Регулирование в России для ИТ-компании: 152-ФЗ, КИИ, ЭДО, подпись и Банк России

Это четвёртая статья цикла о требованиях к технологической компании по регионам. До неё были ОАЭ, страны Залива с Египтом и СНГ. Регулирование в России вынесено отдельно, потому что оно самое плотное из всех и быстрее всех менялось в 2025–2026 годах. Вопросы те же пять: персональные данные, кибербезопасность, требования Банка России, электронные счета и электронная подпись.

Рамка та же: только первоисточники, то есть федеральные законы, постановления правительства и приказы ведомств на официальном портале правовой информации, а также акты Роскомнадзора, ФСТЭК, ФСБ, ФНС, Минцифры и Банка России. Каждый факт сверен с первоисточником, а большая часть проверена дважды: при сборе и заново, независимой сверкой с тем же документом, по состоянию на 27–28 сентября 2026 года. Юридических заключений я не даю: карта показывает, какой акт читать, а применять его к вашей компании должен юрист.

Регулирование в России: главное за полминуты

• Данные граждан России собираются только в российские базы. С 1 июля 2025 года это прямой запрет, согласие человека от него не освобождает, и закон действует для иностранных компаний, которые обрабатывают данные граждан России по договору с ними или с их согласия.
• Об утечке сообщают дважды: в Роскомнадзор за 24 и 72 часа и в ГосСОПКА за 24 часа. Повторная утечка стоит до 3% выручки, но не больше 500 млн рублей.
• Для значимых объектов критической инфраструктуры нужен российский стек: реестровое ПО, к 2030 году доверенные программно-аппаратные комплексы, а также лицензии, которые иностранным компаниям недоступны.
• Электронный счёт в B2B добровольный, но ходит только через российских операторов ЭДО, подписывается квалифицированной подписью, а сотрудник подписывает с машиночитаемой доверенностью.
• Подрядчик банка получает требования Банка России через договор: аутсорсинг систем, реестр ИТ-поставщиков, сертифицированное или оценённое ПО, а по рекомендациям регулятора ещё и российских пентестеров.

Персональные данные: 152-ФЗ

Кого касается. Закон № 152-ФЗ действует и для иностранных компаний и людей, которые обрабатывают данные граждан России по договору с ними или с их согласия. Присутствие в России для этого не нужно.

Локализация. С 1 июля 2025 года часть 5 статьи 18 прямо запрещает при сборе данных граждан России, в том числе через интернет, записывать, хранить, накапливать и извлекать их с использованием баз данных за пределами России. Раньше норма звучала как обязанность использовать российские базы. Исключения узкие: цели международного договора или закона и обязанности, которые закон возлагает на самого оператора, судопроизводство, госуслуги, журналистика, наука и творчество. Ни согласие человека, ни исполнение договора с ним исключением не считаются. Штраф юрлицу от 1 до 6 млн рублей, за повторное нарушение от 6 до 18 млн.

Уведомления. До начала обработки оператор уведомляет Роскомнадзор, и в уведомлении указывается, где находится база с данными граждан России и есть ли трансграничная передача. Освобождений осталось всего три, и обычной компании они не подходят. Трансграничную передачу тоже нужно заранее отдельно уведомить. В страны из перечня адекватных передавать можно сразу после уведомления, в остальные не раньше чем через 10 рабочих дней, а если Роскомнадзор запросит сведения, то позже. ОАЭ, Саудовской Аравии, Египта, Бахрейна, Омана и Кувейта в перечне нет. С 26 июля 2026 года участие страны в Конвенции 108 больше не делает её адекватной автоматически, но сам перечень Роскомнадзора на конец сентября 2026 года не пересмотрен, поэтому статус стран ЕС, Великобритании, Турции, Армении и других может измениться в любой момент.

Утечки. Если утечка нарушила права людей, оператор уведомляет Роскомнадзор дважды: в течение 24 часов об инциденте, причинах и принятых мерах, в течение 72 часов о результатах внутреннего расследования. Отдельно информация о компьютерном инциденте в течение 24 часов направляется в НКЦКИ (ГосСОПКА); кто не подключён к его инфраструктуре, подаёт её через форму Роскомнадзора. Штраф за неуведомление от 1 до 3 млн рублей.

