Обзор изменений в законодательстве за сентябрь 2026 года

В обзоре изменений за сентябрь 2026 года рассмотрим следующие темы:

1. Критическая информационная инфраструктура

Рассмотрим приказ об определении организации, привлекаемой Госкорпорацией «Росатом» к оценке сведений о категорировании объектов КИИ.

Разберем будущие полномочия Минпромторга России и Минцифры России по обеспечению технологической независимости КИИ.

2. Финансовые организации

Рассмотрим расширенные требования Банка России к защите информации для некредитных финансовых организаций в связи с оборотом цифровых валют и цифровых прав.

Разберем квалификационные требования и требования к защите информации от Банк России для участников рынка цифровых валют.

3. Иное

Рассмотрим требования к облачным услугам и порядок перевода ИС потребителей в ГосОблако.

Разберем обеспечение права на отключение рекомендаций материалов, созданных с помощью ИИ.

Изучим внесение изменений в классификатор программ для ЭВМ и БД.

Рассмотрим требования по защите СОРМ от НСД.

Разберем изменения в ряде Федеральных законов.

4. Стандартизация

Рассмотрим стандарт по типовым угрозам и уязвимостям идентификации и аутентификации.

5. ФСТЭК России

Рассмотрим справку-доклад о ходе работ по плану ТК 362 по состоянию на 29.09.2026.

6. Судебная практика

Рассмотрим судебную практику в области ИБ за 3 квартал 2026 года.

Критическая информационная инфраструктура

Определение организации, привлекаемой Госкорпорацией «Росатом» к оценке сведений о категорировании объектов КИИ

2 сентября Государственной корпорацией по атомной энергии «Росатом» (далее – Госкорпорация «Росатом») официально опубликован приказ от 30.07.2026 № 1/21-НПА «Об определении организации, привлекаемой Госкорпорацией «Росатом» к оценке актуальности и достоверности сведений, указанных в пункте 17 Правил категорирования объектов критической информационной инфраструктуры (далее – КИИ) Российской Федерации (далее – РФ), утвержденных постановлением Правительства РФ от 08.02.2018 № 127».

Ключевые положения приказа:

• АО «Гринатом» определено организацией, привлекаемой Госкорпорацией «Росатом» к оценке актуальности и достоверности сведений, указанных в пункте 17 Правил категорирования объектов КИИ РФ;

• оценке подлежат сведения, представляемые субъектами КИИ, осуществляющими виды деятельности в области атомной энергии.

Минпромторг России и Минцифры России приобретут полномочия по обеспечению технологической независимости КИИ

22 сентября Министерством промышленности и торговли РФ (далее – Минпромторг России) опубликован проект постановления «Об утверждении Порядка проведения в отношении субъектов КИИ РФ организаций, осуществляющих деятельность в сфере науки, оценки актуальности и достоверности сведений, указанных в пункте 17 Правил категорирования объектов КИИ РФ, утвержденных постановлением Правительства РФ от 08.02.2018 № 127, и установлении критериев определения организаций, привлекаемых к оценке актуальности и достоверности сведений, указанных в пункте 17 Правил категорирования объектов КИИ РФ, утвержденных постановлением Правительства РФ от 08.02.2018 № 127».

Проект постановления предусматривает внесение изменений в:

• положение о Минпромторге России, утвержденное постановлением Правительства РФ от 05.06.2008 № 438 «О Минпромторге России»;

• положение о Министерстве цифрового развития, связи и массовых коммуникаций РФ (далее – Минцифры России), утвержденное постановлением Правительства РФ от 02.06.2008 № 418 «О Минцифры России».

Ключевые положения проекта:

• Минпромторг России:

o наделяется функциями по выработке государственной политики и нормативно-правовому регулированию в области обеспечения технологической независимости КИИ в части программно-аппаратных комплексов (далее – ПАК);

o определяется уполномоченным федеральным органом исполнительной власти на обеспечение технологического суверенитета государства в области обеспечения технологической независимости КИИ в части ПАК;

o получает полномочие на проведение и утверждение порядка проведения конкурсного отбора в целях определения головной научно-исследовательской организации в области обеспечения технологического суверенитета государства в сфере развития КИИ, а также критерии, которым такая организация должна соответствовать;

• Минцифры России:

o наделяется функциями по выработке и реализации государственной политики и нормативно-правовому регулированию в области обеспечения технологической независимости КИИ в части программного обеспечения (далее – ПО);

o определяется уполномоченным федеральным органом исполнительной власти на обеспечение технологического суверенитета государства в области обеспечения технологической независимости КИИ в части ПО;

o получает полномочие давать разъяснения по вопросам, касающимся перехода субъектов КИИ на использование российского ПО на значимых объектах КИИ (за исключением встроенного ПО).

