Приказ №21 отменяют.
Правила защиты персональных данных меняются
ФСТЭК опубликовала проект документа, который полностью заменит приказ №21 от 2013 года. Вместо фиксированного перечня мер — риск-ориентированная модель, оценка «зрелости» защиты, новые требования к облакам, ИИ, IoT и подрядчикам. Разбираем, что известно уже сейчас и что успеть бизнесу.
24 июля 2026 года ФСТЭК России разместила для общественного обсуждения проект приказа, который должен прийти на смену приказу №21 — главному документу, по которому больше десяти лет выстраивалась защита персональных данных в информационных системах. Если проект будет подписан в текущем виде, операторам ПДн — а это практически любая компания с сайтом, CRM или кадровым учётом — придётся пересмотреть подход к защите данных, документацию и договоры с подрядчиками.
Ниже — то, что уже известно из проекта (ID 01/02/07-26/00169583 на портале regulation.gov.ru) и из публикаций отраслевых экспертов. Документ ещё не зарегистрирован в Минюсте, формулировки и сроки могут измениться к моменту подписания — это не замена первоисточнику и не юридическая консультация.
Что меняется по сравнению с приказом №21
Ключевой сдвиг — от статичного перечня мер «под уровень защищённости» к модели, где оператор сам отвечает за реальную эффективность защиты и регулярно это подтверждает.
Риск-ориентированная модель
Вместо готового набора мер по уровню защищённости оператор сам формирует перечень мер под архитектуру своей системы — на основе методических документов ФСТЭК и актуальной модели угроз.
Показатель уровня зрелости (УЗИ)
Вводится обязательная оценка того, насколько эффективно работают меры защиты, — а не просто факта их наличия. Оценка проводится до начала обработки ПДн, далее не реже одного раза в 3 года и внепланово после инцидента.
Подрядчики и облака под контролем
Оператор обязан заранее определять требуемый уровень зрелости для обработчиков и подрядчиков, фиксировать его в договоре и проверять соблюдение — включая SaaS-платформы и облачные сервисы.
Новые технологические блоки
Отдельные требования появляются для систем с ИИ (включая защиту обучающих выборок), IoT-устройств, контейнеров и оркестрации (Docker, Kubernetes), виртуализации, API и веб-интерфейсов.
Связь с ГосСОПКА
Взаимодействие с ГосСОПКА и уведомление об инцидентах переводится в разряд обязательных мер защиты, а не отдельной обязанности для субъектов КИИ.
Уровни защищённости, предположительно, сохраняются
По части источников, градация по уровням защищённости ПДн остаётся, но меняется логика определения мер внутри каждого уровня — от фиксированного списка к адаптивному набору. Этот момент прямо не раскрыт в опубликованном тексте проекта, поэтому требует проверки по итоговой редакции.
Сроки принятия документа
Даты ниже — из текста проекта и открытых источников. Финальная редакция и срок вступления в силу могут отличаться от первоначального проекта.
Принят приказ ФСТЭК №21
Действующий приказ «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» — основа требований более 13 лет.
Опубликован проект приказа на замену
Проект размещён на портале regulation.gov.ru (ID 01/02/07-26/00169583). Отменяет приказ №21, п.1 приложения к приказу №49 и приказ №68.
Общественное обсуждение и антикоррупционная экспертиза
Приём замечаний к проекту завершён; документ дорабатывается по итогам обсуждения.
Дата вступления в силу — по тексту проекта
Указана в п.3 проекта как плановая. Фактическая дата определится после подписания и регистрации в Минюсте.
Документ ожидает подписания и регистрации
По последним доступным данным, на конец сентября 2026 приказ не зарегистрирован в Минюсте — приказ №21 продолжает действовать. Мы отслеживаем статус и обновляем эту страницу.
Кого коснутся изменения
Практически любого оператора ПДн
Требования распространяются на всех операторов персональных данных независимо от формы собственности — если у вас есть информационная система, где обрабатываются ПДн: сайт с формой заявки, CRM, кадровый учёт, личный кабинет клиента.
