Лицензия ФСТЭК или аттестация информационной системы: что действительно нужно компании в 2026 году

Лицензия ФСТЭК и аттестация информационной системы решают совершенно разные задачи, хотя на практике их регулярно путают. Компания узнает, что ей необходимо защитить информационную систему, обработать персональные данные, запустить ГИС или выполнить требования заказчика — и начинает искать «лицензию ФСТЭК на систему».

Такого универсального документа не существует.

Лицензия ФСТЭК относится прежде всего к деятельности организации, которая выполняет определенные работы и оказывает услуги по технической защите конфиденциальной информации.

Аттестация относится к конкретному объекту информатизации: информационной или автоматизированной системе, защищаемому помещению либо другому объекту, для которого подтверждается соответствие установленным требованиям защиты информации.

Поэтому одной компании действительно нужна собственная лицензия ФСТЭК. Другой — аттестат соответствия на информационную систему. Третьей не требуется собственная лицензия вообще: она привлекает лицензированную организацию для проектирования защиты и проведения аттестационных испытаний.

В 2026 году вопрос стал особенно актуальным. С 1 марта действует новый приказ ФСТЭК России №117 для государственных информационных систем и ряда других систем государственных органов и организаций. А уже с 1 сентября 2026 года меняется порядок аттестации по приказу ФСТЭК №77: вводятся дополнительные правила периодического контроля, испытаний после модернизации и документирования состояния аттестованного объекта.

В этой статье МинпромХелп разбирает, когда компании нужна лицензия ФСТЭК, когда требуется аттестация информационной системы или АРМ и почему эти процедуры нельзя заменять друг другом.

Лицензия ФСТЭК и аттестация: разница простыми словами

Хороший пример — государственный орган запускает ГИС.

Самой информационной системе требуется подтверждение соответствия требованиям защиты информации. Для этого проводится аттестация.

Но если государственный орган привлекает коммерческого подрядчика для проведения аттестационных испытаний, у подрядчика должна быть лицензия ФСТЭК на техническую защиту конфиденциальной информации с соответствующим видом работ.

То есть в одном проекте одновременно присутствуют:

лицензированный исполнитель → аттестационные испытания → аттестованный объект.

Когда компании действительно нужна лицензия ФСТЭК

Основной документ для лицензирования деятельности по технической защите конфиденциальной информации — постановление Правительства РФ №79.

Оно предусматривает несколько групп лицензируемых работ и услуг, в том числе:

• контроль защищенности информации от утечки по техническим каналам;
• контроль защищенности от несанкционированного доступа и модификации;
• мониторинг информационной безопасности;
• аттестационные испытания и аттестацию;
• проектирование информационных систем и помещений в защищенном исполнении;
• установку, монтаж, наладку, испытания и ремонт средств защиты информации.

Поэтому собственная лицензия особенно актуальна компании, которая собирается профессионально оказывать такие услуги другим организациям.

Например, интегратор хочет проектировать системы защиты заказчиков, устанавливать средства защиты и проводить аттестационные испытания.

В этом случае нельзя получить одну абстрактную «лицензию ФСТЭК на все». В реестре лицензий фиксируются конкретные работы и услуги, которые вправе выполнять лицензиат.

Если организация имеет лицензию только на часть работ, это еще не означает, что она вправе проводить аттестацию.

Нужна ли лицензия ФСТЭК компании, которая защищает только себя?

Здесь нельзя использовать правило «есть конфиденциальная информация — обязательно оформляйте лицензию».

Например, ФСТЭК отдельно разъясняла, что оператору персональных данных не требуется лицензия на техническую защиту конфиденциальной информации только потому, что он защищает собственную ИСПДн для собственных нужд.

Но если организация оказывает другому оператору услуги и при этом выполняет лицензируемые работы из постановления №79, ситуация уже меняется.

Для других видов конфиденциальной информации необходимо отдельно анализировать характер деятельности, договорную модель и перечень выполняемых работ.

Получение лицензии — это также не формальная регистрация. Постановление №79 предъявляет требования к персоналу, помещениям, оборудованию, программным средствам и собственной защищенной инфраструктуре соискателя.

В августе 2026 года ФСТЭК дополнительно утвердила актуализированный перечень контрольно-измерительного и испытательного оборудования и средств контроля защищенности, необходимых для соответствующих лицензируемых работ.

