Законодательство и требования по информационной безопасности
Федеральные законы, указы Президента, постановления Правительства, приказы ФСТЭК, ФСБ и других ведомств, требования Банка России и отраслевые нормативы, на которые опираются проекты по защите информации и импортозамещению. Ссылки ведут на полные тексты документов в действующей редакции — в КонсультантПлюс и на сайтах регуляторов. Утратившие силу документы собраны в архиве внизу страницы.
[01] Основы
Основной закон. Неприкосновенность частной жизни и тайна переписки (ст. 23), запрет собирать и распространять сведения о частной жизни без согласия (ст. 24), свобода информации (ст. 29).
ОткрытьФедеральный закон. Основа регулирования информации, информационных технологий и защиты информации.
ОткрытьФедеральный закон. Отнесение сведений к коммерческой тайне, их передача и охрана конфиденциальности.
Открыть«О дополнительных мерах по обеспечению информационной безопасности Российской Федерации». Ответственный за информационную безопасность заместитель руководителя, структурное подразделение по защите информации, ограничения на средства защиты из недружественных стран.
ОткрытьТиповые положения о заместителе руководителя, ответственном за информационную безопасность, и о структурном подразделении, которое её обеспечивает.
Открыть[02] ИСПДн
Федеральный закон. Принципы и условия обработки персональных данных, права субъектов, обязанности операторов.
ОткрытьТребования к защите персональных данных при их обработке в информационных системах персональных данных, уровни защищённости.
ОткрытьСостав и содержание организационных и технических мер по обеспечению безопасности персональных данных в информационных системах персональных данных.
ОткрытьМеры по обеспечению безопасности персональных данных с использованием средств криптографической защиты информации для каждого уровня защищённости.
ОткрытьФедеральный закон о внесении изменений в 152-ФЗ. Особенности обработки обезличенных персональных данных при формировании составов данных; с 01.09.2025 операторы по требованию Минцифры России передают обезличенные персональные данные в государственную информационную систему.
ОткрытьТребования к обезличиванию персональных данных и методы обезличивания. Действует с 01.09.2025 вместо приказа № 996 (2013).
ОткрытьФедеральный закон «Об осуществлении идентификации и (или) аутентификации физических лиц с использованием биометрических персональных данных…». Единая биометрическая система (ЕБС), правила идентификации и аутентификации по биометрии.
ОткрытьПорядок обработки биометрических персональных данных и векторов ЕБС в Единой биометрической системе и в информационных системах аккредитованных госорганов, Банка России и организаций, которые проводят аутентификацию по биометрии. В редакции от 24.07.2026.
ОткрытьСтатья 13.11 КоАП РФ. Штрафы за обработку без законных оснований и без согласия субъекта. С 30.05.2025 (420-ФЗ) — за неуведомление Роскомнадзора о начале обработки и об утечке, отдельные составы за утечки в зависимости от числа субъектов, за утечки специальных категорий и биометрии; за повторные утечки — оборотные штрафы 1–3 % выручки.
Открыть[03] ДСП
[04] ГИС
Требования о защите информации в государственных информационных системах, иных информационных системах госорганов, ГУП и госучреждений. Действует с 01.03.2026 и заменил приказы № 17 (2013), № 27 (2017), № 106 (2019), № 61 (2020) и п. 1 изменений, утверждённых приказом № 159 (2024).
ОткрытьТребования к порядку создания, развития, ввода в эксплуатацию, эксплуатации и вывода из эксплуатации государственных информационных систем.
Открыть[05] КИИ и АСУ ТП
Федеральный закон. Субъекты и объекты КИИ, категорирование, обязанности по обеспечению безопасности значимых объектов.
ОткрытьПравила категорирования объектов КИИ и перечень показателей критериев их значимости.
ОткрытьТребования по обеспечению безопасности значимых объектов КИИ.
ОткрытьТребования к созданию систем безопасности значимых объектов КИИ и обеспечению их функционирования.
ОткрытьПорядок информирования ФСБ России о компьютерных атаках и компьютерных инцидентах, реагирования на них и ликвидации последствий атак на значимые объекты КИИ и иные информационные ресурсы Российской Федерации. Действует с 30.01.2026 вместо приказа № 282.
Открыть«О мерах по обеспечению технологической независимости и безопасности критической информационной инфраструктуры Российской Федерации». Ограничения на закупку и использование иностранного программного обеспечения на значимых объектах КИИ.
ОткрытьПорядок перехода субъектов КИИ на преимущественное применение доверенных программно-аппаратных комплексов на значимых объектах.
ОткрытьТребования к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами (АСУ ТП).
Открыть[06] Финансовый сектор
Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Базовый состав организационных и технических мер.
ОткрытьТребования к защите информации для кредитных организаций в целях противодействия переводам денежных средств без согласия клиента. Действует с 29.03.2025 вместо 683-П.
ОткрытьТребования к обеспечению защиты информации при осуществлении переводов денежных средств. Действует с 01.04.2024 вместо 719-П.
ОткрытьТребования к обеспечению защиты информации для некредитных финансовых организаций.
ОткрытьТребования к системе управления операционным риском в кредитной организации и банковской группе, в том числе к управлению риском информационной безопасности и риском информационных систем.
ОткрытьСтандарт безопасности данных индустрии платёжных карт. Разрабатывает PCI Security Standards Council.
Открыть[07] Здравоохранение
Федеральный закон. Врачебная тайна (ст. 13), информационное обеспечение в сфере здравоохранения (ст. 91) и единая государственная информационная система в сфере здравоохранения — ЕГИСЗ (ст. 91.1).
