Обзор изменений законодательства в области информационной безопасности за 3 квартал 2026 года

Обзор изменений законодательства в области информационной безопасности.

Законодательство в сфере информационной безопасности в третьем квартале 2026 года заметно обновилось. Государство ввело временное управление активами владельцев критической инфраструктуры, установило требования к большим моделям ИИ и ужесточило контроль за защищённостью значимых объектов КИИ. Отдельно меняются правила для подрядчиков и заказчиков государственных информационных систем: в договорах и закупочной документации теперь прописывают ответственность за защиту информации, действия при инцидентах и сроки восстановления. Рассказываем о том, что уже действует, что вступит в силу 1 марта 2027 года и с чего начать проверку.

1 Временное управление активами при нарушении безопасности критической инфраструктуры

Указ Президента РФ от 24.08.2026 № 604

Действует с 24 августа 2026 года

Суть изменения. Правительство по поручению Президента может вводить временное управление активами хозяйствующего субъекта в случае необеспечения мер безопасности объектов КИ, либо нарушения требований к обеспечению их безопасности, в случае несвоевременного восстановления (ограничительные меры применяются и в случае выявления неэффективности мероприятий по пресечению угроз нападения с использованием БПЛА) Мера охватывает имущество, ценные бумаги, доли и имущественные права. По общему правилу управляющий — Росимущество. Ему передаются все полномочия собственника, кроме распоряжения имуществом.

Практический вывод: Для владельцев и операторов объектов ТЭК, промышленности, связи, ЖКХ и другой указанной инфраструктуры возникает риск передачи управления активами. Критическая информационная инфраструктура — составляющая критической инфраструктуры, а обеспечение безопасности КИИ — одна из задач, которую выполняет ЛК.

Где закреплено. П. 1 — основания и активы; п. 2 — управляющий; п. 3, подп. «а» — пределы его полномочий; п.6, подп. «б» — объекты критической инфраструктуры; п. 7 — вступление в силу.

2 Безопасность и документация больших моделей искусственного интеллекта

Федеральный закон от 26.07.2026 № 243-ФЗ

Закон действует с 1 сентября 2026 года; рассматриваемые ключевые нормы — с 1 марта 2027 года

Суть изменения. Закон о поддержке развития технологий ИИ вводит статусы суверенных и национальных больших фундаментальных моделей. Их разработчики должны принимать меры безопасности, устанавливать правила эксплуатации и вести техническую документацию с параметрами и ограничениями модели. Правительство определяет случаи, в которых при использовании больших фундаментальных моделей допускаются только суверенные и/или национальные модели. Указанные в законе платформы с суточной аудиторией более 500 тыс. пользователей, находящихся на территории РФ должны обеспечить возможность маркировки аудио- и визуальных материалов, созданных с помощью ИИ.

Практический вывод: Разработчику суверенной/национальной большой фундаментальной модели нужно описать ограничения применения, обновление и вывод модели из эксплуатации. Крупным платформам необходимо проверить применимость требований к маркировке.

Рекомендации по безопасному внедрению ИИ-систем от специалистов ЛК – 18.12.2024

Где закреплено. Ст. 5, ч. 2, пп. 3–4; ст. 6; ст. 8, пп. 1–3; ст. 9, ч. 3. Сроки вступления в силу — ст. 13, чч. 1–2.2

3 Регулярная оценка защищённости ЗО КИИ и зрелости подрядчиков

Приказ ФСТЭК России от 16.07.2026 № 220

Принят в III квартале 2026 года; вступает в силу 1 марта 2027 года

Суть изменения. Для значимых объектов КИИ вводится расчёт показателя защищённости не реже одного раза в шесть месяцев. Результаты направляются во ФСТЭК в течение пяти рабочих дней после расчёта. Субъектом КИИ уровень зрелости оценивается не реже одного раза в три года. Подрядчики, которым предоставляется доступ к значимому объекту для предусмотренных приказом работ, должны оценить свою зрелость до получения доступа и затем повторять оценку минимум раз в три года.

Практический вывод: Субъектам КИИ потребуется закрепить график оценок, ответственных и порядок отчётности. Для интеграторов, сервисных организаций и подрядчиков по ИБ оценка собственной зрелости становится условием подготовки к доступу на объект заказчика. Это следует учесть в договорах, регламенте допуска и комплекте подтверждающих документов. Сервис Kaspersky Security Assessment может стать одним из этапов комплексной оценки.

Где закреплено. Новые пп. 36¹–36⁴ требований, утверждённых приказом ФСТЭК России № 235. Показатель защищённости и отчётность — п. 36³; зрелость субъекта КИИ и подрядчиков— п. 36⁴.

4 Обязательная конфиденциальность отдельных сведений компаний ТЭК

Указ Президента РФ от 28.09.2026 № 686

Действует с 28 сентября 2026 года

Суть изменения. Утверждён перечень сведений в сфере топливно-энергетического комплекса с ограниченным доступом. В него включены определённые данные об экспорте, поставках, переработке и производстве. Установлены обязательность соблюдения конфиденциальности и ограничения распространения. Передача информации другому лицу по общему правилу осуществляется на основании соглашения с её обладателем; для предусмотренных указом случаев действуют специальные правила.