Дата окончания общественного обсуждения – 22.09.2026.

Финансовые организации

Банк России расширит требования к защите информации для некредитных финансовых организаций в связи с оборотом цифровых валют и цифровых прав

25 сентября Центральный банк РФ (далее – Банк России) опубликовал проект указания «О внесении изменений в Положение Банка России от 20.04.2021 № 757-П».

Ключевые положения проекта:

• будет уточнен срок определения уровня защиты информации (норма дополнена 10-дневным сроком с момента начала осуществления деятельности);

• по решению некредитных финансовых организаций уровень защиты информации сможет быть повышен на основе анализа рисков;

• будет дополнен перечень некредитных финансовых организаций, на которые распространяются требования по стандартному и минимальному уровню защиты информации (в него включены цифровые депозитарии, организации, осуществляющие обмен цифровых валют, операторы сервисов рассрочки);

• организации, осуществляющие обмен цифровых валют, для которых установлен минимальный уровень защиты информации, будут обязаны обеспечить стандартный уровень защиты для следующих процессов:

o обеспечение защиты информации при управлении доступом;

o предотвращение утечек информации.

• будет уточнен порядок информирования Банка России о выявленных инцидентах защиты информации, компьютерных инцидентах и компьютерных атаках (норма дополнена указанием на компьютерные инциденты и компьютерные атаки, включенные в перечень типов инцидентов, согласованный с Федеральной службой безопасности РФ (далее – ФСБ России));

• будут переработаны особенности обеспечения защиты информации при осуществлении деятельности оператора информационной системы (далее – ИС), в которой осуществляется выпуск цифровых финансовых активов (мероприятия дополнены взаимной (двухсторонней) аутентификацией узлов ИС, участвующих в обмене защищаемой информацией и иное);

• будет включена новая глава об особенностях обеспечения защиты информации при осуществлении деятельности цифрового депозитария, организации, осуществляющей обмен цифровых валют (установлены требования о размещении объектов информационной инфраструктуры на территории РФ и иное);

• будут дополнены сроки предоставления некредитными финансовыми организациями Банку России сведений о:

o компьютерных атаках – в течение 24 часов с момента обнаружения атаки;

o результатах мероприятий по реагированию на компьютерные инциденты и принятии мер по ликвидации последствий компьютерных атак – не позднее 48 часов после завершения мероприятий;

o ликвидации последствий компьютерных атак и принятии мер по восстановлению функционирования и проверке работоспособности объектов информационной инфраструктуры – в течение 24 часов с момента завершения принятия мер.

Дата окончания общественного обсуждения – 07.10.2026.

Банк России установил квалификационные требования и требования к защите информации для участников рынка цифровых валют

24 сентября Банк России официально опубликовал положение «О квалификационных требованиях к лицам, осуществляющим отдельные функции в организации, осуществляющей обмен цифровых валют, цифровом депозитарии, операторе ИС, в которой осуществляется выпуск цифровых финансовых активов, а также о принятии Банком России решений, предусмотренных ч. 1 ст. 52 Федерального закона от 04.08.2026 № 282-ФЗ «О цифровых валютах и цифровых правах».

Ключевые квалификационные требования к должностным лицам:

• Единоличный исполнительный орган цифрового депозитария и оператора ИС, в которой выпускаются цифровые финансовые активы, должен иметь высшее образование и опыт руководящей работы не менее 2 лет (в финансовых организациях, органах государственной власти, Банке России или иностранных организациях по учету цифровых инструментов). Для главы организации по обмену цифровых валют достаточно 1 года опыта;

• Члены коллегиального исполнительного органа цифрового депозитария и оператора ИС должны иметь высшее образование и опыт работы не менее 2 лет в финансовых организациях (включая опыт в области ИТ, разработки ПО или управления персоналом);

• Контролеры (руководители службы внутреннего контроля), внутренние аудиторы и риск-менеджеры должны иметь высшее образование и профильный опыт работы от 1 до 3 лет (в зависимости от занимаемой должности и типа организации).

