С 1 сентября 2026 года действует постановление Правительства Российской Федерации от 09.06.2026 № 712. Оно утвердило требования к актам Правительства, на основании которых создают федеральные государственные информационные системы. Дальше по тексту — «постановление № 712» и «Требования».
Главное в Требованиях — Положение о системе. Это документ, который утверждают вместе с актом о создании системы. Требования называют его обязательные разделы. Один из них посвящён защите информации.
Для специалиста по защите информации это не формальность. Положение отвечает на вопросы, с которых начинается любая работа по защите: какая информация в системе, кто её участники, с какими системами она обменивается данными и кто утверждает модель угроз.
Откуда взялось постановление
С той же даты, 1 сентября 2026 года, действует новая редакция статьи 13 Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации». Её изменил Федеральный закон от 29.12.2025 № 568-ФЗ.
Теперь закон прямо говорит, что федеральные ГИСГосударственная информационная система — С 01.09.2026 — система, созданная на основании федерального закона, акта Президента или Правительства РФ (федеральная) либо закона, акта высшего должностного лица или органа власти субъекта РФ (региональная), ст. 13 Федерального закона от 27.07.2006 № 149-ФЗ. Меры защиты — по приказу ФСТЭК России от 11.04.2025 № 117. создают на основании федеральных законов, актов Президента и актов Правительства. Требования к актам Правительства устанавливает само Правительство (подпункт «а» пункта 1 части 1 статьи 13). Постановление № 712 и есть эти требования. Оно касается только актов Правительства: систем, созданных федеральным законом или актом Президента, оно не охватывает.
Тот же закон ввёл понятие «иные информационные системы государственных органов» (часть 1.1 статьи 13). Это системы, которые орган создаёт для своей собственной работы: организационной, документационной, финансовой, технической. Они не являются ГИС, и постановление № 712 их не касается. Защищать информацию в них всё равно нужно: Требования, утверждённые приказом ФСТЭК России от 11.04.2025 № 117, распространяются и на такие системы, кроме исключений, которые оговаривают сами Требования.
Как отличить государственную систему от прочих, мы разбирали в статье Когда информационная система становится ГИС.
Что должно быть в Положении о системе
Акт Правительства о создании федеральной ГИС издают в форме постановления (пункт 2 Требований). Им утверждают Положение о системе. Пункт 3 перечисляет разделы, которые в Положении должны быть как минимум:
- общие положения: название системы со статусом федеральной ГИС и цель её создания;
- структура, задачи, основные функции и подсистемы;
- участники системы и их полномочия;
- состав информации, порядок её размещения и предоставления;
- порядок доступа к информации;
- правовой режим информации и программно-технических средств;
- электронная подпись;
- информационное взаимодействие с другими системами;
- требования по защите информации;
- развитие системы.
В самом тексте акта, помимо Положения, указывают источники финансирования и плановые сроки создания и ввода в эксплуатацию (пункт 4). Если систему создают на основе другой системы, это тоже записывают. Если акт задаёт срок вывода системы из эксплуатации, он же определяет, как потом хранить информацию из её баз данных и как её защищать.
Какие разделы нужны специалисту по защите
Раздел о защите информации — не единственный, который стоит прочитать. Исходные данные для классификации, модели угроз и технического задания разбросаны по всему Положению.
| Раздел Положения | Что в нём | Зачем это специалисту по защите |
|---|---|---|
| Участники (раздел IV, пункты 8–9) | Заказчик, оператор, обладатель информации, орган, который отвечает за достоверность и защиту информации, и орган, чьё должностное лицо утверждает концепцию, ТЗ и модель угроз | Видно, кто отвечает за защиту, кто утверждает модель угроз и ТЗ и чьим актом систему вводят в эксплуатацию |
| Состав информации (раздел V, пункт 10) | Перечень видов информации и её классификация по категории доступа по статье 5 149-ФЗ | Есть ли в системе информация ограниченного доступа и персональные данные. От этого зависят класс защищённости и состав требований |
| Доступ (раздел VI, пункт 12) | Доменное имя, способы и условия доступа участников, в том числе через ЕСИА | Граница системы, доступ из интернета, способы аутентификации пользователей |
| Электронная подпись (раздел VIII, пункт 14) | Исходящие документы подписывают усиленной квалифицированной подписью. Неквалифицированную подпись в инфраструктуре госуслуг и простую подпись с ключом по правилам для госуслуг допускают только в случаях, предусмотренных законодательством. Документы, которые система формирует сама, подписывают квалифицированной подписью оператора, сертификат которой используют только для автоматического создания и проверки подписи | Какие средства криптографической защиты нужны, где хранятся ключи, кто за них отвечает |
| Взаимодействие (раздел IX, пункты 15–16) | Перечень ГИС, с которыми система обменивается данными. Обмен идёт через инфраструктуру электронного взаимодействия. Нужную информацию из региональных, муниципальных и иных систем получают по соглашению с её обладателем либо после согласования с ним проекта акта | Внешние интерфейсы и каналы связи, которые нужно учесть при оценке угроз |
Раздел X: защита информации
Пункт 17 Требований перечисляет, что указывают в Положении:
- состав правовых, организационных и технических мер защиты информации либо требования к таким мерам;
- требования к идентификации лиц, у которых есть права доступа к информации;
- требования к резервному копированию;
- требования к защите информации при подключении к системе других систем, включая требования к каналам передачи данных.
