Обзор изменений в законодательстве за июнь 2026 года

В обзоре изменений за июнь 2026 года рассмотрим следующие темы:

1. Критическая информационная инфраструктура

Рассмотрим официально опубликованные отраслевые особенности категорирования объектов КИИ в области оборонной промышленности.

2. Финансовые организации

Разберем методические рекомендации Банка России по обеспечению ИБ при разработке и применении ИИ на финансовом рынке.

3. Иное

Рассмотрим официально опубликованный Федеральный закон о технологической платформе создания, развития и эксплуатации ИС.

Изучим методические рекомендации Минцифры России к ИТ-инфраструктуре для размещения ИС органов исполнительной власти и органов местного самоуправления.

Рассмотрим новую административную ответственность за нарушения в сфере авторизации пользователей и применения рекомендательных технологий.

4. ФСТЭК России

Разберем методику выявления уязвимостей и недекларированных возможностей в ПО.

Рассмотрим официально опубликованные изменения в порядок аттестации объектов информатизации по требованиям защиты информации.

Рассмотрим справку-доклад о ходе работ по плану ТК 362 по состоянию на 26 июня 2026 года.

Приведем список обновленных перечней и реестров ФСТЭК России.

5. Судебная практика

Рассмотрим судебную практику в области ИБ за 2 квартал 2026 года.

Критическая информационная инфраструктура

Отраслевые особенности категорирования объектов КИИ в области оборонной промышленности

29 июня официально опубликовано постановление Правительства Российской Федерации (далее – РФ) от 27.06.2026 № 796 «Об утверждении отраслевых особенностей категорирования объектов критической информационной инфраструктуры (далее – КИИ) РФ в области оборонной промышленности».

Документ устанавливает порядок категорирования объектов КИИ (информационных систем (далее – ИС), информационно-телекоммуникационных сетей, автоматизированных систем управления), функционирующих в области оборонной промышленности.

Особенности процедуры категорирования:

• по окончании присвоения объектам КИИ категории значимости субъект КИИ направляет копии протприблизительнов заседаний комиссии по категорированию и актов категорирования объектов КИИ в ФГУП «НПП «Гамма» (в соответствии с Приказу Министерства промышленности и торговли РФ от 14.11.2025 № 5620 «Об определении организации, привлекаемой Министерством промышленности и торговли РФ к оценке актуальности и достоверности сведений, указанных в пункте 17 Правил категорирования объектов КИИ РФ, утвержденных постановлением Правительства РФ от 08.02.2018 № 127»);

• при обнаружении зависимости одного объекта КИИ от другого (в том числе принадлежащего иному субъекту КИИ), такому объекту КИИ присваивается категория значимости с наивысшим значением;

• пересмотр установленных категорий значимости проводится в случае изменения сведений о результатах присвоения объекту КИИ одной из категорий значимости либо об отсутствии необходимости присвоения ему одной из таких категорий, но не реже:

  • 1 раза в год – для объектов, в отношении которых принято решение об отсутствии необходимости присвоения категории;

  • 1 раза в 2 года – для объектов 3 категории значимости;

  • 1 раза в 3 года – для объектов 2 категории значимости;

  • 1 раза в 5 лет – для объектов 1 категории значимости.

Отраслевые признаки значимости объектов КИИ:

• использование объекта КИИ в поставке товаров, выполнении работ, оказании услуг по договорам или контрактам в контексте государственного оборонного заказа (далее – ГОЗ);

• использование объекта КИИ в поставке товаров, выполнении работ, оказании услуг субъектами КИИ по договорам или контрактам, контроль качества и приемка результатов которых сопровождается военными представительствами Министерства обороны РФ;

• обеспечение функционирования объектом КИИ опасного производственного объекта (далее – ОПО), имеющего декларацию промышленной безопасности ОПО в соответствии с Федеральным законом от 21.07.1997 № 116-ФЗ «О промышленной безопасности ОПО».