Ключевые требования к защите информации и операционной надежности (для цифровых депозитариев):

• защита информации в отношении информационной инфраструктуры должна осуществляться в соответствии с разделами 1 – 9 национального стандарта ГОСТ Р 57580.1-2017 «Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Базовый состав организационных и технических мер» (далее – ГОСТ Р 57580.1-2017);

• уровень защиты информации должен быть не ниже стандартного согласно п. 6.7. ГОСТ Р 57580.1-2017, а уровень соответствия не ниже 4 класса согласно подп. «д» п. 6.9. национального стандарта ГОСТ Р 57580.2-2018 «Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Методика оценки соответствия»;

• должно быть обеспечено логирование действий работников и клиентов (дата/время, присвоенный идентификатор, сетевой адрес, результаты операций);

• обязательно проведение тестирования объектов информационной инфраструктуры на предмет проникновений и анализ уязвимостей информационной безопасности (далее – ИБ);

• используемое прикладное ПО должно пройти сертификацию Федеральной службы по техническому и экспортному контролю (далее – ФСТЭК России) или получить оценку соответствия по требованиям к оценочному уровню доверия не ниже 4. В качестве альтернативы допускается сертификация процессов безопасной разработки прикладного ПО в системе сертификации ФСТЭК России на соответствие требованиям в части реализации безопасного жизненного цикла разработки ПО в соответствии с национальным стандартом ГОСТ Р 56939-2024 «Защита информации. Разработка безопасного ПО. Общие требования»;

• обязательное применение механизмов защиты от атак типа «отказ в обслуживании» (DDoS) на уровне вычислительной сети, в том числе механизмов, обеспечивающих непрерывную работу объектов информационной инфраструктуры.

Порядок принятия решений Банком России:

• перечень необходимых документов разграничен по темам обращений заявителей и приведен в приложениях к документу;

• документы подаются в электронном виде и подписываются усиленной квалифицированной электронной подписью. Документы на иностранном языке требуют предоставления апостиля и нотариально заверенного перевода;

• Банк России вправе проводить проверочные мероприятия в отношении заявителя (срок проведения – 5 рабочих дней), а уведомления будут направляться за 1 рабочий день до дня проверки;

• основаниями для отказа заявителю могут быть: наличие недостоверной информации, несоответствие квалификационным требованиям или требованиям к защите информации, банкротство и иное.

Иное

Требования к облачным услугам и порядок перевода ИС потребителей в ГосОблако

3 сентября Минцифры России опубликовало проект приказа «Об утверждении Требований к облачным услугам, предоставляемым посредством государственной единой облачной платформы (далее – ГосОблако), а также к порядку и методологии перевода ИС и информационных ресурсов потребителей в ГосОблако».

Ключевые положения проекта:

• ГосОблако будет обеспечивать предоставление:

o вычислительных ресурсов;

o управляемых кластеров контейнеров;

o ресурсов хранения данных;

o системы резервного копирования;

o системного ПО;

o каналов связи;

o услуг ИБ.

• будут установлены требования к:

o защищенности услуг ГосОблака (типовой набор компонентов информационно-телекоммуникационной инфраструктуры (далее – ИТКИ) обеспечивающей класс защищенности К1 и уровень защищенности персональных данных (далее – ПДн) не ниже УЗ-2);

o платформе виртуализации (отказоустойчивое функционирование, автоматическое управление и балансировка нагрузки виртуальных машин на оборудовании);

o масштабу сегментов (возможность размещения ИТКИ в объеме не менее 9 600 процессорных ядер, 100 Тб оперативной памяти, 10 Пб дисковых массивов, каналов связи с суммарной пропускной способностью не менее 20 Гбит/с);

o услугам ИБ (обеспечение шифровальными (криптографическими) средствами защиты каналов связи, средствами межсетевого экранирования, обработки и защиты электронных подписей) и иное.

• будет определен и описан порядок перевода ИС (информационного ресурса) в ГосОблако:

o анализ проектной и (или) технической документации;

o определение требуемого набора облачных услуг и разработка плана предоставления ресурсов;

o подготовка проекта заказа на услуги с описанием параметров по виртуальным машинам и управляемым кластерам контейнеров и иное

Дата окончания общественного обсуждения – 18.09.2026.

Обеспечение права на отключение рекомендаций материалов, созданных с помощью ИИ

2 сентября на рассмотрение Государственной Думы Федерального Собрания РФ поступил проект Федерального закона «О внесении изменений в статью 10.2-2 Федерального закона «Об информации, информационных технологиях и о защите информации».

Владелец информационного ресурса, на котором применяются рекомендательные технологии, будет обязан обеспечить пользователю возможность установить и отменить в настройках рекомендаций запрет на предоставление с применением рекомендательных технологий материалов, созданных или существенно измененных с применением искусственного интеллекта (далее – ИИ), независимо от формы и вида таких материалов.

Установление запрета не будет ограничивать доступ пользователя к таким информационным материалам.

Планируемая дата вступления в силу – 01.09.2027.

Внесение изменений в классификатор программ для ЭВМ и БД

4 сентября Минцифры России опубликовало проект приказа «О внесении изменений в классификатор программ для электронных вычислительных машин (далее – ЭВМ) и баз данных, утвержденный приказом Минцифры России от 22.09.2020 № 486».