Масштаб утечки	Штраф юрлицу
От 1 до 10 тыс. человек или от 10 до 100 тыс. идентификаторов	3–5 млн руб.
От 10 до 100 тыс. человек или от 100 тыс. до 1 млн идентификаторов	5–10 млн руб.
Более 100 тыс. человек или более 1 млн идентификаторов	10–15 млн руб.
Специальные категории / биометрия	10–15 / 15–20 млн руб.
Повторная утечка	1–3% выручки, от 20 или 25 до 500 млн руб.

Оборотный штраф можно снизить, только если выполнены сразу три условия: три года подряд компания тратила на информационную безопасность силами лицензиатов не меньше 0,1% выручки, в течение 12 месяцев до выявления утечки документально подтвердила соответствие требованиям и нет отягчающих обстоятельств. Уголовная ответственность по статье 272.1 УК за использование и передачу незаконно полученных персональных данных до 4 лет, при трансграничной передаче до 8.

Ещё две нормы 2025 года: с 1 сентября согласие на обработку оформляется отдельно от других документов, которые подписывает человек, а по требованию Минцифры оператор обязан обезличить данные и передать их в государственную систему. Технические меры защиты для обычных систем по-прежнему задают постановление № 1119 и приказ ФСТЭК № 21.

Кибербезопасность: 187-ФЗ и не только

Критическая инфраструктура. Субъекты КИИ: госорганы и российские юрлица, которым принадлежат системы в 14 сферах, от здравоохранения и связи до банков и промышленности, а также юрлица, которые обеспечивают взаимодействие этих систем. Индивидуальные предприниматели исключены с 1 сентября 2025 года. В феврале 2026 года правительство утвердило перечень типовых отраслевых объектов КИИ (распоряжение № 360-р, 397 позиций), и категорированию подлежат только объекты этих типов. В нём есть и системы в ЦОД, которые дают вычислительные ресурсы значимым объектам здравоохранения и финансового рынка, так что облачный провайдер может сам стать субъектом.

Инциденты. Все субъекты КИИ, а не только владельцы значимых объектов, сообщают в ФСБ через НКЦКИ о компьютерных атаках и инцидентах: по значимому объекту не позднее 3 часов, по остальным и об атаках не позднее 24 часов, субъекты КИИ финансового рынка в те же сроки ещё и в Банк России.

Российский стек. С 1 сентября 2025 года владельцы значимых объектов обязаны использовать ПО из единого реестра российских программ (с 1 марта 2026 года подходит и ПО из перечня программ для собственных нужд) и соблюдать требования к программно-аппаратным комплексам, но ни эти требования, ни порядок и сроки перехода правительство на конец сентября 2026 года не утвердило. Для госорганов и заказчиков по 223-ФЗ иностранное ПО на значимых объектах запрещено с 1 января 2025 года. Переход значимых объектов на преимущественное применение доверенных ПАК должен завершиться к 1 января 2030 года.

Что это значит для подрядчика. Удалённый доступ к значимому объекту для обновления или управления ПО со стороны людей, которые не работают у субъекта или его дочерних и зависимых обществ, не допускается, а если его нельзя исключить технически, нужны меры защиты. С 1 марта 2027 года подрядчик с доступом к значимому объекту рассчитывает показатель уровня зрелости (Узи) до получения доступа и далее не реже раза в три года. Лицензии ФСТЭК на техническую защиту и ФСБ на шифровальные средства иностранным юрлицам недоступны, а организации из Указа № 250 с 2025 года не вправе использовать средства защиты и ИБ-сервисы из недружественных государств.

Хостинг и мессенджеры. Хостинг-провайдер работает только из реестра Роскомнадзора и сообщает в НКЦКИ об инцидентах за 24 часа. Организатор распространения информации, то есть по сути любой сервис, принимающий и обрабатывающий сообщения пользователей (кроме госсистем и операторов связи в части лицензируемой деятельности), с 1 января 2026 года хранит в России метаданные и сведения о пользователях 3 года, содержимое сообщений 6 месяцев, а при шифровании даёт ФСБ информацию для декодирования. За нарушение требований к оборудованию для оперативно-розыскных мероприятий с сентября 2025 года оборотный штраф.

