных вычислительных машин (далее – ЭВМ) и баз данных, доступ к которым предоставляется с использованием информационно-телекоммуникационных сетей, для обеспечения создания и эксплуатации ГИС, иных ИС государственных органов, предусмотренных частью 1.1 статьи 13 Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации» (далее – 149-ФЗ).

Согласно правилам, владельцы ГИС и иных ИС при использовании электронных сервисов должны:

соблюдать требования о защите информации;
обеспечить безопасное взаимодействие ГИС и иных ИС с электронными сервисами;
утвердить соответствующий требованиям регламент взаимодействия;
контролировать выполнение требований по защите информации.

Электронные сервисы должны располагаться на территории РФ, обеспечивать защиту информации в соответствии с установленным классом защищенности, а также обеспечивать уровень доступности (отказоустойчивости) в соответствии с документацией на ГИС (ИС).

Постановление вступает в силу с 1 сентября 2026 г.

Изменения в приказе ФСТЭК России № 117

11 августа был официально опубликован приказ ФСТЭК России от 08.05.2026 № 137 «О внесении изменений в Требования о защите информации, содержащейся в ГИС, иных ИС государственных органов, государственных унитарных предприятий, государственных учреждений, утвержденные приказом ФСТЭК России от 11 апреля 2025 г. № 117».

Изменения включают:

закрепление необходимости защиты информационно-телекоммуникационной инфраструктуры в соответствии с Требованиями в том числе при использовании технических средств и программ для электронных вычислительных машин и баз данных;
уточнение наименования, порядка и периодичности расчета показателя уровня зрелости Узи в соответствии с утвержденной Методикой оценки уровня зрелости;
уточнение периодичности расчета показателя защищенности Кзи;
исключение требования по достижению нормированных значений показателя уровня зрелости Узи при планировании мероприятий по информационной безопасности;
появление возможности замены строгой аутентификации на усиленную многофакторную аутентификацию для пользователей мобильных устройств и удаленных пользователей при доступе к ИС;
появление требования об установлении в отношении подрядных организаций требований по оценке показателя уровня зрелости Узи;
корректировки формулировок.

Изменения вступают в силу с 1 сентября 2026 г., за исключением пункта о расчете показателей Кзи и Узи, который вступает в силу с 1 марта 2027 г.

Дальнейшие изменения в приказе ФСТЭК России № 117

Также 24 августа был опубликован проект приказа ФСТЭК России «О внесении изменений в Требования о защите информации, содержащейся в ГИС, иных ИС государственных органов, государственных унитарных предприятий, государственных учреждений, утвержденные приказом ФСТЭК России от 11 апреля 2025 г. № 117».

Изменения затрагивают совершенствование мер защиты информации при использовании искусственного интеллекта (далее – ИИ). Предполагается, что такие меры будут включать:

разработку и утверждение внутреннего регламента защиты информации при использовании ИИ, в том числе рассматривающего осуществляемые подрядной организацией мероприятия и меры защиты информации при использовании сервисов на основе ИИ;выделение моделей ИИ в отдельный сегмент;
использование усиленной многофакторной аутентификации привилегированными пользователями;
контроль доступа пользователей в выделенном сегменте и наделение их минимальными правами;
регистрацию и анализ действий пользователей;
предотвращение несанкционированного воздействия на ресурсы ИС при применении агентов ИИ, в том числе автономных агентов ИИ, а также контроль и управление правами доступа агентов ИИ в соответствии с внутренними стандартами и регламентами по защите информации.

В случае применения моделей ИИ для обработки информации ограниченного доступа и (или) для реализации значимых функций оператора (обладателя информации) ИС необходимо реализовать такие дополнительные меры защиты, как:

контроль доступа пользователей к моделям ИИ;
фильтрация входных и выходных данных моделей ИИ;
ограничение количества запросов к моделям ИИ;
ограничение и контроль функциональности моделей ИИ.

Реализации мер защиты моделей ИИ обеспечивается применением встроенных средств программного обеспечения (далее – ПО) ИС и (или) наложенных средств защиты информации (далее – СрЗИ).

