Информация
Какие данные должны храниться и обрабатываться только на российском ПО или ПО с сертификатом ФСТЭК
Режим данных определяется местом обработки и классом информации
В российском законодательстве отсутствует общий перечень данных, для которых одновременно установлено правило: «Эти данные разрешено хранить и обрабатывать исключительно на российском ПО, обязательно имеющем сертификат ФСТЭК». Правовой режим обычно определяется двумя отдельными условиями: где и в какой системе обрабатываются данные и к какому классу относится информация и система.
| Данные | Требование | Российское ПО | Сертификат ФСТЭК у всего ПО | Срок |
|---|---|---|---|---|
| Данные, обрабатываемые на значимом объекте КИИ | ПО объекта должно соответствовать требованиям 187-ФЗ; объект должен иметь систему безопасности | Да, после наступления срока перехода | Нет. Сертификат требуется прежде всего для средств защиты и в прямо установленных случаях | Для госорганов и части заказчиков — с 01.01.2025; для остальных — по правительственному графику |
| Персональные данные граждан РФ, собираемые оператором | Запись, систематизация, накопление, хранение, уточнение и извлечение не допускаются с использованием баз данных за пределами РФ | Нет. Требуется российское местонахождение базы, а не происхождение ПО | Нет, если иное не следует из уровня защищённости и модели угроз | Усиленная редакция действует с 1 июля 2025 |
| Медицинские данные | Защита как персональные данные и врачебная тайна; при обработке на значимом объекте КИИ действуют требования КИИ | Только если система признана значимым объектом или действует иное специальное требование | Не для всего медицинского ПО; для применяемых средств защиты — по требованиям | Зависит от статуса системы |
| Банковская тайна, платёжные и финансовые данные | Защита по банковскому законодательству, требованиям Банка России и, при наличии значимого объекта, законодательству о КИИ | Только при попадании системы под соответствующий режим | Сертификат требуется для определённых средств и компонентов защиты, а не автоматически для АБС или ДБО | Зависит от статуса организации и объекта |
| Государственные информационные ресурсы | Применяются требования к ГИС, защите информации и закупкам | Может требоваться реестровое российское ПО по правилам госзакупок и КИИ | Для средств защиты — в предусмотренных случаях | По правилам создания и эксплуатации конкретной ГИС |
| Государственная тайна | Используются допущенные и сертифицированные средства защиты, включая требования ФСТЭК и ФСБ | Российское происхождение может следовать из специальных требований и условий допуска | Как правило, для средств защиты требуется соответствующая сертификация | До начала обработки сведений |
| Коммерческая, налоговая, страховая и иная охраняемая законом тайна | Необходимо обеспечить конфиденциальность и безопасность | Сам по себе вид тайны не создаёт требования российского ПО | Сам по себе вид тайны не означает сертификацию всего используемого ПО | Требования действуют постоянно |
| Технологическая информация АСУ ТП | При обработке на значимом объекте КИИ применяются требования 187-ФЗ и приказа ФСТЭК № 239 | Да — в пределах требований к значимому объекту и графика перехода | Для средств защиты и отдельных компонентов — по форме оценки соответствия | По графику перехода и проекту системы безопасности |
| Резервные копии, журналы событий и архивы значимого объекта | Являются частью контура объекта, если используются для его функционирования, восстановления или безопасности | Требования должны анализироваться совместно с основным объектом | Зависит от применяемых средств защиты | Одновременно с основным объектом |
Что важно по персональным данным
Требование локализации персональных данных означает:
- база должна находиться на территории России;
- зарубежное программное обеспечение само по себе не запрещено только на основании 152-ФЗ;
- зарубежный облачный сервис не становится допустимым лишь потому, что клиентская часть находится в России;
- для трансграничной передачи действуют отдельные правила и уведомительный порядок.
★ Следовательно
«Российский сервер», «российская база данных», «российское ПО» и «сертификат ФСТЭК» — четыре разных юридических и технических признака.