Банк России: что попадёт в договор

ИТ-подрядчик почти никогда не бывает прямым адресатом норм Банка России, кроме поставщиков платёжных приложений по Положению 821-П. Требования приходят через банк:

• Облако как аутсорсинг. С 1 октября 2025 года глава 8¹ Положения 716-П считает размещение и обработку информации в системах третьих лиц «аутсорсингом ИС». Для критически важных процессов банк прописывает подрядчику требования к конфиденциальности, операционной надёжности, трансграничной передаче и предоставлению информации для надзора, устанавливает штрафы и готовит стратегию выхода.
• Реестр ИТ-поставщиков. Банк ведёт его по Положению 850-П, а работники поставщика с доступом считаются внутренним нарушителем. С 1 января 2028 года банк будет по каждому компоненту своих систем фиксировать ИНН или иностранный налоговый номер разработчика и страну, так что на практике эти сведения, скорее всего, запросит у вендоров.
• Сертифицированное ПО. Приложения, которые банк раздаёт клиентам, проходят сертификацию ФСТЭК или оценку не ниже ОУД4.
• Проверки. Пентест ежегодно, внешняя оценка по ГОСТ Р 57580 не реже раза в два года. Рекомендации Банка России советуют брать пентестера с лицензией ФСТЭК и держать специалистов и средства тестирования в России.
• Инциденты. Об инциденте защиты информации банк сообщает в Банк России за 3 часа.

Электронные счета: ЭДО, УПД и прослеживаемость

Россия, в отличие от Саудовской Аравии и стран СНГ, работает по модели последующего контроля. В B2B электронный счёт-фактура добровольный: стороны договариваются о нём сами. Но если он электронный, то идёт только через российских операторов ЭДО из реестра ФНС, которые обязаны настроить роуминг друг с другом, в формате ФНС (УПД версии 5.03) и с квалифицированной подписью. ФНС видит данные позже, через декларацию по НДС (по прослеживаемым товарам на следующий рабочий день).

Обязательная электронная форма есть в узких контурах: по импортным товарам под прослеживаемостью, при приёмке по госконтрактам 44-ФЗ через ЕИС, в B2C через онлайн-кассы и с 1 сентября 2026 года в перевозках, где транспортные документы по умолчанию стали электронными. С 1 января 2026 года ставка НДС 22%, и форматы обновлены. С 2025 года плательщиками НДС стали и упрощенцы: сначала с доходом выше 60 млн рублей, а с 2026 года выше 20 млн (дальше порог снизится до 15 и 10 млн), так что счета-фактуры выставляют и небольшие ИТ-компании.

Электронная подпись: 63-ФЗ и МЧД

Без оговорок равна собственноручной только квалифицированная подпись (КЭП). Простая и неквалифицированная работают, если это предусмотрено законом или соглашением сторон. Руководитель компании получает КЭП бесплатно в удостоверяющем центре ФНС, а сотрудник подписывает своей КЭП и прикладывает машиночитаемую доверенность (МЧД), подписанную КЭП компании; с 2026 года в ней обязательны СНИЛС и ИНН представителя. Серверное подписание законно, но если в информационной системе компании автоматически подписывают КЭП, это должна быть КЭП самой компании как оператора системы.

Для иностранцев барьеры высокие. Дистанционно получить КЭП по биометрии сейчас могут только граждане России, остальным первый сертификат выдают только при личной явке (перевыпуск возможен по действующей КЭП), а в сертификате обязательны СНИЛС и ИНН. С 1 сентября 2027 года закон 315-ФЗ даёт дистанционную идентификацию в УЦ ФНС через ЕСИА и биометрию иностранцам, которые руководят компанией или зарегистрированы как ИП. Иностранные усиленные подписи признаются только по международному договору (найден один, с Беларусью) или по соглашению сторон; по соглашению сторон их нельзя использовать в госсистемах. С 1 марта 2027 года появится национальный удостоверяющий центр, который будет выдавать сертификаты безопасности сайтам и российскому ПО.

Календарь

• 01.10.2026 (уже действует): режим ДОПП для ввоза прослеживаемых товаров из ЕАЭС; новые сроки уведомления Банка России для переводов денежных средств.
• 01.01.2027: филиалы иностранных банков переходят на стандартный уровень защиты информации; новые сроки уведомления для некредитных финансовых организаций.
• 01.03.2027: национальный удостоверяющий центр; подрядчики с доступом к значимым объектам КИИ рассчитывают показатель уровня зрелости (Узи).
• 01.04.2027: только новый формат корректировочного счёта-фактуры.
• 01.09.2027: иностранцы, которые руководят компанией или зарегистрированы как ИП, получают КЭП в УЦ ФНС дистанционно, через Госуслуги и биометрию; единая форма МЧД на Госуслугах.
• 01.01.2028: банки учитывают страну разработчика каждого компонента своих систем.
• 01.01.2030: срок перехода субъектов КИИ на преимущественное применение доверенных ПАК на значимых объектах.
• Дата не объявлена: пересмотр перечня адекватных стран после 265-ФЗ, порядок перехода значимых объектов на российское ПО.