Уточняется состав объектов воздействия ИС, связанных с ИИ: так, в уточненной редакции документа к ним относятся модели ИИ и их параметры, а также агенты ИИ.Общественное обсуждение текста проекта завершилось 9 сентября.

В случае принятия приказ вступит в силу с 1 марта 2027 года.

Защита информации в ГИС с использованием криптографии

31 августа был опубликован приказ Федеральной службы безопасности РФ (далее – ФСБ России) от 22.08.2026 № 321 «Об утверждении Требований о защите информации, содержащейся в ГИС, иных ИС государственных органов, государственных унитарных предприятий, государственных учреждений, а также при использовании технических средств и программ для ЭВМ и баз данных в соответствии с частью 5-1 статьи 13 149-ФЗ с использованием шифровальных (криптографических) средств».

Документ отменяет приказ ФСБ России от 18.03.2025 № 117 и не распространяется на ИС ряда госорганов, а также ИС, в которых обрабатывается государственная тайна.

Изменения по сравнению с приказом ФСБ России от 18.03.2025 № 117 включают:

распространение требований на технические средства и программы для ЭВМ и базы данных в соответствии с ч.5 ст.13 149-ФЗ;
применение средств криптографической защиты информации (далее – СКЗИ) необходимо в отношении информации, передаваемой по каналам связи в пределах контролируемой зоны, если ее нельзя защитить без применения криптографии;
ввод СКЗИ в эксплуатацию оформляется актом, подтверждающим выполнение установленных в документации на СКЗИ требований;
смена ключевой информации осуществляется в соответствии с документацией на СКЗИ;
исключено требование прохождения экспертизы ФСБ России;
требуется утверждение схемы криптографической защиты;
требуется опечатывание (опломбирование) стоек с установленными СКЗИ;
допустимо определение класса СКЗИ и уровня значимости информации для ИС в целом в отношении ИС, состоящей из сегментов;
для защиты ИС (сегмента ИС) могут применяться СКЗИ более высокого класса, чем определено приказом;
уточнены критерии использования СКЗИ класса КА;
необходимо проведение не реже одного раза в три года внутреннего контроля выполнения требований.

Приказ вступил в силу со дня его официального опубликования.

Порядок взаимодействия операторов ГИС с ГосСОПКА

21 августа был опубликован приказ ФСБ России от 06.08.2026 № 297 «Об утверждении Порядка взаимодействия операторов ГИС, иных ИС государственных органов, государственных унитарных предприятий, государственных учреждений с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы РФ (далее – ГосСОПКА), включая информирование ФСБ России о компьютерных инцидентах, повлекших неправомерную передачу содержащейся в указанных ИС информации».

Взаимодействие операторов ГИС, иных ИС государственных органов, государственных унитарных предприятий, государственных учреждений (далее – операторы) с ГосСОПКА осуществляется посредством подключения к технической инфраструктуре Национального координационного центра по компьютерным инцидентам (далее – НКЦКИ). Обмен информацией осуществляется через личный кабинет, а в случае отсутствия связи с ним – через резервный канал связи (по телефону или электронной почте). Взаимодействие с НКЦКИ осуществляется на основе соответствующего регламента.

Операторы обязаны направлять в НКЦКИ информацию о компьютерных инцидентах и получать информацию об угрозах безопасности информации (далее – УБИ) и мерах противодействия им. Также операторы имеют право запросить помощь НКЦКИ в реагировании на инцидент.

Установленные сроки взаимодействия:

направление оператором в НКЦКИ информации о компьютерном инциденте – не позднее 24 часов с момента обнаружения;
присвоение компьютерному инциденту идентификатора в личном кабинете – в течение 24 часов с момента получения;
направление оператором в НКЦКИ информации о мероприятиях по предупреждению готовящихся атак, о которых их проинформировал НКЦКИ – в течение 24 часов с момента получения;
направление оператором в НКЦКИ запрошенных дополнительных сведений о компьютерных атаках – в течение 24 часов с момента получения (или позднее с предварительным уведомлением и обоснованием нового срока).