Оценка показателей критериев значимости объектов КИИ, утвержденных постановлением Правительства от 08.02.2018 № 127 «Об утверждении правил категорирования объектов КИИ РФ, а также перечня показателей критериев значимости объектов КИИ РФ и их значений» (далее – перечень критериев значимости), проводится с учетом отраслевой специфики.  

Для целей категорирования применяются позиции 1 – 4, 6 – 13.1 показателей из перечня критериев значимости.

Финансовые организации

Методические рекомендации Банка России по обеспечению ИБ при разработке и применении ИИ на финансовом рынке

16 июня ­Банк России опубликовал методические рекомендации от 16.06.2026 № 3-МР «По обеспечению информационной безопасности (далее – ИБ) при разработке и применении искусственного интеллекта (далее – ИИ) на финансовом рынке».

Документ разработан с целью обеспечения единства подходов кредитных организаций, иностранных банков, некредитных финансовых организаций, лиц, оказывающих профессиональные услуги на финансовом рынке, субъектов национальной платежной системы (далее – организации) к реализации принципа безопасности, надежности и эффективности в части обеспечения ИБ при разработке и применении ИИ на финансовом рынке в соответствии с Кодексом этики в сфере разработки и применения ИИ на финансовом рынке.

Документ содержит рекомендации по:

• минимизации рисков, связанных с нарушением ИБ и операционной надежности при разработке и применении ИИ;

• разработке модели угроз безопасности информации системы ИИ и определении состава и содержания мер защиты системы ИИ;

• разработке политики обеспечения ИБ при разработке и применении ИИ;

• обеспечению ИБ при использовании сервисов ИИ поставщиков услуг и (или) компонентов технологий ИИ с открытым исходным кодом.

Введены определения для галлюцинаций ИИ, дрейфа данных и других понятий.

Организациям рекомендуется:

• учитывать возможные способы реализации угроз безопасности информации, специфичные для технологий ИИ, например атак с использованием фаззинга, модификации алгоритма обучения и иными

• для определения возможных сценариев реализации угроз безопасности информации, специфичных для технологий ИИ, организациям рекомендуется применять, в частности, тактики и соответствующие им техники, указанные в документе;

• определять в проектной и эксплуатационной документации сведения о реализации мер защиты систем ИИ, а также проводить оценку эффективности реализованных мер защиты;

• разработать внутренние документация, предусматривающие порядок контроля за реализацией требований политики обеспечения ИБ при разработке и применении ИИ, в том числе аудита;

• реализовать валидацию результатов операций, выполненных ИИ в автоматическом режиме, человеком с возможностью изменения таких результатов, в случае использования ИИ для выполнения операций в автоматическом режиме в критически важных процессах (в частности, в платежных процессах, процессах учетных систем), когда риски ИБ ИИ оценены организацией как высокие;

• разработать модель угроз безопасности информации системы ИИ в соответствии с методике оценки угроз безопасности информации Федеральной службы по техническому и экспортному контролю (далее – ФСТЭК России) от 05.02.2021 и учитывать:

  • результаты оценки рисков ИБ ИИ;

  • этапы разработки и применения ИИ (подготовка данных, разработка модели ИИ, обучение и тестирование модели ИИ, функционирование модели ИИ);

  • возможные угрозы безопасности информации, специфичные для технологий ИИ;

  • актуальность как внешнего, так и внутреннего нарушителя;

  • структурно-функциональные характеристики системы ИИ в информационной инфраструктуре организации;

  • угрозы безопасности информации, возможные для информационной инфраструктуры организации, на базе которой функционирует система ИИ.

• разрабатывать собственные методики оценки доверия в отношении безопасности данных, моделей ИИ поставщиков услуг и (или) компонентов технологий ИИ с открытым исходным кодом и иное.