С чего начать ИТ-компании

1. Собирать данные граждан России в российскую базу. Это касается и иностранного сервиса, если он обрабатывает данные граждан России по договору с ними или с их согласия, а само согласие от запрета не освобождает.
2. Подать уведомления в Роскомнадзор заранее. И о начале обработки, и о трансграничной передаче; для стран вне перечня закладывать 10 рабочих дней.
3. Настроить два канала сообщений об утечке. Роскомнадзор за 24 и 72 часа и ГосСОПКА за 24 часа.
4. Выяснить, не стали ли вы субъектом КИИ или ОРИ. Облако для значимых объектов, мессенджер или хостинг несут собственные обязанности, а не только договорные.
5. Для работы с банками готовить сертификацию ПО, пентест (ЦБ рекомендует российских исполнителей) и, к 2028 году, сведения о стране разработки компонентов.
6. Для документооборота подключить оператора ЭДО, получить КЭП и оформить МЧД сотрудникам.

Чего я не делаю

• Не даю юридических заключений. Карта показывает акты и статьи, а применение к конкретной компании оценивает юрист.
• Не выдаю проекты за действующие нормы. Где акт только обсуждается или ещё не вступил, так и сказано.
• Не обещаю, что карта не устареет. Российские нормы в этой области меняются несколько раз в год, перед решением её надо перечитать.

Частые вопросы

Можно ли хранить данные граждан России за рубежом с их согласия?

Нет. С 1 июля 2025 года часть 5 статьи 18 152-ФЗ запрещает при сборе данных граждан России использовать базы данных за пределами России, и согласие человека исключением не считается. Передавать данные за рубеж после сбора в российскую базу можно по правилам трансграничной передачи.

Куда и в какой срок сообщать об утечке персональных данных?

В Роскомнадзор в течение 24 часов об инциденте и в течение 72 часов о результатах расследования. Отдельно в течение 24 часов в НКЦКИ (ГосСОПКА), а если компания не подключена к его инфраструктуре, через форму Роскомнадзора.

Какой максимальный штраф за утечку?

За первую утечку до 15 млн рублей, за утечку биометрии до 20 млн. За повторную утечку от 1 до 3% выручки за прошлый год, не меньше 20 или 25 млн и не больше 500 млн рублей.

Обязателен ли электронный счёт-фактура в России?

В B2B в общем случае нет, стороны договариваются о нём сами. Обязательная электронная форма есть для импортных товаров под прослеживаемостью, при приёмке по госконтрактам через ЕИС, в B2C через онлайн-кассы и с 1 сентября 2026 года для транспортных документов в перевозках. Электронный счёт идёт только через российского оператора ЭДО с квалифицированной подписью.

Может ли иностранец получить квалифицированную электронную подпись?

Да, но первую КЭП сейчас выдают только при личной явке, и в сертификате нужны СНИЛС и ИНН. Дистанционно по биометрии пока могут только граждане России. С 1 сентября 2027 года это станет возможно для иностранцев, которые руководят компанией или зарегистрированы как ИП: в УЦ ФНС (там только дистанционно), а также в УЦ Банка России и Казначейства. В коммерческих УЦ правило не меняется.

Источники

• Федеральный закон № 152-ФЗ «О персональных данных».
• Приказ Роскомнадзора № 128: перечень стран с адекватной защитой.
• Федеральный закон № 265-ФЗ об изменениях статьи 12 152-ФЗ.
• Федеральный закон № 187-ФЗ «О безопасности КИИ».
• Приказ ФСБ № 547 об информировании об инцидентах.
• Приказ ФСТЭК № 239 о требованиях к значимым объектам КИИ.
• Федеральный закон № 63-ФЗ «Об электронной подписи».
• Федеральный закон № 315-ФЗ об изменениях 63-ФЗ.
• Приказ Минфина № 14н о порядке обмена электронными счетами-фактурами.
• Положение Банка России № 851-П.
• Положение Банка России № 850-П.
• Указание Банка России № 6906-У (аутсорсинг в 716-П).

Нужна консультация?

Если ваш продукт работает с пользователями или клиентами в России, запишитесь на разговор. Разберём, где должны лежать данные, какие уведомления нужны и какие требования придут к вам через клиентов.