Приказ вступает в силу с 1 сентября 2026 г.

Требования к защите информации для провайдеров хостинга при предоставлении вычислительных мощностей операторам ГИС

20 августа был опубликован приказ Минцифры России от 31.07.2026 № 702 «Об утверждении требований о защите информации при предоставлении вычислительной мощности для размещения информации в ИС, постоянно подключенной к информационно-телекоммуникационной сети «Интернет», операторам ГИС, иных ИС государственных органов, муниципальных ИС, ИС государственных и муниципальных унитарных предприятий, государственных и муниципальных учреждений». Документ отменяет приказ Минцифры России от 31.07.2024 № 677.

Обновленный приказ приведен в соответствие актуальной редакции 149-ФЗ с изменениями, внесенными Федеральным законом от 29.12.2025 № 568-ФЗ и вступающими в силу с 1 сентября 2026 г.: теперь требования также распространяются на иные ИС государственных органов.

Приказ вступает в силу с 1 марта 2027 г. и действует до 1 марта 2033 г.

Финансовые организации

Федеральный закон о криптовалютах

4 августа 2026 года Президент подписал Федеральный закон от 04.08.2026 № 282-ФЗ «О цифровых валютах и цифровых правах», официально регулирующий рынок криптовалют и майнинга.

Закон включает 56 статей, разбитых на девять глав:

В главе 1 приводятся общие положения, включающие описание предмета регулирования и используемую терминологию. В частности, закон определяет цифровую валюту как имущество в виде электронных данных, не имеющее эмитента, что отличает ее от цифровых прав, по которым у держателя всегда есть обязанное лицо (понятие цифровых прав определяется ст.141.1 Гражданского кодекса).
В главе 2 рассматриваются вопросы майнинга (добычи) цифровых валют, включающие требования к участникам процесса майнинга и порядок регулирования и надзора в данной сфере.
В главе 3 рассматриваются вопросы выпуска и размещения цифровых прав (обращения криптовалют).
В главе 4 рассматриваются вопросы организации обращения цифровых валют и цифровых прав.
В главах 5-6 рассматриваются вопросы учета и обращения цифровых валют и цифровых прав.
В главе 7 приводятся требования к лицам, организующим обращение цифровых валют, и оператору.
В главе 8 рассматриваются вопросы регулирования и надзора в сфере цифровых валют и цифровых прав.
В главе 9 приводятся заключительные положения, касающиеся порядка вступления закона в силу и переходных периодов.

Закон начал действовать с 1 сентября 2026 года, за исключением отдельных положений, вступающих в силу с 1 июля и с 1 сентября 2027 года.

Изменения в требованиях к операционной надежности кредитных организаций

22 июля было издано указание Банка России от 22.07.2026 № 7419-У «О внесении изменений в Положение Банка России от 13 января 2025 года № 850-П» (Положение «Об обязательных для кредитных организаций, иностранных банков, осуществляющих деятельность на территории РФ через свои филиалы, требованиях к операционной надежности при осуществлении банковской деятельности в целях обеспечения непрерывности оказания банковских услуг»).

Изменения касаются порядка определения допустимого времени простоя и деградации технологических процессов кредитных организаций, учета состава объектов информационной инфраструктуры и информирования Банка России.

Изменения вступают в силу с 1 января 2027 года, за исключением отдельного пункта, вступающего в силу с 1 января 2028 года.

Порядок формирования и ведения ЕСУКП

14 августа Банк России опубликовал проект указания «О порядке формирования и ведения единой системы учета платежных карт (далее – ЕСУПК)».

Данный проект является частью масштабных изменений в Федеральном законе от 27.06.2011 № 161-ФЗ «О национальной платежной системе», внесенных Федеральным законом от 26.06.2026 № 210-ФЗ. С 1 сентября 2027 года физическому лицу в совокупности может быть предоставлено не более 20 платежных карт. ЕСУПК является инструментом контроля соблюдения данного ограничения и централизованного учета платежных карт физлиц, предоставленных различными банками.