Иное

Технологическая платформа создания, развития и эксплуатации ИС

10 июня официально опубликован Федеральный закон от 10.06.2026 № 166‑ФЗ «О технологической платформе создания, развития и эксплуатации ИС».

Документ устанавливает организационно-правовые основы создания, развития и эксплуатации государственных, муниципальных и иных ИС на технологической платформе, а также иного технологического обеспечения деятельности участников технологической платформы.

Участниками технологической платформы могут быть:

• органы государственной власти РФ и субъектов РФ, иные государственные органы, органы публичной власти федеральных территорий, органы местного самоуправления, органы управления государственными внебюджетными фондами;

• иные лица, уполномоченные в соответствии с нормативными правовыми актами на осуществление мероприятий по созданию, развитию и эксплуатации ИС,

• коммерческие и некоммерческие организации, в отношении которых правительственной комиссией принято решение о допуске таких организаций в качестве участников технологической платформы.

Обязанности участников технологической платформы:

• применять компоненты платформы согласно законодательством об информации, о персональных данных (далее – ПДн), а в случае создания значимых объектов КИИ – также с законодательством о безопасности КИИ;

• проводить во взаимодействии с Министерством цифрового развития, связи и массовых коммуникаций РФ (далее – Минцифры России) оценку экономической и (или) технологической целесообразности создания и развития ИС на технологической платформе;

• обеспечивать в пределах своих полномочий реализацию мер по защите информации;

• обеспечивать в порядке, установленном Федеральной службы безопасности РФ, взаимодействие ИС на технологической платформе с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак.

Федеральный закон вступает в силу с 1 сентября 2027 года.

Со дня его вступления в силу, единая цифровая система «ГосТех», считается технологической платформой, предусмотренной данным федеральным законом.

Методические рекомендации Минцифры России к ИТ-инфраструктуре для размещения ИС органов исполнительной власти и органов местного самоуправления

4 июня Минцифры России утвердило приказ от 04.06.2026 № 508 «Об утверждении Методических рекомендаций по обеспечению соблюдения требований к информационно-телекоммуникационной инфраструктуре, в том числе облачной, для размещения ИС органов исполнительной власти и органов местного самоуправления».

Рекомендации разработаны с целью обеспечения потребности органов исполнительной власти и органов местного самоуправления (далее - потребители) в защищенной инфраструктуре с учетом требований по использованию импортозамещенного аппаратного и программного обеспечения (далее – ПО) в целях унификации подхода к ее созданию и управлению.

Документом предусмотрены рекомендации:

• общие к инфраструктуре:

  • инфраструктура должна работать в непрерывном круглосуточном режиме;

  • необходимо разрабатывать инфраструктуру на выделенных ресурсах, используемых только для обеспечения деятельности органов власти – не допускать использования общих ресурсов с иными заказчиками и иное.

• к составу и организации инфраструктуры:

  • для создания инфраструктуры используется оборудование, включенное в единый реестр российской радиоэлектронной продукции;

  • архитектурные решения не должны ограничивать выбор платформ виртуализации, операционных систем, систем резервного копирования, средств мониторинга и средств защиты информации (далее – СрЗИ) и иное.

• к условиям и параметрам функционирования инфраструктуры:

  • класс защищенности и уровень защищенности информации инфраструктуры не может быть ниже класса защищенности и уровня защищенности информации размещаемых ИС потребителей;

  • для катастрофоустойчивости потребителем должен создаваться дублирующий контур инфраструктуры с репликацией данных;

  • для инфраструктуры, на которой размещаются ИС, являющиеся значимыми объектами КИИ, потребителем должны быть реализованы соответствующие меры по обеспечению безопасности объекта согласно требованиям приказа ФСТЭК России от 25.12.2017 № 239 «Об утверждении Требований по обеспечению безопасности значимых объектов КИИ РФ» и иное.

• по оптимизации создания и использования инфраструктуры:

  • необходимо поэтапное развертывание ресурсов под контуры разработки, тестирования, предпродуктивный и эффективный контур;

  • для минимизации расходов на эксплуатацию инфраструктуры следует использовать облачные платформы и иное.