Ключевые положения проекта:

• класс «Драйверы» будет признан утратившим силу в разделе «Системное ПО» в связи с его переносом в раздел «Встроенное ПО»;

• будут внесены уточнения наименований и описаний существующих классов:

o класс «Встроенные системные программы – операционные системы (далее – ОС)» переименован в «Встроенные ОС»;

o класс «ПО интернета вещей, робототехники и сенсорики» переименован в «Встроенное ПО интернета вещей, робототехники и сенсорики».

• раздел «Встроенное ПО» будет дополнен новыми классами:

o драйверы;

o ПО для управляемых логических контроллеров (PLC);

o встроенные среды исполнения управляемого кода (виртуальные машины);

o встроенное ПО ПАК;

o встроенный гипервизор;

o встроенные средства управления оборудованием с числовым программным управлением (CAM);

o встроенные программы человеко-машинных интерфейсов на производстве (HMI);

o встроенное ПО средств управления и мониторинга.

Дата окончания общественного обсуждения – 19.09.2026.

Требования по защите СОРМ от НСД

4 сентября Минцифры России опубликовало проект приказа «Об утверждении требований по защите от несанкционированного доступа (далее – НСД) к техническим средствам, техническим и программным средствам ИС, программно-техническим средствам, используемым при проведении уполномоченными органами, осуществляющими оперативно-разыскную деятельность (далее – СОРМ) или обеспечение безопасности РФ, в случаях, установленных федеральными законами, оперативно-разыскных мероприятий в целях реализации возложенных на них задач».

Будут установлены требования к:

• идентификации, аутентификации посредством СОРМ;

• паролям (не менее 12 символов для учетных записей пользователей и не менее 15 символов для технологических учетных записей и иное);

• управлению доступом (разграничение доступа, максимальное количество попыток входа – 5 и иное);

• сетевой безопасности (реализация политики безопасности для линий связи, правил настройки межсетевого экрана, обеспечение подлинности сетевых соединений и иное);

• защите машинных носителей информации (контроль использования интерфейсов ввода/вывода, контроль пользователей, реализация мер защиты информации на носителях и иное);

• управлению конфигурацией СОРМ (документирование всех изменений, установление перечня запрещенных для изменений конфигураций, определение лиц, которым разрешены изменения, резервирование и создание резервных копий, тестирование восстановления резервных копий и иное);

• обеспечению целостности системных данных (защита конфигурационной информации от несанкционированных изменений в течение всего срока хранения, запрет загрузки со съемных носителей и сетевых загрузочных протоколов и иное);

• управлению обновлениями ПО СОРМ (получение обновлений только напрямую от производителя; проверка неизменности файлов обновления по хэш-суммам и иное);

• регистрации событий НСД и реагированию на инциденты (регистрация, сбор и хранение информации о событиях, защита информации о событиях, выявление компьютерных инцидентов на основе собираемых событий и заранее определенных правил корреляции и иное);

• порядку и форме передачи информации о событиях НСД на пульт управления (передача по протоколу HTTPS, передача в формате JSON и иное);

• безопасности СОРМ в виртуальной инфраструктуре (идентификация и аутентификация администраторов и субъектов доступа, блокировка доступа для не прошедших аутентификацию, защита аутентификационной информации и иное);

• защите технических средств и систем (запрет на подключение к СОРМ любых аппаратных компонентов (периферийных устройств), не входящих в комплект поставки, СОРМ в виде отдельного аппаратно-программного комплекса должна быть реализована в отдельном коммуникационном шкафу или стойке, оснащенных запирающими устройствами и иное).

Дата окончания общественного обсуждения – 19.09.2026.

Планируемая дата вступления в силу – 01.03.2027.

Изменения в ряде Федеральных законов

30 сентября Минцифры России опубликовало проект Федерального закона «О внесении изменений в Федеральный закон «О связи» и отдельные законодательные акты РФ».

Ключевые изменения в Федеральный закон от 07.07.2003 № 126-ФЗ «О связи» (далее – 126-ФЗ):

• Минцифры России:

o по согласованию с ФСБ России и ФСТЭК России для обеспечения доступа к услугам связи и предоставления услуг связи будет определять порядок доступа и учета работников операторов связи и сторонних организаций к ИС, автоматизированным системам управления, ИТКС;

o по согласованию с ФСБ России будет устанавливать требования к применению средств криптографической защиты информации (далее – СКЗИ) для защиты сетей управления космическими объектами связи (спутниками связи).