Особенно сильно это коснётся вас, если вы:
- используете облачные сервисы и SaaS-платформы;
- работаете с собственными API и веб-интерфейсами;
- развернули инфраструктуру в контейнерах (Docker, Kubernetes);
- внедряете инструменты с ИИ, обрабатывающие ПДн;
- передаёте обработку ПДн подрядчикам и аутсорсерам.
Это не только про будущее — штрафы действуют уже сейчас
Пока внимание приковано к новым требованиям ФСТЭК, часть ответственности наступает уже сегодня — по статье 13.11 КоАП РФ. Приказ №21 и документ, который придёт ему на замену, описывают именно те технические и организационные меры, без которых инцидент будет расценён регулятором как нарушение.
С новым приказом штрафы не исчезнут — скорее наоборот. Суммы по ст. 13.11 КоАП пересматривались в 2022 и 2025 годах, и каждый раз — в сторону роста. А показатель «уровня зрелости», который вводит проект нового приказа, оставляет чёткий документальный след: доказать регулятору, что компания «не знала» о пробелах в защите, станет сложнее, а не проще.
Суммы приведены по ст. 13.11 КоАП РФ с учётом Федерального закона №420-ФЗ от 30.11.2024 (вступил в силу 30.05.2025) и могут отличаться в зависимости от обстоятельств конкретного нарушения. Не является юридической консультацией — актуальную редакцию уточняйте в КоАП РФ.
Что имеет смысл сделать уже сейчас
Независимо от точной даты вступления в силу — вектор изменений понятен, и часть подготовки можно начать уже сегодня.
Провести инвентаризацию ИСПДн
Зафиксировать, где обрабатываются ПДн: облака, API, контейнеры, IoT-устройства, сервисы с ИИ.
Актуализировать модель угроз
Учесть новые классы угроз, связанные с ИИ, облачной и контейнерной инфраструктурой.
Проверить акт определения уровня защищённости
Подготовиться к изменению логики определения мер внутри уровня защищённости.
Пересмотреть договоры с подрядчиками
Заложить требования к уровню зрелости защиты для обработчиков, облачных провайдеров и аутсорсеров.
Оценить готовность к расчёту УЗИ
Понять, хватает ли внутренней экспертизы, или потребуется организация с лицензией ФСТЭК на ТЗКИ.
Проверить взаимодействие с ГосСОПКА
Если канала уведомлений об инцидентах нет — настроить его заранее, не дожидаясь проверки.
AVATEK сопровождает переход на новые требования под ключ
Берём на себя разбор проекта приказа, аудит текущей защиты ПДн и подготовку документации — чтобы к моменту вступления документа в силу вы были готовы, а не разбирались в последний момент.
Экспресс-аудит ИСПДн
Оценка текущего соответствия 152-ФЗ и готовности к новым требованиям проекта приказа.
Модель угроз и акт уровня защищённости
Актуализация документов с учётом облаков, API, контейнеров, ИИ.
Подготовка к оценке УЗИ
Разбор методики, помощь в расчёте показателя зрелости защиты и подготовка к проверке.
Работа с подрядчиками
Пересмотр договоров с обработчиками ПДн и облачными провайдерами под новые требования.
Настройка взаимодействия с ГосСОПКА
Организация канала передачи сведений об инцидентах.
Техподдержка в рабочее время
Сопровождение системы защиты персональных данных и оперативные консультации в рабочие часы.
Обучение сотрудников
Повышение осведомлённости персонала, работающего с персональными данными.
AVAREANGE
Платформа для оценки рисков, защиты от киберугроз и обучения сотрудников.
Экспертиза в защите персональных данных, подтверждённая практикой
Получите разбор изменений применительно к вашей системе
Оставьте заявку — свяжемся, уточним контур обработки персональных данных и предложим план подготовки к новым требованиям ФСТЭК. Сразу после отправки вы получите чек-лист самопроверки — бесплатно, независимо от того, будете работать с нами или нет.
- +7 (4112) 31-80-31
- info@avatek.su
- Якутск, мкр. 202, корпус 12/2