Административная ответственность за нарушения в сфере авторизации пользователей и применения рекомендательных технологий

26 июня официально опубликован Федеральный закон от 26.06.2026 № 199‑ФЗ «О внесении изменений в Кодекс РФ об административных правонарушениях (далее – КоАП РФ)».

Документ вносит изменения в КоАП РФ, включая дополняет его новыми статьями 13.55 и 13.56, устанавливающими административную ответственность за нарушения в сфере авторизации пользователей и применения рекомендательных технологий.

Статья 13.55 КоАП РФ устанавливает ответственность за неисполнение владельцем сайта и (или) страницы сайта в сети «Интернет», ИС или программы для электронных вычислительных машин, осуществляющим деятельность на территории РФ, обязанности по проведению авторизации пользователей, находящихся на территории РФ, одним из способов, предусмотренных ч. 10 ст. 8 Федерального закона от 27.07.2006 № 149‑ФЗ «Об информации, информационных технологиях и о защите информации».

Статья 13.56 КоАП РФ устанавливает для владельцев информационных ресурсов, на которых применяются рекомендательные технологии, ответственность (в виде штрафа) за неисполнение требований к их применению, а именно:

• применение рекомендательных технологий, которые нарушают права и законные интересы граждан и организаций, а равно их применение в целях предоставления информации с нарушением законодательства РФ;

• предоставление информации с применением рекомендательных технологий без информирования пользователей сети "Интернет" о применении на данном информационном ресурсе рекомендательных технологий;

• неразмещение на информационном ресурсе, на котором применяются рекомендательные технологии, документа, устанавливающего правила применения рекомендательных технологий, и (или) адреса электронной почты для направления владельцу такого информресурса юридически значимых сообщений, фамилии и инициалов (для физического лица) или наименования (для юридического лица) владельца такого информационного ресурса;

• неисполнение владельцем информационного ресурса, на котором применяются рекомендательные технологии, требования Федеральной службы по надзору в сфере связи, информационных технологий (далее – ИТ) и массовых коммуникаций (далее – Роскомнадзор) о прекращении предоставления информации с применением рекомендательных технологий.

Размер штрафа по ст. 13.55 КоАП РФ, ч.1, 2 и 3 ст. 13.56 КоАП РФ составляет:

• для граждан от 10 000 до 20 000 руб.;

• для должностных лиц – от 30 000 до 50 000 руб.;

• для юридических лиц – от 500 000 до 700 000 руб.

Размер штрафа по ч.5 ст. 13.56 КоАП РФ составляет:

• для граждан от 20 000 до 40 000 руб.;

• для должностных лиц – от 600 000 до 100 000 руб.;

• для юридических лиц – от 1 000 000 до 1 400 000 руб.

За повторное совершение данных правонарушений предусмотрены увеличенные размеры штрафов.

Закон вступил в силу с 7 июля 2026 года.

ФСТЭК России

Методика выявления уязвимостей и недекларированных возможностей в ПО

4 июня ФСТЭК России опубликовала информационное сообщение от 28.05.2026 № 240/24/3693 об утверждении методического документа от 12.05.2026 «Методика выявления уязвимостей и недекларированных возможностей в ПО» (далее – Методика).

Методика устанавливает порядок проведения исследований по выявлению уязвимостей и недекларированных возможностей в соответствии с Требованиями по безопасности информации, устанавливающими уровни доверия к средствам технической защиты информации и средствам обеспечения безопасности ИТ, утвержденными приказом ФСТЭК России от 02.06.2020 № 76 (далее –Требования доверия), в ПО СрЗИ (далее – объект оценки), за исключением исходного программного кода программируемых логических интегральных микросхем.

В связи с утверждением Методики положения методического документа «Методика выявления уязвимостей и недекларированных возможностей в ПО», утвержденного ФСТЭК России 25.12.2020, не применяются.