Когда нужна аттестация информационной системы или АРМ

Аттестация отвечает на другой вопрос:

«Соответствует ли конкретный объект установленным требованиям по защите информации?»

Порядок организации таких работ установлен приказом ФСТЭК России №77.

Владелец объекта при проведении аттестации обычно привлекает организацию, имеющую лицензию ФСТЭК с правом проведения аттестационных испытаний и аттестации.

В ходе работ проверяются не только установленные антивирусы или межсетевые экраны.

Оцениваются:

• архитектура информационной системы;
• актуальные угрозы безопасности;
• класс защищенности или другая применимая характеристика объекта;
• организационные документы;
• реализованные меры защиты;
• настройки средств защиты;
• уязвимости;
• результаты испытаний;
• соответствие фактической конфигурации технической документации.

Государственные информационные системы

С 1 марта 2026 года действует приказ ФСТЭК №117, заменивший приказ №17.

Для государственных информационных систем приказ №117 прямо устанавливает: до начала обработки и (или) хранения информации в ГИС должна быть проведена аттестация на соответствие требованиям защиты информации.

При этом старые аттестаты, выданные до вступления приказа №117 в силу, не были автоматически отменены 1 марта 2026 года: приказ прямо сохранил их действительность.

Это важно для организаций, которые уже эксплуатировали аттестованную систему по прежним требованиям.

Обычная ИСПДн коммерческой компании

Совершенно другая ситуация — обычная информационная система персональных данных частного бизнеса, которая не является государственной информационной системой.

Постановление Правительства №1119 и приказ ФСТЭК №21 требуют определить уровень защищенности, реализовать организационные и технические меры и оценить их эффективность до ввода ИСПДн в эксплуатацию.

Но обязательная аттестация по приказу №77 автоматически из одного факта обработки персональных данных не следует.

Оператор может использовать аттестацию как форму оценки, если это необходимо в конкретной ситуации, однако нельзя утверждать, что каждому интернет-магазину, работодателю или коммерческой компании с базой клиентов обязательно нужен аттестат ФСТЭК.

10 типовых ситуаций: лицензия ФСТЭК, аттестация или другое требование

Что меняется в аттестации с 1 сентября 2026 года

Для проектов, которые запускаются осенью 2026 года, необходимо учитывать приказ ФСТЭК №60 от 27 февраля 2026 года.

Он вступает в силу 1 сентября 2026 года и вносит существенные изменения в приказ №77.

Одна из ключевых идей — аттестация перестает восприниматься как процедура, которую выполнили один раз и больше к ней не возвращаются.

Аттестат соответствия выдается на весь срок эксплуатации объекта, но владелец должен поддерживать безопасность и проводить периодический контроль уровня защищенности.

Результаты оформляются отчетом или протоколами и включаются в технический паспорт.

При модернизации объекта, когда меняются архитектура или структура системы защиты, состав программных и программно-технических средств либо средств защиты, предусматриваются дополнительные аттестационные испытания.

При этом новая редакция прямо закрепляет важный подход: при такой модернизации действие аттестата само по себе не прекращается. Проводятся дополнительные испытания измененных компонентов, а сведения вносятся в технический паспорт.

Кроме того, для отдельных государственных информационных систем 1 и 2 класса защищенности, подключенных к Интернету или взаимодействующих с другими информационными системами, с сентября появляются более конкретные требования к тестированию, включая моделирование реализации актуальных угроз.

Поэтому компаниям и государственным организациям, планирующим аттестацию во второй половине 2026 года, уже сейчас необходимо учитывать не только действующий порядок, но и редакцию, которая начнет применяться с 1 сентября.

Как определить, что нужно именно вашей компании

Мы в МинпромХелп рекомендуем начинать не с вопроса «сколько стоит лицензия ФСТЭК», а с определения правового статуса объекта и выполняемых работ.