• будет введена возможность использования усиленной неквалифицированной электронной подписи (далее – УНЭП) для заключения договоров об оказании услуг связи посредством ИТКС «Интернет» с обязательной идентификацией физического лица посредством единой системы идентификации и аутентификации (далее – ЕСИА) или единой биометрической системы (далее – ЕБС);

• проверка достоверности сведений об абоненте – физическом лице будет дополнена использованием УНЭП;

• использование виртуальных телефонных станций (ВАТС) допускается только с сетевых адресов, принадлежащих РФ, либо предназначенных для ВАТС провайдером хостинга;

• будет запрещено включать в тексты SMS-рассылок ПДн абонента и его близких родственников, если у заказчика рассылки нет законных оснований на их обработку;

• операторы связи будут обязаны хранить в течение 3 лет информацию о сетевых адресах и портах, использовавшихся при заключении договора через ИТКС «Интернет» и иное.

Ключевые изменения в Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»:

• для владельцев сайта или страницы сайта в сети «Интернет», или ИС, или программы для ЭВМ, осуществляющих свою деятельность в сети «Интернет» на территории РФ:

o исключена привязка к статусу гражданина и юридического лица РФ в случае, если доступ к информации предоставляется пользователям, прошедшим авторизацию;

o в статусе граждан и юридических лиц РФ – включена обязанность использовать установленные способы авторизации, она не отличается от действующих способов, но при использовании ЕСИА хранение данных об авторизации осуществляется в самой ЕСИА;

o в статусе иностранных граждан и юридических лиц – предусматривается обязанность установить способ авторизации «с использованием абонентского номера оператора подвижной радиотелефонной связи»;

• провайдер хостинга будет обязан:

o уведомлять Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (далее – Роскомнадзор) в соответствии с подп. 3 п. 8 ст. 56.2 126-ФЗ;

o предоставлять мощности для ВАТС только с использованием сетевых адресов, принадлежащих РФ;

o идентифицировать лиц, обратившихся за мощностями, а также проверять их наличие в реестре лиц, доступ к которым ограничен на территории РФ (далее – Реестр нарушителей), который будет вести Роскомнадзор;

o отказывать в предоставлении мощностей лицам в течение 1 года после их включения в Реестр нарушителей;

o прекратить предоставление вычислительной мощности при поступлении соответствующего запроса от национального координационного центра по компьютерным инцидентам.

Ключевые изменения в Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»:

• Федеральным и региональным органам государственной власти, Банку России будет предоставлено право принимать нормативные правовые акты (далее – НПА), определяющие состав ПДн для определенных случаев обработки;

• будет установлено, что согласие субъекта на обработку ПДн, а также его отзыв, можно будет получить оператором:

o непосредственно у субъекта ПДн, в том числе в электронной форме с использованием ИС и (или) телекоммуникационных каналов связи, а информация о таких согласиях передается оператором в ЕСИА в составе, порядке и случаях, установленных Правительством РФ;

o с использованием ЕСИА, а в банковской сфере и иных сферах финансового рынка указанные порядок и случаи дополнительно согласовываются с Банком России.

• типовые формы согласий на обработку ПДн, которые могут быть даны с использованием ЕСИА, будут утверждаться Роскомнадзором и Минцифры России, а в банковской сфере и иных сферах финансового рынка – по согласованию с Банком России;

• будет установлено, что согласие на обработку ПДн, разрешенных субъектом ПДн для распространения, предоставляется непосредственно оператору, в том числе в электронной форме с использованием ИС или телекоммуникационных каналов связи, иные способы получения исключены;

• субъект ПДн будет вправе:

o получить посредством единого портала государственных и муниципальных услуг информации (далее – Госуслуги) информацию о факте обработки его ПДн оператором на основании данного им согласия;

o обжаловать действия или бездействие оператора в Роскомнадзор с использованием портала Госуслуг;

• будет введен запрет требовать согласие на обработку ПДн, если это не предусмотрено международным договором РФ, федеральным законом или НПА.

Ключевые изменения в Федеральный закон от 01.04.2025 № 41-ФЗ «О создании государственной информационной системы противодействия правонарушениям, совершаемым с использованием информационных и коммуникационных технологий (далее – ГИС противодействия правонарушениям), и о внесении изменений в отдельные законодательные акты РФ»:

• в ГИС противодействия правонарушениям дополнительно будет храниться информация, необходимая для регистрации и (или) авторизации пользователя в сети «Интернет»;

• оператор связи будет обязан прекратить оказание услуг связи абоненту при поступлении от ФСБ России или органа исполнительной власти в сфере внутренних дел сведений об использовании абонентского номера для совершения противоправных действий.

Дата окончания общественного обсуждения – 15.10.2026.

Планируемая дата вступления в силу – 01.03.2028.

