ИБ для бюджета

Информационная безопасность для бюджетных организаций

Школы, больницы, вузы, администрации: ограниченный штат, реальные проверки и жёсткая нормативная база. Раздел о том, как бюджетной организации выстроить защиту информации без выдуманных бюджетов и лишних покупок.

Опубликовано: 18 сентября 2026 · Обновлено: 19 сентября 2026

Быстрый ответ

Информационная безопасность бюджетной организации — раздел о требованиях и штрафах: защита персональных данных, аттестация, КИИ и переход на отечественное ПО. Ориентиры цены ошибки: утечка ПДн 1–10 тыс. субъектов — 3–5 млн ₽ (420-ФЗ), уведомление РКН — 24 часа; нарушение правил эксплуатации объектов КИИ с 20.04.2026 — до 500 тыс. ₽ юридическим лицам; ЗО КИИ — планы замещения по 58-ФЗ и дедлайн 01.01.2028.

Сразу к делу

Бюджетная организация обычно обязана решать четыре блока задач. Первый — персональные данные: 152-ФЗ, определение уровня защищённости ИСПДн и меры по приказу ФСТЭК № 21; с 30.05.2025 за утечки работают штрафы по 420-ФЗ от 30.11.2024. Второй — если организация признана субъектом КИИ: категорирование значимых объектов, сроки и планы замещения иностранного ПО (базовый дедлайн перехода — 01.01.2028). Третий — аттестация ГИС и ИСПДн по приказу № 77. Четвёртый — закупки: всё оборудование и услуги проходят через 44-ФЗ или 223-ФЗ.

Карта требований

Блок	Что проверяют	Основание
Персональные данные	Уровень защищённости, меры, уведомления	152-ФЗ; приказ ФСТЭК № 21
Штрафы за утечки ПДн	Уведомление РКН, объёмы утечки	420-ФЗ от 30.11.2024 (КоАП, ст. 13.11)
КИИ	Категорирование, защищённость, ГосСОПКА	187-ФЗ
Иностранное ПО на ЗО КИИ	Исключения и планы замещения	58-ФЗ от 07.04.2025, в силе с 01.09.2025
Аттестация систем	Аттестаты, испытательные лаборатории	Приказ ФСТЭК № 77 от 29.04.2021
ГИС	Требования с 01.03.2026	Приказ ФСТЭК № 117 от 11.04.2025

Ориентир по ответственности: нарушение требований к защите информации в сфере КИИ для юридических лиц — штраф до 500 тыс. рублей по статье 13.12.1 КоАП; с 20.04.2026 действуют составы за нарушение правил эксплуатации объектов КИИ (76-ФЗ и 77-ФЗ от 09.04.2026).

Что уже опубликовано

Материал	Применение
Чек-лист комплаенса	Быстрая самопроверка ИИ-проектов организации
Аттестация ИСПДн	Раздел об аттестации систем учреждений
Нормативная база ИБ	Актуальные редакции законов и приказов
Импортозамещение в ИТ	Реестр ПО, планы замещения, дедлайны
Навигатор по госзакупкам	Как закупить услуги ИБ по 44-ФЗ
Экосистема ВЫШКА Cloud	Российские инструменты для работы и общения
Эксплуатация ВКС	Видеосвязь учреждения под контролем
SOC и мониторинг ИБ	Наблюдение за событиями безопасности

Новые материалы раздела

и ещё несколько тематических разборов готовится.

Как не потратить лишнего

Правило экономии: половина требований закрывается организационными мерами — документами, регламентами, обучением — и только половина покупками. Начинать стоит с инвентаризации: список систем, данных и имеющихся документов объясняет, чего в защите не хватает, лучше любого аудита на глазок.

Коротко о главном

Параметр	Значение
Штраф за утечку ПДн (1–10 тыс. субъектов)	3–5 млн ₽ для юрлиц, 420-ФЗ от 30.11.2024
Уведомление РКН об утечке	24 часа на первичное, 72 часа на итоги расследования
КИИ: штраф юрлицам	до 500 тыс. ₽, ст. 13.12.1 КоАП
Нарушение правил эксплуатации объектов КИИ	76-ФЗ и 77-ФЗ от 09.04.2026, в силе с 20.04.2026
Иностранное ПО на ЗО КИИ	с 01.09.2025 — только исключения или план замещения; базовый дедлайн 01.01.2028
Малые закупки	до 600 тыс. ₽ за контракт (п. 4 ч. 1 ст. 93 44-ФЗ)

Читать дальше

Аттестация ИСПДн
Раздел об аттестации систем
Нормативная база ИБ
Законы и приказы с датами
Импортозамещение в ИТ
Планы замещения и реестр ПО

Частые вопросы бюджетных организаций

С 30.05.2025 работают штрафы по 420-ФЗ от 30.11.2024: например, при первой утечке данных 1–10 тыс. субъектов юридическое лицо платит от 3 до 5 млн рублей, при 10–100 тыс. субъектов — от 5 до 10 млн. Отдельные составы — за неуведомление Роскомнадзора об утечке в течение 24 часов.

Если организация не разрабатывает фундаментальные модели от 1 млрд параметров — новых обязанностей закон не добавляет. Использование готовых ИИ-сервисов урегулировано другими актами: 152-ФЗ для персональных данных и внутренними регламентами.

Базовый дедлайн — 01.01.2028: запрет развёртывания новых зарубежных программно-аппаратных комплексов и переход на отечественное ПО по правилам 58-ФЗ. С 01.09.2025 иностранное ПО на ЗО КИИ допускается только по исключениям или планам замещения.

Обязательность зависит от типа системы и обрабатываемой информации: государственные информационные системы и ряд ИСПДн проходят аттестацию по приказу ФСТЭК № 77. Точный перечень требований определяет оператор системы по нормативной базе — разборы этого вопроса готовятся в разделе.

Через стандартные механизмы 44-ФЗ: конкурентные процедуры или малые закупки до 600 тысяч рублей у единственного поставщика. Для описания предмета закупки используются позиции КТРУ — навигатор по закупкам собран в отдельном разделе сайта.

Нужна помощь с ИБ и защитой ИИ?

Аудит ИИ-использования, реестр ИИ-активов, регламент и контроли — приведём ИИ-контур в соответствие требованиям до того, как его проверят.

Следующий шаг

Проверить ваш ИИ-контур

Начните с чек-листа ИИ-комплаенса — бесплатно, без звонков. Дальше по результатам: аудит, реестр активов, регламент.

Обсудить защиту ИИ Чек-лист ИИ-комплаенса

Материал носит информационный характер. Статусы и редакции нормативных актов меняются — сверяйте актуальные версии на pravo.gov.ru, fstec.gov.ru и в официальных публикациях. Актуально на: 18.09.2026. Материал не является юридической консультацией.