Открыть«О единой государственной информационной системе в сфере здравоохранения» (ЕГИСЗ). В редакции от 02.03.2026.
ОткрытьТребования к государственным информационным системам в сфере здравоохранения субъектов РФ, медицинским информационным системам медицинских организаций и информационным системам фармацевтических организаций.
ОткрытьТребования к антитеррористической защищённости объектов (территорий) Минздрава России и объектов сферы его деятельности. Изменения внесены постановлением № 1226 от 15.08.2025.
Открыть[08] Криптография
Федеральный закон. Использование электронных подписей в сделках, при оказании государственных услуг и других юридически значимых действиях.
ОткрытьПорядок разработки, производства, реализации и эксплуатации шифровальных (криптографических) средств защиты информации.
ОткрытьТребования к средствам электронной подписи и к средствам удостоверяющего центра.
Открыть[09] Лицензии
Федеральный закон. Перечень лицензируемых видов деятельности и порядок лицензирования.
ОткрытьЛицензирование деятельности по технической защите конфиденциальной информации — лицензия ФСТЭК России.
ОткрытьЛицензирование разработки, производства и распространения шифровальных (криптографических) средств, работ и услуг в области шифрования — лицензия ФСБ России.
Открыть[10] Методики
Порядок определения угроз безопасности информации и разработки модели угроз. Заменила методики 2007 и 2008 годов.
ОткрытьПеречень угроз и уязвимостей, на который ссылаются методика оценки угроз и модели угроз.
ОткрытьПорядок организации и проведения работ по аттестации объектов информатизации на соответствие требованиям о защите информации ограниченного доступа, не составляющей государственную тайну. С 01.09.2026 действует с изменениями, внесёнными приказом № 60 от 27.02.2026.
Открыть[11] Уничтожение
Приказ ФСТЭК России № 21: уничтожение (стирание) или обезличивание персональных данных на машинных носителях при их передаче между пользователями, в сторонние организации для ремонта или утилизации, а также контроль уничтожения (стирания) или обезличивания.
ОткрытьПриказ ФСТЭК России № 239: уничтожение (стирание) информации на машинных носителях информации значимого объекта.
ОткрытьПравила организации хранения, комплектования, учёта и использования архивных документов в госорганах, органах местного самоуправления и организациях: экспертиза ценности документов и акт о выделении к уничтожению документов, не подлежащих хранению.
Открыть[12] Импортозамещение
Национальный режим в закупках по 44-ФЗ и 223-ФЗ: запреты, ограничения и преимущества для российских товаров, в том числе программного обеспечения из единого реестра российских программ. С 01.01.2025 заменил прежние запреты на допуск иностранного ПО из постановления № 1236.
ОткрытьПравила формирования и ведения единого реестра российских программ для ЭВМ и баз данных и реестра программ из государств — членов ЕАЭС. Нормы о запрете допуска иностранного ПО к закупкам утратили силу с 01.01.2025.
Открыть[13] ИИ
Федеральный закон. Понятия и принципы регулирования больших фундаментальных моделей ИИ, суверенные и национальные модели, маркировка материалов, созданных с помощью ИИ. Основная часть действует с 01.09.2026, отдельные положения — с 01.03.2027.
Открыть«О развитии искусственного интеллекта в Российской Федерации». Национальная стратегия развития искусственного интеллекта на период до 2030 года.
ОткрытьНациональный стандарт Российской Федерации «Искусственный интеллект. Система менеджмента»: требования и рекомендации по созданию, внедрению, поддержанию и постоянному улучшению системы менеджмента ИИ в организации. Идентичен ISO/IEC 42001:2023. Введён в действие с 01.01.2025 приказом Росстандарта № 1549-ст.
ОткрытьМеждународный стандарт системы менеджмента искусственного интеллекта. Подходит организациям любого размера и типа, которые предоставляют или используют продукты и услуги с применением ИИ.
Открыть[14] Стандарты ИБ
Национальный стандарт Российской Федерации «Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования». Идентичен ISO/IEC 27001:2013. Введён в действие с 01.01.2022 приказом Росстандарта № 1653-ст.
ОткрытьМеждународный стандарт: требования к созданию, внедрению, поддержанию и постоянному улучшению системы менеджмента информационной безопасности в организации. Действует с поправкой Amd 1:2024.
ОткрытьДокументы, которые больше не действуют. В описании — чем и с какой даты они заменены.
«Трёхглавый» приказ о классификации информационных систем персональных данных. Утратил силу по совместному приказу № 151/786/461 от 31.12.2013; вместо классов ИСПДн теперь уровни защищённости по постановлению № 1119.
ОткрытьТребования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах. С 01.03.2026 заменён приказом ФСТЭК России № 117.
ОткрытьТребования и методы по обезличиванию персональных данных. С 01.09.2025 заменён приказом Роскомнадзора № 140.
ОткрытьПорядок информирования ФСБ России о компьютерных инцидентах, реагирования на них и ликвидации последствий компьютерных атак на значимые объекты КИИ. С 30.01.2026 заменён приказом ФСБ России № 547.
ОткрытьТребования к защите информации для кредитных организаций в целях противодействия переводам денежных средств без согласия клиента. С 29.03.2025 заменено Положением № 851-П.
Открыть[16] Консультация
Расскажите, какие системы нужно защитить и какие требования к ним применяются, — проведём обследование и аудит, поможем привести защиту информации в соответствие.