Оператором ЕСУПК определен оператор национальной платежной системы, а пользователями — Банк России и банки. Документ устанавливает требования, которым должен соответствовать оператор ЕСУПК при ведении ЕСУПК, в том числе требования к хранению информации, включающей ПДн физических лиц – держателей платежных карт.

В случае принятия указание вступает в силу со дня официального опубликования, но не ранее 1 сентября 2026 г. Пункт 7 указания вступает в силу с 1 сентября 2027 г.

Прием предложений и замечаний по проекту завершился 20 августа.

Требования к направлению банками информации в ЕСУПК

Также 14 августа Банк России опубликовал проект указания «О порядке и сроках направления оператором по переводу денежных средств информации в ЕСУПК». Документ входит в пакет проектов нормативных правовых актов (далее – НПА) Банка России, регулирующих функционирование ЕСУПК.

Документ устанавливает требования к составу направляемой банками в ЕСУПК информации, порядку и срокам направления информации.

Банки однократно предоставляют в ЕСУПК информацию обо всех выданных ими действующих платежных картах после вступления указания в силу, но не позднее 1 сентября 2027 года. Поэтому подготовка к появлению ЕСУПК фактически потребует провести инвентаризацию платежных карт, еще не прекративших действие.

В случае принятия указание вступает в силу со дня официального опубликования, но не ранее 1 сентября 2026 г. Пункты 3 и 4 указания вступает в силу с 1 сентября 2027 г.

По состоянию на 22 августа завершена независимая антикоррупционная экспертиза и подготавливается заключительная версия текста НПА.

Требования к обеспечению защиты информации, содержащейся в ЕСУПК

12 августа Банк России опубликовал проект положения «О требованиях к обеспечению защиты информации, содержащейся в ЕСУПК».

Документ рассматривает требования к мерам по защите информации, реализуемым оператором ЕСУПК. Особое внимание уделено применению СКЗИ, оценке соответствия прикладного программного обеспечения (далее – ПО), регистрации событий и реагированию на инциденты ИБ.

В случае принятие положение вступает в силу со дня официального опубликования, но не ранее 1 сентября 2026 г.

По состоянию на 20 августа завершена независимая антикоррупционная экспертиза и подготавливается заключительная версия текста НПА.

Иное

Изменения в Федеральном законе «Об электронной подписи»

4 августа был опубликован Федеральный закон от 04.08.2026 № 315-ФЗ «О внесении изменений в Федеральный закон «Об электронной подписи».

В закон вносятся следующие изменения:

закреплена возможность выдачи в РФ квалифицированного сертификата ключа проверки ЭП международным и межправительственным организациям, в том числе их филиалам и представительствам;
допускается идентификация иностранных граждан, обратившихся за получением квалифицированного сертификата от имени международной (межправительственной) организации, иностранного юридического лица (далее – ЮЛ) или в качестве индивидуального предпринимателя, с помощью Единой системы идентификации и аутентификации (далее – ЕСИА) и Единой биометрической системы без их личного присутствия;
устанавливается единая форма машиночитаемой доверенности, которую будет формировать и размещать на Едином портале госуслуг уполномоченный федеральный орган.

Изменения вступают в силу с 1 сентября 2027 г.

Меры по обеспечению безопасности объектов критической инфраструктуры

24 августа был опубликован Указ Президента РФ от 24.08.2026 № 604 «О мерах по обеспечению безопасности объектов критической инфраструктуры РФ».

Согласно Указа, в случае ненадлежащего обеспечения безопасности объектов критической инфраструктуры их владельцем в отношении его имущества может быть введено временное внешнее управление. К таким случаям относится:

непринятие или несвоевременное принятие мер по обеспечению безопасности;
нарушение установленных в НПА требований;
создание угрозы безопасности или функционированию объекта;
невосстановление или несвоевременное восстановление работоспособности объекта.