Стандартизация

Стандарт по типовым угрозам и уязвимостям идентификации и аутентификации

14 сентября Федеральным агентством по техническому регулированию и метрологии (далее – Росстандарт) утвержден национальный стандарт ГОСТ Р 70262.3-2026 «Защита информации. Идентификация и аутентификация. Типовые угрозы и уязвимости идентификации и аутентификации» (далее – Стандарт).

Стандарт устанавливает форму и структуру описания типовых угроз, характерных для идентификации и аутентификации субъектов и объектов доступа, а также типовых уязвимостей, которые могут быть использованы для нарушения установленного порядка и (или) получения неверных результатов идентификации и аутентификации.

Положения стандарта содержат систематизированные перечни типовых уязвимостей и угроз применительно к компонентам идентификации и аутентификации, которые могут являться объектами атак и (или) содержать уязвимости.

Стандарт распространяется на организацию и проведение идентификации и аутентификации как совокупности действий (процессов), выполняемых в соответствии с установленным порядком и правилами.

Перечень типовых угроз и уязвимостей не включает угрозы и уязвимости, обусловленные реализацией процессов идентификации и аутентификации в программных или программно-аппаратных (программно-технических) средствах защиты информации, средствах вычислительной техники, автоматизированных (информационных) системах, и не связан с ними.

Порядок формирования перечня уязвимостей и перечня угроз, актуальных для конкретной среды функционирования и учитывающих ее специфику, а также методы, используемые при этом, не являются предметом рассмотрения Стандарта.

ФСТЭК России

Рекомендации по защите информации при использовании моделей ИИ

ФСТЭК России адресно разосланы рекомендации по защите информации при использовании моделей ИИ при создании государственных и иных ИС. Согласно рекомендациям, противодействие угроз безопасности информации (далее – УБИ), связанным с применением моделей ИИ, осуществляется за счет реализации мероприятий и мер, предусмотренных приказом ФСТЭК России от 11.04.2025 № 117. Также указывается на необходимость:

• проведения оценки УБИ моделям ИИ с использованием соответствующего раздела базы данных угроз ФСТЭК России;

• включения в техническое задание требований к мерам защиты от выявленных УБИ (включая такие рекомендуемые меры, как выделение модели ИИ в отдельных сегмент, использование усиленной многофакторной аутентификации, контроль доступа с наделением пользователей минимальными привилегиями, регистрация и анализ событий);

• реализации мер защиты моделей ИИ с применением встроенных средств ПО ИС и (или) наложенных средств защиты информации;

• предъявления требований по защите информации к подрядным организациям, предоставляющим сервисы на основе моделей ИИ.

В случае применения моделей ИИ для обработки информации ограниченного доступа и (или) для реализации значимых функций оператора (обладателя информации) ИС рекомендуется реализовать такие дополнительные меры защиты, как:

• контроль доступа пользователей к моделям ИИ;

• фильтрация входных и выходных данных моделей ИИ;

• ограничение количества запросов к моделям ИИ;

• ограничение и контроль функциональности моделей ИИ.

В случае применения агентов ИИ рекомендуется принять дополнительные меры, направленные на предотвращение несанкционированного воздействия на ресурсы ИС, включая:

• наделение агентов ИИ минимальными правами доступа;

• управление доступом агентов ИИ к ресурсам и информации ИС;

• выделение агентов ИИ в отдельный сегмент ИС;

• защиту программных интерфейсов взаимодействия агентов ИИ;

• контроль конфигурации агентов ИИ;

• мониторинг действий агентов ИИ;

• подтверждение оператором выполнения агентами ИИ значимых функций.

Эффективность реализации мер защиты оценивается в ходе проведения аттестационных испытаний (оценки эффективности принятых мер защиты информации).

Деятельность ТК 362 в сентябре 2026 года

ФСТЭК России на своем официальном сайте опубликовала Справку-доклад о ходе работ по плану технического комитета по стандартизации «Защита информации» (далее – ТК 362) на 2026 год по состоянию на 29.09.2026.

В интересах выполнения плана были проведены следующие работы:

• завершены работы по подготовке и утверждению национального стандарта ГОСТ Р 70262.3-2026 «Защита информации. Идентификация и аутентификация. Типовые угрозы и уязвимости идентификации и аутентификации»;

• председателю ТК 362 представлены первые редакции проектов национальных стандартов:

o ГОСТ Р «Защита информации. Доверенная среда исполнения. Требования к аппаратно-программной платформе»;

o ГОСТ Р «Защита информации. Безопасность интегральных схем. Общие положения»;

• организовано публичное обсуждение проектов национальных стандартов:

o ГОСТ Р «Защита информации. Доверенная среда исполнения. Требования к аппаратно-программной платформе»;

o ГОСТ Р «Защита информации. Безопасность интегральных схем. Общие положения».

