ФСТЭК хочет сделать защиту данных не «по линейке», а под конкретную систему. Если проект примут, компании смогут собирать меры безопасности не из жёсткого списка, а под свою ИТ-архитектуру — с оглядкой на реальные угрозы, а не на абстрактную бюрократическую вселенную.

ФСТЭК опубликовала проект нового приказа по защите персональных данных, который должен заменить старую модель с фиксированным набором требований. Сейчас логика такая: есть список — выполняй. В новой версии появляется более гибкая схема из трёх уровней, где для каждого уровня задан базовый набор мер, но оператор сможет адаптировать его под свои системы и технологии.

И вот тут начинается самое интересное. Формально речь не просто о косметической правке, а о смене философии: компаниям предлагают не ставить галочки ради отчётности, а проверять, действительно ли выбранные меры закрывают актуальные угрозы именно для этой ИТ-среды. Для регулятора это попытка сделать защиту не «для галочки», а хоть немного живой.

В проекте отдельно вынесли зоны, которые раньше часто приходилось притягивать за уши к общим требованиям. Теперь в отдельный перечень попали защита при использовании ИИ, интернета вещей, виртуализации, облачных вычислений, а также защита мобильных устройств и удалённого доступа. То есть регулятор наконец признал очевидное: мир давно уехал от серверной в подвале, а требования всё ещё пытались жить в том же подвале.

Ещё один важный блок — обязательная оценка эффективности мер через показатель «уровень зрелости». Её нужно будет проводить до начала обработки данных, затем не реже одного раза в три года и после каждого компьютерного инцидента. Это уже не просто «внедрили и забыли», а режим постоянной проверки, где безопасность надо будет доказывать заново.

Проект, если его примут в нынешнем виде, должен вступить в силу с 1 сентября 2026 года. Это даёт компаниям окно на перестройку процессов, но и намекает, что старый режим уже списан в архив: ФСТЭК явно хочет, чтобы операторы персональных данных перестали жить в мире универсальных чек-листов.

На практике это может ударить по тем, кто привык закупать защиту пакетами — «всем одинаково, чтобы не думать». Теперь придётся разбираться, какие именно системы обрабатывают данные, какие у них реальные угрозы, где облако, где удалённый доступ, где ИИ, и как всё это в итоге закрывать мерами, которые не выглядят как музейный экспонат из 2013 года. Для крупных ИТ-ландшафтов это, скорее всего, плюс: гибкость. Для тех, кто любит простые правила, — уже не очень.

Отдельно заметно, что ФСТЭК расширяет рамку не только вокруг персональных данных, но и вокруг самой инфраструктуры, в которой они живут. В свежем регулировании, на которое ссылаются профильные издания, уже закреплён подход, при котором защищать нужно не вообще всё подряд, а те системы и средства, влияние которых может привести к негативным последствиям. Иными словами, регулятор постепенно уходит от магии «одинаково охраняем всё» к более прагматичной модели: сначала понять, что реально опасно, потом уже строить защиту.

Самый важный смысл этой истории простой: ФСТЭК пытается сделать кибербезопасность не формальной обязанностью, а инженерной задачей. И это редкий случай, когда бюрократическая новость звучит почти как признание очевидного: в 2026 году защищать данные по шаблону уже смешно, потому что ИТ-системы у компаний давно слишком разные.