Практический вывод: Компаниям ТЭК и организациям, получающим такие сведения, необходимо определить соответствующие данные в своих системах, проверить доступ и условия передачи подрядчикам. Практически это затрагивает перечни защищаемой информации, соглашения о конфиденциальности и инструкции по обмену документами. Сервис Kaspersky Digital Footprint Intelligence поможет проверить наличие информационных утечек.

Где закреплено. П. 2 указа — конфиденциальность; п. 3, подп. «а»–«д» — распространение, предоставление и доступ; пп. 1–4 перечня — категории сведений; п. 5 — вступление в силу.

5 Контроль зарубежной инфраструктуры через учёт ИТ активов

Постановление Правительства РФ от 04.07.2026 № 845

Действует с 1 сентября 2026 года

Суть изменения. Введён порядок контроля за соблюдением требований, не допускающих использование при эксплуатации определённых ИС размещённых за рубежом баз данных и технических средств, не входящих в состав этих систем. Минцифры проводит контроль в рамках учёта ИТ-активов. После получения уведомления о нарушении оператор должен устранить его и разместить сведения об устранении в срок не более двух месяцев.

Практический вывод: Требование касается операторов ГИС, иных информационных систем государственных органов, муниципальных информационных систем, информационных систем юридических лиц, осуществляющих закупки в соответствии с Федеральным законом "О закупках товаров, работ, услуг отдельными видами юридических лиц".

Где закреплено. П. 1, подп. «б» изменений: новые Правила в составе постановления № 675. Пп. 1 и 3–4 — охват и учёт; п. 6 — срок устранения; п. 7 — подпись документов.

6 Правила использования внешних ИТ сервисов при создании и эксплуатации ГИС и иных инф. систем гос. органов (требования к подрядчикам)

Постановление Правительства РФ от 18.08.2026 № 1024

Действует с 1 сентября 2026 года

Суть изменения. Установлены правила использования внешних электронных сервисов при создании и эксплуатации ГИС и других предусмотренных законом ИС госорганов. В закупочную документацию и проект договора включаются требования к регламенту взаимодействия: ответственность сторон за защиту информации, действия при инцидентах и сроки восстановления. Также предусматриваются резервное копирование, доступность и отказоустойчивость электронных сервисов, порядок взаимодействия пользователей с поставщиками сервисов (юридические или физические лица, отвечающие за услуги по предоставлению электронных сервисов, например, провайдер баз данных, поставщик ПО как сервиса, облачный провайдер).

Практический вывод: Поставщику сервиса необходимо проверить размещение компонентов и используемых внешних баз данных и технических средств, а также согласовать с заказчиком ответственность за защиту информации, порядок реагирования на инциденты и восстановления работы.

Где закреплено. Правила: п. 4, подп. «б»–«г»; п. 5, подп. «а»–«г»; п. 6. Требования к регламенту и договору — п. 4, подп. «в», абз. 1.

7 Порядок взаимодействия государственных операторов с ГосСОПКА

Приказ ФСБ России от 06.08.2026 № 297 + Федеральный закон №568

Действует с 1 сентября 2026 года

Суть изменения. Установлена процедура взаимодействия операторов ГИС и иных ИС госорганов, государственных унитарных предприятий и государственных учреждений с ГосСОПКА через НКЦКИ. Подключение к личному кабинету организуется после заключения регламента взаимодействия. Об инциденте сообщают не позднее 24 часов с момента обнаружения. При сбое личного кабинета используются резервные каналы. Получив от НКЦКИ информацию о готовящихся атаках и признаках инцидентов, оператор в течение 24 часов сообщает о мерах по их предупреждению.

Практический вывод: Для соответствующих операторов это необходимость организовать передачу уведомлений и обработку предупреждений: назначить ответственных, определить резервный канал и закрепить сроки во внутренних инструкциях. Решения ЛК имеют возможности интеграции с ГосСОПКА (KUMA).

Где закреплено. Порядок: пп. 1, 3–6 и 9. Личный кабинет и резервные каналы — п. 3; регламент — п. 4; срок уведомления — п. 5.

8 Документы жизненного цикла ГИС и обязанности заказчика

Постановление Правительства РФ от 01.07.2026 № 813

Действует с 1 сентября 2026 года

Суть изменения. Уточнены полномочия заказчика создания государственных информационных систем (ГИС) и оформление прав на программные компоненты. Если заказчик привлекает предусмотренные актом органы или учреждения для реализации своих полномочий, заключается соглашение о взаимодействии. В нём определяются функциональные требования, подготовка и согласование ТЗ и другой документации, предоставление необходимых прав и отчётность.

Практический вывод: Государственным заказчикам необходимо согласовать распределение задач и комплект документов на протяжении жизненного цикла ГИС. Разработчикам и интеграторам важно учитывать, кто утверждает ТЗ, принимает результаты и оформляет права на программные компоненты, включая средства защиты.

Где закреплено. Изменённые п. 12, подп. «в», п. 14, подп. «д», п. 16 и новые пп. 26–28 требований, утверждённых постановлением Правительства РФ № 676.