1. Определить, какую информацию обрабатывает система.
   Персональные данные, государственная информация, коммерческая тайна, информация ограниченного доступа или иные сведения.
2. Определить тип системы.
   ГИС, муниципальная ИС, ИСПДн, значимый объект КИИ, АС производственного назначения или обычная корпоративная система.
3. Понять роль компании.
   Она владелец системы или оказывает услуги другому лицу?
4. Определить конкретные работы.
   Проектирование защиты, монтаж СЗИ, мониторинг, контроль защищенности, аттестация или только эксплуатация собственной системы.
5. Проверить нормативное основание аттестации.
6. Если используется подрядчик — проверить его лицензию.
   Важно смотреть не только факт наличия лицензии, но и разрешенные работы.
7. Если применяется криптография — отдельно проверить требования ФСБ.

После такой классификации обычно становится понятно, какая процедура действительно нужна.

Иногда результатом анализа оказывается полноценная аттестация ГИС.

Иногда — получение собственной лицензии ФСТЭК.

Иногда — привлечение уже лицензированного исполнителя.

А иногда компании вообще не требуется ни собственная лицензия, ни обязательная аттестация: нужно правильно организовать защиту информации и оценку эффективности реализованных мер.

FAQ

Лицензия ФСТЭК и аттестат — это одно и то же?

Нет. Лицензия дает организации право выполнять определенные работы и услуги по технической защите конфиденциальной информации. Аттестат подтверждает соответствие конкретного объекта требованиям защиты информации.

Нужна ли собственной компании лицензия ФСТЭК для обработки персональных данных?

Для обработки персональных данных в собственной ИСПДн для собственных нужд ФСТЭК разъясняла, что получение лицензии на техническую защиту конфиденциальной информации не требуется только по этому основанию. При оказании лицензируемых услуг другим лицам ситуация иная.

Обязательно ли аттестовать обычную ИСПДн?

Не автоматически. Для негосударственной ИСПДн обязательны установление уровня защищенности, реализация необходимых мер и оценка их эффективности. Форму оценки необходимо определять применительно к конкретной системе.

Кто может проводить аттестационные испытания?

По общему правилу владелец привлекает организацию с лицензией ФСТЭК на техническую защиту конфиденциальной информации, в которой предусмотрено право выполнять аттестационные испытания и аттестацию. Для государственных органов приказ №77 предусматривает отдельную возможность проведения работ собственным подразделением при выполнении установленных условий.

Нужно ли заново аттестовывать систему после любой замены компьютера?

Не всегда требуется полная новая аттестация. С 1 сентября 2026 года порядок №77 детальнее регулирует модернизацию и дополнительные аттестационные испытания. Характер работ зависит от того, какие компоненты, архитектура и средства защиты были изменены.

Вывод МинпромХелп

Главная ошибка при работе с требованиями ФСТЭК — начинать с названия документа вместо определения самой задачи.

Лицензия ФСТЭК нужна исполнителю для осуществления определенных лицензируемых работ и услуг.

Аттестация нужна тогда, когда необходимо подтвердить соответствие конкретного объекта установленным требованиям защиты информации.

А для части коммерческих систем, например обычных ИСПДн, законодательство требует обеспечить установленный уровень защищенности и оценить эффективность мер, но не устанавливает автоматическое требование получить аттестат только из-за самого факта обработки персональных данных.

Особенно внимательно к этому вопросу необходимо относиться государственным информационным системам. С 1 марта 2026 года они работают по требованиям приказа ФСТЭК №117, а с 1 сентября меняется порядок аттестации по приказу №77.

МинпромХелп помогает определить применимые требования информационной безопасности, подготовить компанию к аттестации АРМ и информационных систем, разобраться с лицензиями ФСТЭК и ФСБ, а также проверить документы и фактическую готовность объекта до начала процедуры.

Полезные материалы МинпромХелп

• Информационная безопасность: основные требования для организаций
• Лицензия ФСБ и ФСТЭК: в чем разница
• Аттестация компьютера и АРМ
• Категорирование объектов КИИ

Основные нормативные источники

• Постановление Правительства РФ от 03.02.2012 №79 — лицензирование деятельности по технической защите конфиденциальной информации.
• Приказ ФСТЭК России от 29.04.2021 №77 — порядок аттестации объектов информатизации.
• Приказ ФСТЭК России от 27.02.2026 №60 — изменения порядка аттестации с 1 сентября 2026 года.
• Приказ ФСТЭК России от 11.04.2025 №117 — требования к защите информации в государственных информационных системах и иных системах государственных органов и организаций.
• Приказ ФСТЭК России от 18.02.2013 №21 — меры защиты персональных данных в ИСПДн.