НЬЮ-ССТ · проверенные материалы
Нормативная основа программы проверки
Применимость требований зависит от организации, информационной системы, данных и состава работ. Перед договором согласуются обязательные нормы, рекомендации регуляторов и требования технического задания.
Проверено 13 ноября 2026 года. Даты вступления изменений в силу указаны отдельно.
Государственные и связанные с ними системы
Приказ ФСТЭК № 117 с изменениями № 137 применяется в определённой области и не вводит ежегодный пентест для каждого коммерческого сайта. Пункты 66–67 предусматривают несколько методов контроля защищённости. Аттестация по пункту 65 — отдельная процедура. Основные изменения № 137 уже действуют; новая редакция пункта 32 вступит в силу 1 марта 2027 года.
Первоисточники: Приказ ФСТЭК № 117, Приказ ФСТЭК № 137
Кредитные организации
Для кредитных организаций и филиалов иностранных банков в области действия Положения Банка России № 851-П пункт 3.2 предусматривает ежегодное тестирование на проникновение и анализ уязвимостей информационной инфраструктуры. Методические рекомендации № 2-МР отдельно описывают подходы к выбору исполнителя, его опыту и независимости, используемым инструментам и организации работ. Применимые обязательные нормы, рекомендации и требования ТЗ сопоставляются до заключения договора.
Первоисточники: Положение Банка России № 851-П, Рекомендации Банка России № 2-МР
ИИ в финансовой сфере
Методические рекомендации Банка России № 3-МР от 16 июня 2026 года посвящены информационной безопасности при разработке и применении ИИ. Их можно использовать как один из источников для согласования программы проверки. Рекомендации не подтверждают наличие у исполнителя банковского опыта, сертификата или права на любые действия с системой клиента.
Первоисточники: Рекомендации Банка России № 3-МР
Большие фундаментальные модели ИИ
Федеральный закон № 243-ФЗ от 26 июля 2026 года регулирует разработку, внедрение и применение больших фундаментальных моделей ИИ. Общая часть действует с 1 сентября 2026 года. Пункты 3–5 части 2 статьи 5, части 2–5 статьи 6 и статьи 8–10 вступят в силу 1 марта 2027 года. Обязанности определяются фактической ролью: разработчик, лицо, предоставляющее возможность применения модели, либо владелец ресурса с предусмотренными законом признаками. Названия «заказчик» или «интегратор» сами по себе не исключают применимость норм.
Первоисточники: Федеральный закон № 243-ФЗ
Результат проверки и квалификация исполнителя
Программа и отчёт фиксируют конкретные проверки, находки и ограничения. Они не являются универсальным сертификатом соблюдения законодательства. Если работа относится к лицензируемой деятельности, до обязательств проверяются конкретный исполнитель, действующая лицензия, необходимые виды работ и фактическая готовность команды.