Разработчикам рекомендуется применять положения Методики для организации внутренних процессов жизненного цикла ПО в соответствии с ГОСТ Р 56939-2024 «Безопасность информации. Разработка безопасного ПО. Общие требования» (далее – ГОСТ Р 56939-2024).

Методика ориентирована на проведение исследований, выполняемых испытательными лабораториями и разработчиками в рамках:

• сертификационных испытаний программных, программно-аппаратных СрЗИ и защищенных программных, программно-технических средств;

• внесения изменений в ранее сертифицированные средства.

Методика устанавливает 6 уровней контроля. Самый низкий уровень – шестой, самый высокий – начальный. Требования к уровню контроля объекта оценки предъявляются в соответствии с Требованиями доверия.

Для проведения исследований разработчик объекта оценки предоставляет необходимую информацию об объекте оценки, в том числе:

• исходный код, сборочную среду и систему сборки;

• результаты выполнения процессов разработки в соответствии с ГОСТ Р 56939-2024;

• дистрибутив и иные сопутствующие материалы.

Исследования объекта оценки включают 3 основных этапа:

• подготовку к проведению исследований:

  • анализ документации и иных исходных данных;

  • подготовка исследовательского стенда.

• проведение исследований:

  • аналитика архитектуры;

  • статический анализ исходных кодов;

  • динамический аналитика;

  • экспертиза кода.

• оформление результатов исследований:

  • составление протокола исследований в соответствии с Положением о системе сертификации СрЗИ, утвержденным приказом ФСТЭК России от 03.04.2018 № 55;

  • направление разработчиком объекта оценки в банк данных угроз безопасности информации ФСТЭК России сведений об уязвимостях объекта оценки и его компонентов.

Изменения порядка аттестации объектов информатизации по требованиям защиты информации

25 июня официально опубликован приказ ФСТЭК России от 27.02.2026 № 60 «О внесении изменений в Порядок организации и проведения работ по аттестации объектов информатизации на соответствие требованиям о защите информации ограниченного доступа, не составляющей государственную тайну, утвержденный приказом ФСТЭК России от 29.04.2021 № 77».

Подробнее с документом можно ознакомиться в обзоре за январь 2026 года Аналитического центра УЦСБ.

Ключевые отличия официально опубликованной версии документа от проекта:

• исключено требование о мониторинге безопасности на конечных устройствах с применением сертифицированных СрЗИ при аттестации объекта информатизации на основе результатов испытаний выделенного набора сегментов;

• любая инфраструктура, а не только центров обработки данных, используемая для цифровой трансформации государственного управления, будет подлежать обязательной аттестации на соответствие требованиям по защите информации по классу защищенности не ниже класса защищенности объекта информатизации;

• определены обязательные методы (функциональное тестирование и аналитика уязвимостей) для дополнительных аттестационных испытаний при развитии (модернизации) объекта информатизации и установлены требования к отчету (протоколу) по результатам таких испытаний;

• в случае повышения класса защищенности (уровня защищенности, категории значимости) объекта информатизации будет необходима его повторная аттестация.

Начало действия документа – 1 сентября 2026 года.

Отмечаем, что общество с ограниченной ответственностью «Уральский центр систем безопасности» (ООО «УЦСБ») успешно реализует проекты по анализу защищенности и аттестации объектов информатизации на соответствие требованиям о защите информации, а также обладает необходимыми лицензиями на оказание данных услуг.

Деятельность ТК 362 в июне 2026 года

30 июня ФСТЭК России на своем официальном сайте опубликовала Справку-доклад о ходе работ по плану технического комитета по стандартизации «Безопасность информации» (далее – ТК 362) на 2026 год по состоянию на 26 июня 2026 года.

