С 1 сентября 2026 года при закупке электронных сервисов для создания и эксплуатации государственных информационных систем заказчикам придется подробнее описывать требования к работе поставщика. В закупочной документации и проекте контракта должны появиться условия о защите и хранении данных, восстановлении сервиса после сбоев, мониторинге инфраструктуры и привлечении соисполнителей.
Новые правила утверждены постановлением Правительства РФ от 18 августа 2026 года № 1024. Они распространяются на соответствующие закупки по Законам № 44-ФЗ и № 223-ФЗ.
Каких закупок касаются новые правила
Постановление регулирует использование электронных сервисов при создании и эксплуатации государственных информационных систем, а также других информационных систем государственных органов, предусмотренных частью 1.1 статьи 13 Федерального закона «Об информации, информационных технологиях и о защите информации».
Под электронными сервисами понимаются технические средства, программы для ЭВМ и базы данных, доступ к которым предоставляется через информационно-телекоммуникационные сети.
Правила применяются в двух случаях:
- электронный сервис становится элементом создаваемой информационной системы;
- сервис используется для обеспечения работы уже введенной в эксплуатацию информационной системы.
Это важное ограничение: постановление касается не любых приобретаемых организацией IT-сервисов. При подготовке закупки нужно определить, используется ли сервис именно для создания или эксплуатации информационной системы, подпадающей под действие правил.
Что придется включить в закупочную документацию
Заказчик должен предусмотреть в документации и проекте контракта или договора требования к регламенту взаимодействия с поставщиком.
В регламенте необходимо определить:
- действия заказчика и поставщика при сбоях, авариях и других инцидентах;
- распределение ответственности сторон за соблюдение требований к защите информации;
- допустимое время восстановления работоспособности сервиса;
- порядок уведомления о сбоях и инцидентах;
- действия сторон при нарушении защиты информации.
Одной общей формулировки об обязанности поставщика обеспечивать бесперебойную работу сервиса может оказаться недостаточно. В документах нужно установить измеримые сроки и понятный порядок взаимодействия сторон.
Какие требования предъявляются к поставщику
В закупочной документации потребуется закрепить требования к надежности инженерных систем и оборудования, с помощью которых предоставляется электронный сервис. Эти требования должны соответствовать показателям надежности, установленным технической или эксплуатационной документацией информационной системы.
Поставщик также должен обеспечить:
- хранение и резервное копирование обработанной сервисом информации;
- доступ заказчика к этой информации в течение всего срока действия контракта или договора;
- передачу информации заказчику после оказания услуг;
- передачу данных при расторжении контракта или договора;
- мониторинг инженерной и программно-аппаратной инфраструктуры;
- информирование о сбоях, компьютерных атаках, несанкционированном доступе и других нарушениях требований к защите информации.
Порядок передачи данных особенно важен при смене поставщика. В документации целесообразно определить формат, состав и сроки передачи информации, чтобы после завершения договора заказчик мог получить данные и продолжить работу с ними.
Где должны находиться компоненты сервиса
Компоненты электронного сервиса, с помощью которых оказываются услуги для создания или эксплуатации информационной системы, должны размещаться в России.
При эксплуатации сервиса нельзя использовать базы данных и технические средства, находящиеся за пределами страны.
Следовательно, при подготовке закупки потребуется проверить не только местонахождение основного оборудования поставщика, но и всю инфраструктуру, задействованную в оказании услуги. Способ подтверждения соответствия этому требованию постановление отдельно не устанавливает, поэтому его следует определить в закупочной документации.
Как привлекать соисполнителей
Поставщик должен уведомить заказчика о привлечении соисполнителя не позднее чем за три рабочих дня до начала оказания им услуг.
Если электронный сервис обрабатывает информацию ограниченного доступа, одного уведомления недостаточно. Поставщик должен заранее получить письменное согласие заказчика на привлечение конкретного соисполнителя. Такое согласие необходимо получить до фактической передачи ему информации ограниченного доступа.
В проекте договора стоит отдельно описать:
- содержание уведомления о соисполнителе;
- способ и срок его направления;
- сведения, которые поставщик должен раскрыть;
- порядок получения письменного согласия;
- ответственность за привлечение соисполнителя без уведомления или согласования.
Как сообщать о сбоях и нарушениях
Если заказчик или поставщик выявил нарушение защиты информации, он должен незамедлительно уведомить об этом другую сторону.
Поставщик должен направить заказчику сведения о принятых мерах не позднее трех часов с момента выявления инцидента, если регламентом взаимодействия не предусмотрен другой срок.
В уведомлении необходимо указать:
- какие меры приняты для устранения нарушения;
- к каким результатам они привели;
- какие дополнительные действия потребуются;
- в какие сроки будут реализованы дополнительные меры.
К нарушениям относятся несанкционированный доступ, изменение, уничтожение или блокирование информации, а также изменение уровня ее защищенности.
Что учесть при бесплатном использовании сервиса
Постановление отдельно упоминает электронные сервисы, которые поставщики предоставляют бесплатно на основании договора, соглашения или оферты.
При их использовании заказчик также должен обеспечить соблюдение требований к защите информации. Бесплатный доступ сам по себе не освобождает от проверки сервиса, если он используется для создания или эксплуатации соответствующей информационной системы.
Что проверить до начала закупки
До размещения закупки электронного сервиса заказчику следует:
- Определить, подпадает ли информационная система под действие постановления № 1024.
- Установить роль электронного сервиса в создании или эксплуатации этой системы.
- Сверить требования к надежности сервиса с технической и эксплуатационной документацией информационной системы.
- Подготовить регламент взаимодействия при сбоях, авариях и нарушениях защиты информации.
- Установить допустимое время восстановления работы сервиса.
- Описать порядок хранения, резервного копирования и передачи данных.
- Проверить размещение компонентов сервиса, баз данных и технических средств на территории России.
- Определить порядок уведомления и согласования соисполнителей.
- Закрепить содержание и сроки сообщений об инцидентах.
- Проверить, сможет ли поставщик подтвердить выполнение заявленных требований.
Постановление № 1024 не просто добавляет несколько формальных пунктов в проект договора. Заказчику потребуется связать закупочную документацию с архитектурой конкретной информационной системы, ее требованиями к надежности и классу защищенности. Без участия IT-подразделения и специалистов по информационной безопасности подготовить такие условия будет сложно.