• председателю ТК 362 представлен проект национального стандарта ГОСТ Р «Защита информации. Доверенная среда исполнения. Общие положения» для принятия решения по вопросу его представления в Росстандарт на утверждение. Срок рассмотрения – 09.10.2026. Подробнее с проектом можно ознакомиться в обзоре за октябрь 2025 года;

• первая редакция проекта национального стандарта ГОСТ Р «Защита информации. Разработка безопасного ПО. Технологии динамического анализа ПО. Общие требования» представлена разработчиком на согласование председателю подкомитета № 2 (ПК2). Ожидаемый срок согласования – октябрь 2026 года;

• проект национального стандарта ГОСТ Р «Защита информации. Разработка безопасного ПО. Композиционный анализ ПО. Общие требования» доработан разработчиком и передан председателю ТК 362;

• проект национального стандарта ГОСТ Р «Информационная технология. Системы с конструктивной ИБ. Определение угроз безопасности и оценка рисков» разослан в организации-члены рабочей группы (РГ 2/3) для рассмотрения и подготовки замечаний и предложений. Срок рассмотрения – 01.10.2026;

• проект национального стандарта ГОСТ Р «Защита информации. Идентификация и аутентификация. Технические средства аутентификации» находится на рассмотрении у участников инициативной группы по его разработке. Ожидаемый срок предоставления в ТК 362 – декабрь 2026 года;

• организовано рассмотрение в организациях-членах ТК 362:

o ГОСТ Р «КИИ. Доверенные ПАК. Часть 1.1. Термины и определения»;

o ГОСТ Р «КИИ. Доверенные ПАК. Часть 1.2. Критерии доверия. Общие положения»;

o ГОСТ Р «КИИ. Доверенные ПАК. Часть 1.3. Жизненный цикл. Общие положения»;

o стандарта организации СТО ИНТИ 1.90.31-2026 «Средства измерений и измерительные системы количества и показателей качества нефти и нефтепродуктов. Защита информации». Срок рассмотрения стандарта – 05.10.2026.

• подготовлены и направлены в Росстандарт предложения по корректировке программы национальной стандартизации на 2026 год в части включения новых тем – проектов национальных стандартов:

o ГОСТ Р «Защита информации. Доверенная среда исполнения. Требования к аппаратно-программной платформе»;

o ГОСТ Р «Защита информации. Безопасность интегральных схем. Общие положения».

• дорабатываются проекты национальных стандартов:

o ГОСТ Р «Защита информации. Информационный ресурс служебных баз данных средств защиты информации. Общие положения». Плановый срок представления проекта национального стандарта в ТК 362 – ноябрь 2026 года;

o ГОСТ Р 71206 «Защита информации. Разработка безопасного ПО. Безопасный компилятор языков С и С++. Общие требования». Ожидаемый срок представления проекта национального стандарта в ТК 362 – ноябрь 2026 года;

o ГОСТ Р «Защита информации. Разработка безопасного ПО, реализующего технологии ИИ. Общие требования»;

o ГОСТ Р «Защита информации. Разработка безопасного ПО. Среда разработки безопасного ПО. Общие требования». Плановый срок представления проекта национального стандарта в ТК 362 – ноябрь 2026 года.

Судебная практика в части ПДн

Наказание за незаконное использование и передачу компьютерной информации, содержащую ПДн

В сентябре 2026 года Октябрьский районный суд г. Ростова-на-Дону, рассмотрев дело об уголовном правонарушении, вынес решение о признании виновным гражданина в совершении правонарушения по ч. 6 ст. 272.1 Уголовного кодекса (далее – УК) РФ: создание и (или) обеспечение функционирования информационного ресурса (сайта, страницы в интернете, информационной системы, программы для электронной вычислительной машины), который заведомо предназначен для незаконных хранения, передачи (распространения, предоставления, доступа) ПДн, полученных незаконным путем.

В процессе судебного разбирательства было установлено, что ранее осужденный гражданин, используя мессенджер Telegram и специализированный бот, за денежное вознаграждение осуществлял поиск и передачу третьим лицам ПДн граждан, включая военнослужащих.

Суд назначил наказание в виде отбывания в колонии строгого режима сроком на один год и штрафа в размере 100 тыс. руб. Решение не вступило в силу.

Штраф за передачу ПДн

08.09.2026 Прибайкальский районный суд Республики Бурятия, рассмотрев дело об уголовном правонарушении, вынес решение о признании виновным старшего инспектора Государственной инспекции безопасности дорожного движения по п. «г» ч.3 ст.272.1 УК РФ: незаконное использование, передача, сбор или хранение компьютерной информации, содержащих ПДн, с использованием своего служебного положения.