Временное управление начинается и прекращается по решению Правительства РФ, принятому на основании поручения Президента РФ. В роли временного управляющего выступает Федеральное агентство по управлению государственным имуществом, если не определено иное лицо. Финансирование расходов, связанных с временным управлением имуществом, осуществляется за счет доходов от его использования.

К объектам критической инфраструктуры РФ относятся:

объекты топливно-энергетического комплекса;
промышленные объекты;
объекты связи;
объекты коммунальной, транспортной, логистической инфраструктуры (включая транспортно-логистические комплексы);
объекты энергетики (в том числе объекты атомной энергетики);
объекты жизнеобеспечения;
критически важные и потенциально опасные объекты;
иные объекты, имеющие особо важное значение для обеспечения безопасности, экономической стабильности РФ и жизнедеятельности населения.

Важно отметить, что Указ не относится к обеспечению безопасности объектов критической информационной инфраструктуры (далее – КИИ), хотя объекты критической инфраструктуры и объекты КИИ функционируют в частично пересекающихся областях экономики.

Указ вступил в силу со дня его официального опубликования.

Требования к ИС государственных органов, не являющимся ГИС

14 августа было опубликовано постановление Правительства РФ от 13.08.2026 № 1007 «Об утверждении требований к порядку создания и эксплуатации государственными органами ИС, не являющихся ГИС».

Требования предусматривают:

разработку стандартов, устанавливающих минимальные требования для различных категорий ИС госорганов;
учет ИС госорганов в соответствии с постановлениями Правительства РФ от 01.07.2024 № 900 и от 14.11.2015 № 1235;
использование при создании ИС госорганов российского ПО, имеющего специальный признак соответствия стандартам, либо разработка дополнительного ПО с использованием российских инструментов разработки (при отсутствии подходящего существующего ПО);
создание ИС в соответствии с техническим заданием и с учетом модели угроз;
соблюдение требований Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и 149-ФЗ при создании и эксплуатации ИС;
проведение госорганами оценки ИС на соответствие стандартам;
мониторинг соответствия ИС стандартам со стороны уполномоченного органа;
оформление соответствующего акта о вводе ИС в эксплуатацию;
эксплуатацию ИС на основе эксплуатационной документации на ИС;оформление прав на использование объектов интеллектуальной собственности.

Ряд требований не применяется в отношении ИС госорганов г. Москвы.

Также вносятся изменения в Правила формирования и ведения реестра российского ПО, связанные с введением признака соответствия стандартам.

Постановление вступает в силу с 1 сентября 2026 г.

Изменения в положении о лицензировании деятельности по разработке СКЗИ

29 августа было опубликовано постановление Правительства РФ от 28.08.2026 № 1103 «О внесении изменений в некоторые акты Правительства РФ».

Документ вносит изменения в Положение о лицензировании деятельности по разработке, производству, распространению шифровальных (криптографических) средств<…>, утвержденное постановлением Правительства РФ от 16.04.2012 № 313.

Из состава лицензируемой деятельности исключается ряд работ и услуг, если они предусмотрены эксплуатационной документацией без привлечения лицензиата и проводятся для обеспечения собственных нужд организации.

Изменения вступают в силу с 6 сентября 2026 г.

Новые правила регистрации доменных имен

1 сентября было опубликовано постановление Правительства РФ от 31.08.2026 № 1119 «Об утверждении Правил регистрации доменных имен».

Правила определяют порядок регистрации доменных имен, в том числе требования к доменным именам при их регистрации, сроки регистрации и использования доменных имен, а также основания, порядок и сроки принятия решения о регистрации или об отказе в регистрации доменных имен.

Также документ определяет порядок администрирования доменного имени, особенности регистрации отдельных категорий доменных имен, порядок ведения стоп-листа доменных имен, порядок делегирования доменного имени, порядок передачи права администрирования доменного имени и функций по осуществлению поддержки сведений о доменном имени, порядок аннулирования регистрации доменного имени.

Необходимо отметить, что лицо, на которое регистрируется доменное имя, должно пройти идентификацию через ЕСИА. Затем оно должно проходить ежегодную идентификацию.