По первому пункту у составителей акта есть выбор. Можно перечислить меры прямо в Положении. Можно задать требования к мерам, а сами меры выбрать позже, при создании системы, когда известны класс защищённости и актуальные угрозы.
Пункт 18 добавляет положения, которые в Положении должны быть всегда или при определённых условиях.
Нормы, по которым защищают информацию. Защиту обеспечивают по законодательству об информации. Если система — объект КИИКритическая информационная инфраструктура — Информационные системы и сети госорганов и организаций ключевых отраслей; режим защиты установлен 187-ФЗ., в Положении называют и акты, принятые на основании статьи 6 Федерального закона от 26.07.2017 № 187-ФЗ. Если система обрабатывает персональные данные, называют Требования, утверждённые постановлением Правительства Российской Федерации от 01.11.2012 № 1119. Если условие не выполняется, ссылку на эти акты в Положение не включают.
ГосСОПКАГосударственная система обнаружения, предупреждения и ликвидации последствий компьютерных атак — Система ФСБ для мониторинга и реагирования на компьютерные атаки, прежде всего на объекты КИИ.. Оператор обеспечивает взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак. Порядок определяет ФСБФедеральная служба безопасности — Регулятор криптографической защиты информации и взаимодействия с ГосСОПКА. России по части 7 статьи 16 149-ФЗ. Эта обязанность тоже появилась в законе с 1 сентября 2026 года и касается операторов всех ГИС, иных систем государственных органов, государственных унитарных предприятий и учреждений. Закон отдельно называет информирование о компьютерных инцидентах, которые привели к неправомерной передаче информации.
Взаимодействие систем. Обмен данными с другими системами идёт по четырём правилам:
- оператор другой системы защищает передаваемую информацию с момента отправки и до поступления в систему;
- дату, время, содержание и участников всех действий и операций при обмене фиксируют, историю обмена можно восстановить;
- участники обмена незамедлительно сообщают друг другу о нарушениях требований о защите информации;
- нарушения незамедлительно устраняют.
Защита на всех стадиях. При создании, эксплуатации и развитии системы формируют требования к защите информации, разрабатывают и внедряют подсистему защиты, применяют сертифицированные средства защиты, аттестуют систему, защищают информацию при передаче по сетям и обеспечивают защиту при эксплуатации.
Размещение в России. Технические средства системы, а также технические средства и базы данных, которые используются при эксплуатации, но в систему не входят, размещают на территории России.
Программы. В составе системы используют программы, которые отвечают хотя бы одному условию: подлежат публикации в государственном репозитории национального фонда алгоритмов и программ, включены в единый реестр российских программ или в реестр программ из государств — членов ЕАЭС, кроме России.
Что из этого следует для специалиста по защите
- Начните с Положения. До классификации прочитайте разделы IV, V, IX и X. Если в Положении чего-то не хватает, например не указана категория доступа к информации или перечень смежных систем, задайте вопрос заказчику до технического задания.
- Классифицируйте систему. Класс защищённости К1, К2 или К3 определяют по Требованиям, утверждённым приказом ФСТЭКФедеральная служба по техническому и экспортному контролю — Регулятор технической защиты информации (ИСПДн, ГИС, КИИ); ведёт реестр сертифицированных СЗИ. России № 117. Исходные данные — уровень значимости информации, который оценивают по её составу из раздела V, и масштаб системы. Проверить себя можно калькулятором класса защищённости ГИС.
- Разработайте модель угроз. Пункт 36 Требований № 117 отсылает к Требованиям, утверждённым постановлением Правительства Российской Федерации от 06.07.2015 № 676. По ним госорган определяет угрозы и разрабатывает модель угроз (подпункт «г» пункта 1.2). Модель угроз и ТЗ на создание системы утверждает должностное лицо госоргана (пункт 4). Какой это орган, теперь прямо видно из Положения: его называет пункт 8 постановления № 712. Смежные системы и каналы обмена из раздела IX учитывают при выявлении источников угроз и сценариев их реализации. Актуальны ли эти угрозы, показывает оценка.
