С 1 марта 2027 года хостинг для госсистем перейдёт на новые требования защиты информации

С 1 марта 2027 года провайдеры хостинга, размещающие государственные и муниципальные информационные системы, должны выполнять новые требования Минцифры к защите информации. Среди ключевых условий — применение сертифицированных ФСБ России средств криптографической защиты информации (СКЗИ) в случаях, предусмотренных требованиями ведомства.

Новые правила утверждены приказом Минцифры России от 31.07.2026 № 702. Документ зарегистрирован Минюстом 19 августа 2026 года под № 87910 и официально опубликован 20 августа.

Кого затронут изменения

Требования адресованы провайдерам хостинга, которые предоставляют вычислительные мощности для размещения систем, постоянно подключённых к интернету, операторам:

государственных информационных систем;
иных информационных систем государственных органов;
муниципальных информационных систем;
информационных систем государственных и муниципальных унитарных предприятий;
информационных систем государственных и муниципальных учреждений.

Понятие провайдера хостинга закреплено в законе № 149-ФЗ: это лицо, предоставляющее вычислительную мощность для размещения информации в информационной системе, постоянно подключённой к сети Интернет.

Для строительной отрасли изменения актуальны прежде всего для компаний, которые разворачивают или сопровождают цифровые решения для органов власти, подведомственных учреждений и унитарных предприятий: региональные ГИСОГД, платформы строительного контроля, сервисы выдачи разрешительной документации, реестры объектов, системы управления имуществом и муниципальные порталы.

Какие обязанности появятся

Приказ № 702 устанавливает обязательные требования к защите информации при предоставлении вычислительных мощностей государственным и муниципальным заказчикам. Новый документ приходит на смену приказу Минцифры России № 677, который утратит силу с 1 марта 2027 года.

Провайдерам необходимо будет обеспечить соблюдение требований законодательства о защите информации, а также учитывать правила применения криптографических средств. Требования ФСБ России по защите сведений в государственных и иных информационных системах с использованием СКЗИ закреплены приказом ФСБ от 18.03.2025 № 117.

Согласно приказу ФСБ № 117, для защиты информации в соответствующих системах должны применяться сертифицированные ФСБ России СКЗИ. Уровень и класс криптографической защиты определяют с учётом значимости информации и масштаба информационной системы.

Новые правила не означают, что любой коммерческий хостинг автоматически обязан внедрить СКЗИ для всех клиентов. Обязанность относится к деятельности провайдера в части предоставления инфраструктуры для определённого круга государственных и муниципальных информационных систем.

Проведем бесплатную проверку: нужна ли лицензия ФСТЭК вашему бизнесу?

Получить консультацию: 8-800-350-88-67

Что проверить до марта 2027 года

Хостинг-провайдерам и ИТ-подрядчикам, работающим с государственными заказчиками, стоит заранее провести аудит инфраструктуры и договорной базы.

Определить, какие размещённые системы относятся к ГИС, муниципальным системам либо информационным системам государственных органов, учреждений и унитарных предприятий.
Проверить архитектуру размещения, сегментацию, порядок администрирования, передачи данных и удалённого доступа.
Сопоставить используемые криптографические средства с требованиями приказа ФСБ № 117 и убедиться в наличии действующей сертификации ФСБ России.
Проверить, соответствует ли выбранный класс СКЗИ уровню значимости и масштабу защищаемой системы.
Актуализировать договоры с заказчиками, эксплуатационную документацию, регламенты реагирования на инциденты и распределение зон ответственности.
Оценить готовность вычислительной инфраструктуры к требованиям, связанным с проведением оперативно-розыскных мероприятий и обеспечением безопасности в случаях, установленных законом.

Например, если региональный оператор размещает в облаке ГИСОГД, содержащую сведения об объектах строительства и разрешительной документации, недостаточно проверить только физическую сохранность серверов. Нужно оценить, как защищаются каналы передачи данных, ключевая информация, удалённый доступ администраторов и взаимодействие отдельных сегментов системы.

Что важно заказчикам

Государственным и муниципальным заказчикам при закупке облачной инфраструктуры и хостинга следует заранее пересмотреть технические задания. В документации целесообразно закреплять:

обязанность исполнителя соблюдать приказ Минцифры № 702;
требования к СКЗИ и подтверждающим документам;
порядок разграничения ответственности за защиту информации;
правила предоставления сведений об инцидентах;
право заказчика на проверку выполнения требований;
последствия несоответствия инфраструктуры установленным условиям.

Это снизит риск ситуации, при которой система уже перенесена к провайдеру, но выбранная инфраструктура не соответствует требованиям к её защите.

Риски несоблюдения

Сам приказ № 702 не устанавливает отдельные санкции. Однако несоблюдение обязательных требований защиты информации способно повлечь претензии контролирующих органов, нарушение условий государственного контракта, отказ в приёмке услуг и риски административной ответственности за нарушение правил защиты информации.

Статья 13.12 КоАП РФ предусматривает ответственность за нарушение правил защиты информации, а для поставщика по государственному контракту существенное неисполнение обязательств может также повлечь контрактные последствия. Поэтому подготовку к новым правилам не стоит откладывать на первый квартал 2027 года.

Срок действия новых правил

Приказ Минцифры № 702 начинает действовать 1 марта 2027 года. До этой даты провайдеры, которые обслуживают государственные и муниципальные системы, могут провести инвентаризацию сервисов, определить требуемые меры защиты и заложить расходы на техническое переоснащение в бюджеты 2027 года.

Помощь в оформлении лицензии ФСТЭК и адаптации к новым требованиям

Если ваша компания в строительном секторе использует информационные системы для обработки персональных данных или планирует внедрение ИИ/IT-решений, мы поможем.