Правила вступают в силу с 1 сентября 2026 г. и действуют до 1 сентября 2032 г.

Правила формирования и ведения перечней регистраторов доменных имен и требования к регистраторам доменных имен

1 сентября было опубликовано постановление Правительства РФ от 31.08.2026 № 1120 «Об утверждении Правил формирования и ведения перечней ЮЛ, осуществляющих регистрацию доменных имен, и требований к российским ЮЛ, включаемым в перечни ЮЛ, осуществляющих регистрацию доменных имен».

Правила определяют порядок формирования и ведения перечней регистраторов доменных имен. Стоит отметить пункт, в соответствии с которым деятельность регистратора может быть приостановлена при неустранении выявленных нарушений требований 149-ФЗ.

Требования к регистраторам доменных имен включают отсутствие аффилированности с иностранными гражданами и ЮЛ, наличие чистых активов организации стоимостью не менее 1 млн. рублей, присоединение ИС организации к ЕСИА.

Постановление вступает в силу с 1 сентября 2026 г. и действует до 1 сентября 2032 г.

Изменения в Федеральном законе «О поддержке развития технологий ИИ в РФ»

17 августа в Государственную Думу внесен проект Федерального закона «О внесении изменения в статью 9 Федерального закона «О поддержке развития технологий ИИ в РФ».

Изменения затрагивают статью о маркировке материалов, созданных с применением ИИ. Правительство РФ отдельно определит формат, содержание и порядок размещения маркировки.

В случае принятия закон вступит в силу с 1 марта 2027 года.

На текущий момент законопроект направлен на рассмотрение в профильные комитеты Государственной Думы.

Изменения в НПА Минцифры России в области использования ЭП

3 августа был опубликован проект приказа Минцифры России «О внесении изменений в некоторые НПА Минцифры России в области использования ЭП».

Документ продляет до 1 сентября 2032 г. срок действия шести приказов Минцифры России от ноября 2020 года (№ 580 от 06.11.2020, № 584 от 13.11.2020, № 603 от 19.11.2020, № 624 от 26.11.2020, № 641 от 30.11.2020 и № 643 от 30.11.2020).

В случае принятия приказ вступит в силу с 1 января 2027 г. (планируемая дата окончания срока действия шести приказов Минцифры России).

Общественное обсуждение проекта завершилось 18 августа.

Новые условия отзыва сертификатов безопасности доменом

10 августа был опубликован проект приказа Минцифры России «О случаях, при которых сертификат безопасности национального удостоверяющего центра прекращает свое действие».

Нововведения расширяют список оснований, при которых российские сертификаты безопасности для доменов прекращают действие. Так, сертификат может быть отозван по решению суда, при ликвидации национального удостоверяющего центра, при отсутствии у владельца сертификата верного ключа идентификации, а также если ключ аутентификации соответствует ключу в другом, ранее созданном сертификате.

В случае принятия приказ вступит в силу с 1 марта 2027 г.

Публичное обсуждение проекта завершилось 8 сентября.

Стандартизация

Вступающие в силу национальные стандарты

В августе вступили в силу следующие ГОСТ:

ГОСТ Р 72663-2026 (ИСО/МЭК 25024:2015). Национальный стандарт РФ. Системная и программная инженерия. Требования и оценка качества систем и программного обеспечения (SQuaRE). Измерение качества данных (утв. и введен в действие Приказом Росстандарта от 13.05.2026 N 481-ст);
ГОСТ Р 72664-2026 (ИСО/МЭК 25059:2023). Национальный стандарт РФ. Программная инженерия. Требования и оценка качества систем и программного обеспечения (SQuaRE). Модель качества для систем искусственного интеллекта (утв. и введен в действие Приказом Росстандарта от 13.05.2026 N 482-ст).

Обновленный отраслевой стандарт защиты данных

В августе Ассоциация больших данных (далее – АБД) обновила отраслевой стандарт защиты данных. Документ определяет критерии и метрики, позволяющие сделать вывод о зрелости процессов защиты информации операторов ПДн, а также порядок и периодичность проведения оценки соответствия стандарту. Обновленный документ включает оценку безопасности процессов работы с данными при использовании ИИ.