В интересах выполнения плана были проведены следующие работы:

• председателю ТК 362 представлены предложения в инициатива программы национальной стандартизации на 2027 год по ТК 362 и пояснительная записка к ним;

• на рассмотрение в организации-члены ТК 362 направлены:

  • первая редакция проекта национального стандарта ГОСТ Р 58940 «Обмен данными для учета электроэнергии. Требования к протоколам обмена информацией между компонентами интеллектуальной системы учета и приборами учета»;

  • окончательная редакция проекта национального стандарта ГОСТ Р ИСО/МЭК 27006-1 «ИБ, кибербезопасность и безопасность конфиденциальности. Требования к органам, осуществляющим аудит и сертификацию систем менеджмента ИБ. Часть 1. Общие положения».

• ГОСТ Р «Защита информации. Безопасность информации в облачной инфраструктуре». Проект представлен публике в ТК 362 для принятия решения об организации его публичного обсуждения;

• проводятся работы по заключению договора на издательское редактирование и подготовку к утверждению проекта национального стандарта ГОСТ Р «Защита информации. Идентификация и аутентификация. Типовые угрозы и уязвимости идентификации и аутентификации»;

• дорабатываются проекты национальных стандартов:

  • ГОСТ Р «Защита информации. Разработка безопасного ПО. Среда разработки безопасного ПО. Общие требования». Плановый дедлайн представления проекта национального стандарта в ТК 362 – ноябрь 2026 года;

  • ГОСТ Р «Безопасность информации. Безопасность интегральных схем. Общие положения». Плановый дедлайн представления проекта национального стандарта в ТК 362 – июль 2026 года;

  • ГОСТ Р «Безопасность информации. Методика оценки уровня реализации процессов разработки безопасного ПО». Ожидаемый срок представления проекта национального стандарта в ТК 362 – июль 2026 года.

Апдейт перечней и реестров ФСТЭК России

На сайте ФСТЭК России размещены обновленные перечни и реестры:

• реестр лицензий на деятельность по технической защите конфиденциальной информации (далее – ТЗКИ);

• реестр лицензий на деятельность по разработке и производству СрЗИ;

• государственный реестр сертифицированных СрЗИ;

• перечень организаций, имеющих право проведения работ по аттестации объектов информатизации;

• перечень органов государственной власти, имеющих право проведения работ по аттестации объектов информатизации;

• реестр аккредитованных ФСТЭК России органов по сертификации;

• реестр аккредитованных ФСТЭК России испытательных лабораторий;

• перечень организаций, имеющих право проведения работ по аттестации объектов информатизации, обрабатывающих информацию ограниченного доступа, не содержащей сведений, составляющих государственную тайну;

• перечень органов государственной власти, имеющих право проведения работ по аттестации объектов информатизации, обрабатывающих информацию ограниченного доступа, не содержащей сведений, составляющих государственную тайну;

• перечень сертификатов соответствия процессов безопасной разработки ПО.

ООО «УЦСБ» имеет лицензию ФСТЭК России на:

• деятельность по разработке и (или) производству СрЗИ (№Л050-00107-00/00579687 от 08 октября 2007 года);

• деятельность по ТЗКИ (№Л024-00107-00/00580547 от 08 октября 2007 года).

Судебная практика в части персональных данных

Видеопроверка и предоставление фото документов пользователя для разблокирования профиля не является обработкой биометрических ПДн

11.03.2026 Судебная коллегия по гражданским делам Рязанского областного суда отменила решение первой инстанции, которым ООО «КЕХ еКоммерц», являющееся оператором российского интернет-сервиса «Авито», обязали восстановить пользователю доступ к профилю без видеопроверки и фото документов.

Напомним: 04.12.2025 Московский районный суд города Рязани встал на сторону пользователя, постановив, что отказ от предоставления ПДн для разблокирования профиля не может служить основанием для отказа в предоставлении услуг, сославшись на п. 13 ст. 3 Федерального закона от 29.12.2022 № 572-ФЗ «Об осуществлении