В ходе судебного разбирательства было установлено, что инспектор, действуя по просьбе своей матери, осуществила неправомерный доступ к Федеральной ИС «ГИБДД‑М», используя свою учетную запись. В результате инспектор предоставила своей матери ПДн собственника транспортного средства, включая фамилию, имя, отчество, возраст, а также номер телефона и лица, допущенного к управлению транспортным средством.

Суд квалифицировал действия инспектора как неправомерный доступ, к охраняемой законом компьютерной информации, содержащей ПДн, поскольку запрос не был связан со служебными обязанностями. Устная передача сведений по телефону признана как незаконное предоставление ПДн. В качестве доказательств были использованы сведения о факте обращения к ИС и аудиозапись телефонного разговора.

Суд назначил наказание в виде штрафа в размере 100 тыс. руб. и запрета занимать должности на государственной службе, связанные с доступом к охраняемой законом тайне, сроком на два года.

ИИ-контент с изображениями граждан является нарушением законодательства

04.06.2026 Таганский районный суд г. Москвы, рассмотрев дело об административном правонарушении, признал незаконным использование изображений российских граждан для создания материалов с помощью ИИ. Решение было принято по иску Роскомнадзора к американской компании NameSilo, LLC.

Роскомнадзор в ходе проведения мониторинга сайта slygen.ai выявил медиаконтент, созданный с помощью ИИ, в основе которого лежали фото и видео российских граждан. При этом сведений о согласии граждан на обработку и распространение их ПДн на ресурсе не было.

В процессе судебного разбирательство суд пришел к следующим выводам:

• изображение человека является ПДн. Согласно ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – 152-ФЗ) изображение физического лица подпадает под определение ПДн;

• для размещения в общем доступе ПДн необходимо законное основание. Распространение созданных на основе изображений граждан ИИ-материалов (дипфейки, ИИ-аватары) в открытом доступе должно соответствовать ч.1 ст.6 и ч.1 ст.10.1 152-ФЗ, а согласие на их распространение должно оформляться по требованиям приказа Роскомнадзора от 24.02.2021 № 18 «Об утверждении требований к содержанию согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения».

Последствие: решение суда является основанием для включения Роскомнадзором страницы slygen.ai в реестр нарушителей прав субъектов ПДн на основании ст.15.5 Федерального закона от 27.07.2006 № 149‑ФЗ «Об информации, информационных технологиях и о защите информации», то есть для запуска процедуры ограничения доступа к сайту.

Штраф за утечку ПДн

08.09.2026 Мировой судья судебного участка № 252 г. Москвы, рассмотрев дело об административном правонарушении, признал ООО «Медицинская клиника «НАКФФ» (далее – Клиника) виновным по ч.16 ст.13.11 Кодекса РФ по административным правонарушениям (далее – КоАП): действия (бездействие) оператора, повлекшие неправомерную передачу (предоставление, распространение, доступ) информации, включающей специальную категорию ПДн.

В процессе судебного разбирательства было установлено, что клиника выявила несанкционированный доступ к своим ИС «МИС Медиалог» и «1С:ЗУП» и уведомила об этом Роскомнадзор и полицию. В результате оказались распространены в Telegram ПДн пациентов и сотрудников, включая медицинские анализы, назначения наркотических и психотропных препаратов, данные о переливании крови и констатации смерти. При осмотре выборочным поиском в ИС клиники нашли сведения о 27 пациентах из утекшей базы.

Клиника не оспаривала событие, но настаивала на отсутствии вины. Клиника настаивала на том, что она выполняла требования постановления Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» и приказа ФСТЭК России от 18.02.2013 № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных», утечка стала результатом кибератаки. Суд отклонил эти доводы, указав на отсутствие доказательств принятия всех необходимых мер ч. 2 ст. 2.1 КоАП.

В ходе разбирательства суд отметил, что Клиника должна подтвердить принятие всех мер защиты ПДн, однако нарушенными были признаны только требования о конфиденциальности и передаче данных ч. 2 ст. 10 и ст. 7 152-ФЗ.

Клиника настаивала на смягчении наказания, ссылаясь на уведомление Роскомнадзора и усиление защиты ПДн после инцидента, но суд не нашел оснований для этого. В замене штрафа предупреждением по ст. 4.1.1 КоАП судом было отказано.

Суд назначил наказание в виде штрафа, однако конкретная сумма в опубликованной копии постановления обезличена. По ч.16 ст.13.11 КоАП РФ для юридических лиц предусмотрен штраф от 10 до 15 млн. руб. Суд не назначил максимальную сумму, он снизил штраф, учтя, что Клиника относится к среднему бизнесу.

Авторы: Александра Чельдинова и Виктор Бармак, аналитики УЦСБ

Источник: habr.com