Отраслевой стандарт не является обязательным и применяется операторами ПДн на добровольной основе.

АБД была создана осенью 2018 года с целью создания условий для развития технологий и продуктов в сфере больших данных в России. В ноябре 2023 года была разработана концепция единого отраслевого стандарта защиты данных, а в апреле 2024 подписана его первая версия.

ФСТЭК России

Методика оценки уровня зрелости деятельности в области защиты информации

7 августа ФСТЭК России был утвержден документ «Методика оценки уровня зрелости деятельности в области технической защиты информации в ИС и обеспечения безопасности ЗОКИИ» (далее – Методика).

Методика применяется для оценки уровня зрелости деятельности в области технической защиты информации, не составляющей государственную тайну, а также обеспечения безопасности ЗОКИИ (далее – защита информации).

Методика предназначена для оценки уровня зрелости в области защиты информации на соответствие требованиям приказов ФСТЭК России от 11.04.2025 г. № 117, от 28.02.2017 г. № 31, от 25.12.2017 г. № 239, от 14.03.2013 г. № 31, от 18.02.2013 г. № 21).

Методика применяется операторами ИС, владельцами ЗОКИИ, операторами ИСПДн, подрядными организациями, а также ФСТЭК России (далее совокупно – организации)

Оценка уровня зрелости может проводиться организацией как самостоятельно, так и с привлечением внешней организации, имеющей лицензию на деятельность в области технической защиты конфиденциальной информации, при этом внешняя оценка имеет более высокую объективность.

Оценка уровня зрелости включает следующие этапы:

Выбор оцениваемых направлений деятельности по защите информации. В Методике приведен перечень из 21 направления деятельности (к которым относятся организация и управление деятельностью, выявление и оценка УБИ и др.), при этом их состав уточняется с учетом особенностей деятельности организации.
Сбор и анализ исходных данных. Этап включает изучение внутренних нормативных документов организации, опрос работников, а также проведение технических проверок
Определение текущего уровня зрелости для каждого из направлений деятельности. Достижение текущего уровня зрелости подтверждается, если он соответствует приведенным в Методике нормированным значениям.
Определение целевого уровня зрелости для каждого из направлений деятельности. В Методике приведены рекомендуемые целевые уровни зрелости для различных категорий организаций.
Построение диаграммы профиля уровня зрелости.
Определение общего уровня зрелости организации. На основе числового значения определяется качественный уровень зрелости: отсутствующий, начальный, системный, контролируемый и верифицируемый.

В конце разрабатывается отчет, включающий результаты выполнения этапов оценки, а также рекомендации по совершенствованию защиты информации.

После сравнения текущего и целевого уровней зрелости для каждого из направлений деятельности выявляются недостатки в защите информации, определяются направления совершенствования. Организация определяет мероприятия и меры по достижению целевых уровней зрелости, а также разрабатывает план по их реализации.

В случае достижения целевого уровня зрелости для направлений деятельности организация определяет новый целевой уровень зрелости, определяет мероприятия и меры, которые не реализованы или реализованы с недостаточным качеством, устанавливает их приоритетность и разрабатывает план по их реализации.

Новые редакции перечней контрольно-измерительного и испытательного оборудования

11 августа ФСТЭК России проинформировала об утверждении в новых редакциях:

Перечня контрольно-измерительного и испытательного оборудования, средств контроля эффективности защиты (защищенности) информации, необходимых для выполнения работ и оказания услуг, установленных Положением о лицензировании деятельности по технической защите конфиденциальной информации, утвержденным постановлением Правительства РФ от 03.02.2012 № 79 (далее – Положение о лицензировании деятельности по ТЗКИ) (перечень утвержден директором ФСТЭК России 10.08.2026).
Перечня контрольно-измерительного и испытательного оборудования, программных (программно-технических) средств, необходимых для выполнения работ и оказания услуг, установленных Положением о лицензировании деятельности по разработке и производству средств защиты конфиденциальной информации, утвержденным постановлением Правительства РФ от 03.03.2012 № 171 (далее – Положение о лицензировании деятельности по СЗКИ) (перечень утвержден директором ФСТЭК России 11.08.2026).

