При закупке облачных и других электронных сервисов для создания или эксплуатации государственных информационных систем заказчики должны предусмотреть в документации и проекте контракта:
- требования к защите информации и надежности сервиса;
- предельный срок восстановления работы после сбоя;
- порядок хранения, резервного копирования и передачи данных заказчику;
- мониторинг кибератак, несанкционированного доступа и других инцидентов;
- порядок привлечения соисполнителей и распределение ответственности сторон.
Компоненты сервиса, с помощью которых оказывают услуги, должны размещаться в России. Использовать базы данных и технические средства, находящиеся за рубежом, нельзя.
О привлечении соисполнителя поставщик уведомляет заказчика не позднее чем за три рабочих дня. Если сервис обрабатывает информацию ограниченного доступа, потребуется письменное согласие заказчика.
При сбое или нарушении защиты поставщик должен сообщить заказчику о принятых мерах не позднее трех часов с момента выявления инцидента, если договором не установлен более короткий срок.
Правила применяют в том числе к сервисам, которые предоставляют бесплатно.
Правила вступают в силу 1 сентября 2026 года.
Документ: Постановление Правительства РФ от 18.08.2026 № 1024