- Учтите криптографию. Если персональные данные в системе защищают средствами криптографической защиты, при описании угроз, которые нейтрализуются только ими, целесообразно руководствоваться Методическими рекомендациями ФСБ России от 31.03.2015 № 149/7/2/6-432. Они написаны для органов власти, которые определяют угрозы в своей отрасли, но сами советуют это операторам при разработке частных моделей угроз. Рекомендации не освобождают от согласования модели угроз и ТЗ по Требованиям № 676, о котором ниже.
- Перенесите требования в ТЗ. Техническое задание на создание системы включает требования о защите информации (пункт 3 Требований № 676). ТЗ и (или) модель угроз согласуют с ФСБ России и ФСТЭК России в пределах их полномочий. Пункты 17 и 18 постановления № 712 дают готовые входные данные для ТЗ на подсистему защиты: идентификацию пользователей, резервное копирование, защиту каналов при подключении других систем, регистрацию всех операций обмена.
- Подберите средства и программы. Средства защиты должны быть сертифицированы (подпункт «г» пункта 18 Требований, пункт 71 Требований № 117). Программы в составе системы должны подлежать публикации в национальном фонде либо быть включены в один из реестров (подпункт «е» пункта 18). Проверяйте это до закупки, а не на приёмке.
- Заложите взаимодействие с ГосСОПКА. Обязанность установлена законом. Кто у оператора принимает и передаёт сведения об инцидентах, лучше решить на стадии проекта.
- Договоритесь со смежными системами. Правила подпункта «в» пункта 18 работают, только если обе стороны их выполняют. Закрепите в соглашении или регламенте взаимодействия, кто, кому и как сообщает о нарушениях. Пункт 2 Требований № 117 добавляет: система, в которую из ГИС передают информацию ограниченного доступа, сама должна отвечать требованиям о защите информации.
- Аттестуйте до начала работы. Аттестацию проводят до начала обработки и (или) хранения информации в ГИС (пункт 65 Требований № 117). Без действующего аттестата систему не вводят в эксплуатацию (подпункт «а» пункта 15 Требований № 676). Приёмочные испытания можно совместить с аттестацией (пункт 12.1 Требований № 676).
- Следите за развитием системы. Раздел XI Положения задаёт основания и пределы развития. Каждое решение о развитии — повод проверить, не устарели ли модель угроз, класс защищённости и аттестат.
Что значит рекомендация регионам
Пункт 2 постановления № 712 рекомендует органам власти субъектов готовить акты о создании региональных ГИС с учётом Требований в части структуры и содержания положения о системе. Это рекомендация, а не обязанность. Но разделы о защите информации — тоже часть структуры и содержания положения, так что рекомендация касается и их.
Важно другое. Обязанности по защите информации в региональной системе действуют независимо от того, что записано в её положении. Статья 16 149-ФЗ, Требования № 117 и Требования № 676 применяются к региональным ГИС напрямую. Если информацию защищают средствами криптографической защиты, дополнительно действуют требования ФСБ России — приказ ФСБ России от 22.08.2026 № 321 (пункт 7 Требований № 117). Положение по образцу постановления № 712 просто собирает их в одном месте и закрепляет, кто за что отвечает.
Если регион готовит новое положение или меняет старое, специалисту по защите стоит предложить текст разделов о взаимодействии и о защите информации по пунктам 15–18 Требований. Это дешевле, чем потом искать в положении ответ на вопрос, кто утверждает модель угроз.
А действующие системы?
Постановление № 712 устанавливает требования к актам, на основании которых создают системы. О пересмотре положений систем, созданных до 1 сентября 2026 года, в нём ничего не сказано. При этом все требования к защите информации из закона и подзаконных актов действуют для действующих систем и без новой редакции Положения.
Документы, которые вытекают из раздела X
Из Положения и Требований № 117 складывается набор документов оператора: акт классификации, модель угроз, техническое задание на систему защиты, план мероприятий по защите, приказы о вводе в эксплуатацию и о выводе из неё. Образцы собраны в разделе образцов по государственным информационным системам. В ГрамотаИБ систему ведут в разделе «Государственные ИС»: мастер проходит шаги жизненного цикла от классификации до ввода в эксплуатацию и собирает документы ГИС. Аттестацию сервис не проводит: её выполняют по Порядку, утверждённому приказом ФСТЭК России от 29.04.2021 № 77.
Главное
С 1 сентября 2026 года акт Правительства о создании федеральной ГИС издают в форме постановления, и оно утверждает Положение о системе с обязательными разделами. Раздел о защите информации называет меры или требования к ним, требования к идентификации, резервному копированию и подключению других систем. Он же закрепляет нормы защиты, взаимодействие с ГосСОПКА, правила обмена с другими системами, сертифицированные средства, аттестацию, размещение в России и требования к программам. Специалисту по защите Положение даёт исходные данные для классификации, модели угроз и технического задания. Региональным органам постановление рекомендует строить положения о своих системах так же.