По сравнению с предыдущими редакциями перечней (от 2017 и 2018 года, соответственно):

переработан состав групп оборудования и их характеристик;
добавлено требование наличия свидетельства о поверке для ряда групп оборудований;
предусмотрено, что приоритет следует отдавать российскому оборудованию и средствам.

Для организаций-соискателей лицензий ФСТЭК России указанные перечни действуют с 01.12.2026. Лицензиаты должны привести свое оборудование в соответствие новым перечням до 01.03.2027.

Разъяснение отдельных лицензионных требований

ФСТЭК России в информационном сообщении от 04.08.2026 № 240/13/5331 разъяснила отдельные лицензионные требования, установленные Положением о лицензировании деятельности по ТЗКИ и Положением о лицензировании деятельности по СЗКИ. Разъяснения затрагивают:

состав документов, подтверждающих стаж работы сотрудников лицензиата;
использование государственной регистрации договора аренды, заключенного на срок не менее одного года, для подтверждения права пользования помещением;
подтверждение наличия национальных стандартов и методических документов с ограничительной пометкой «для служебного пользования».

Деятельность ТК 362 в августе 2026 года

28 августа ФСТЭК России на своем официальном сайте опубликовала Справку-доклад о ходе работ по плану технического комитета по стандартизации «Защита информации» (далее – ТК 362) на 2026 год по состоянию на 28 августа 2026 года.

В интересах выполнения плана были проведены следующие работы:

Проект национального стандарта ГОСТ Р «Защита информации. Информационный ресурс служебных баз данных средств защиты информации. Общие положения» (разработчики – ФСТЭК России, ООО «ЦБИ») рассмотрен организациями-членами ТК 362, с учетом замечаний разрабатываются сводка отзывов и окончательная редакция проекта. Ожидаемый срок представления проекта в секретариат ТК 362 – октябрь 2026 г.
Первая редакция проекта национального стандарта ГОСТ Р «Защита информации. Безопасность интегральных схем. Общие положения» (разработчики – ФСТЭК России, АО «Крафтвэй корпорэйшн ПЛС») рассмотрена секретариатом ТК 362, разработчику направлен отзыв для доработки проекта.
Первая редакция проекта национального стандарта ГОСТ Р 71206 «Защита информации. Разработка безопасного программного обеспечения. Безопасный компилятор языков С и С++. Общие требования» (взамен ГОСТ Р 71206-2024) (разработчики – ФСТЭК России, ФГБУН «ИСП РАН») разослана в организации-члены ТК 362 и размещена на странице ТК 362 официального сайта ФСТЭК России и во ФГИС Росстандарта в рамках публичного обсуждения. Срок завершения рассмотрения проекта организациями-членами ТК 362 – 28.08.2026.
В программу национальной стандартизации на 2026 год предлагается включить пересмотр национального стандарта ГОСТ Р 71206 «Защита информации. Разработка безопасного программного обеспечения. Безопасный компилятор языков С и С++. Общие требования» (взамен ГОСТ Р 71206-2024) (разработчики – ФСТЭК России, ФГБУН «ИСП РАН»).
Федеральным агентством по техническому регулированию и метрологии введена в эксплуатациюИС «Электронное редактирование», проведен семинар о ее введении в эксплуатацию в формате видеоконференцсвязи (далее – ВКС). Соответствующее информационное письмо разослано руководителям организаций-членов ТК 362 – разработчикам проектов национальных стандартов.
В состав ТК 362 со статусом «Наблюдатель» приняты ООО «Киберпротект» и ГУСиАУВ Главного штаба.

Обновление перечней и реестров ФСТЭК России

На сайте ФСТЭК России размещены обновленные перечни и реестры:

ООО «УЦСБ» имеет лицензию ФСТЭК России на:

Назад к списку