ФСБ расширила криптозащиту на внешние сервисы госинформсистем

Федеральная служба безопасности расширила сферу действия требований по криптографической защите. Теперь под контроль попадают не только сами государственные информационные системы и их внутренние компоненты, но и внешние облачные сервисы, а также аппаратные решения, которые напрямую в состав ГИС не входят, но обеспечивают их функционирование.

Что изменилось

Ранее сертифицированная криптография была обязательна только для ядра ГИС. Приказ ФСБ № 321 от 22 августа, опубликованный 31 августа, снимает это ограничение. Документ распространяет нормы защиты на все сторонние ресурсы, подключенные к госинформационным системам по сети.

Изменения стали логическим продолжением нормативной базы, сформированной в последние месяцы. Специальные правила для подключаемых через сеть внешних сервисов появились после принятия закона № 568-ФЗ от 29 декабря 2025 г., который регулирует порядок создания госинформсистем и вводит обязанности для операторов.

Нормативная цепочка

На основании закона правительство 18 августа 2026 г. приняло постановление № 1024. Документ обязал:

• размещать компоненты таких сервисов на территории России;
• четко разграничивать ответственность заказчика и поставщика в контракте;
• обеспечивать резервное копирование данных;
• своевременно сообщать об инцидентах.

Правила вступили в силу 1 сентября. Приказ ФСБ дополняет их именно требованиями к криптографической защите, фактически закрывая пробел в обеспечении безопасности периметра.

Для отрасли это означает рост требований к внешним провайдерам облачных услуг и оборудования, работающих с государством. Теперь им придется подтверждать применение сертифицированных средств криптографической защиты, даже если их решения формально находятся вне состава ГИС.