Что такое Пп145 экспертиза и почему она важна в 2026 году

С 25 марта 2026 года вступили в силу обновлённые требования Пп145 — постановления Правительства Российской Федерации № 145 от 16 февраля 2026 г. Документ регламентирует обязательную экспертизу безопасности информационных систем, обрабатывающих персональные данные граждан РФ.
Цель: минимизировать риски утечки, несанкционированного доступа и нарушения прав субъектов персональных данных.

Кто обязан пройти Пп145 экспертизу

• Государственные и муниципальные органы (включая МФЦ, ГИБДД, ПФР и ФНС).
• Операторы критической информационной инфраструктуры (банки, энергетика, транспорт, связь, здравоохранение).
• Коммерческие компании, если система обрабатывает ≥100 000 записей персональных данных.
• Веб-сервисы и мобильные приложения, доступные российским пользователям и собирающие идентификационные данные.

Этапы экспертизы Пп145: пошаговая инструкция

Шаг 1. Классификация системы

1. Определить категорию КИИ (объект крит. инфраструктуры) или КИИТ (информационная система).
2. Установить уровень значимости (1–4) по методике ФСТЭК;

Шаг 2. Подготовка документов

Необходимо подготовить:

• Топологию сети и схему взаимодействия ИС с внешними ресурсами.
• Описание процессов обработки персональных данных.
• Перечень технических и организационных мер защиты.
• Договор с оператором облачной инфраструктуры (если применяется облако).

Шаг 3. Внутренний аудит

Компания проводит внутреннюю проверку по чек-листу ФСТЭК (приложение 3 к методике Пп145).

Шаг 4. Внешняя экспертиза

Приглашается аккредитованная лаборатория ФСТЭК. Срок проведения: 15–30 рабочих дней.
Лаборатория:

1. Проводит сканирование уязвимостей (DAST/SAST).
2. Тестирует контроли доступа (RBAC/ABAC).
3. Оценивает криптографическую защиту (ГОСТ 28147-89, ГОСТ Р 34.10-2018).
4. Проверяет журналы аудита (ELK, SIEM).

Стоимость и сроки

Типовые ошибки при подготовке к Пп145 и как их избежать

• Отсутствие разделения сетей.
  Обязательно использовать DMZ и VLAN-сегментацию.
• Недокументированные API.
  Все внешние интерфейсы должны быть описаны в спецификации.
• Нарушение требований к криптографии.
  Используйте только сертифицированные средства СКЗИ из реестра ФСБ.
• Игнорирование сроков хранения журналов.
  Минимальный срок — 180 дней.

Как быстро подготовиться к экспертизе с помощью Google-инструментов

Даже если вы не используете глобальные сервисы Google, вы можете адаптировать их под российские требования:

1. Google Cloud Security Command Center → аналог «Безопасность компании» от Яндекс.Облако.
   Активируйте сканеры уязвимостей и экспортируйте отчёты в формате XLSX для лаборатории.
2. Google Sheets + Apps Script.
   Автоматизируйте чек-листы Пп145 и отслеживайте статус подготовки документов.
3. Google Translate.
   Быстро переводите техническую документацию на русский язык, чтобы создать локализованные инструкции для сотрудников.

Что делать после получения заключения

1. Разместить» на сайте компании.
   Публикация обязательна в течение 10 рабочих дней.
2. Внести изменения в реестр операторов Роскомнадзора.
   Загрузите скан-сертификата через личный кабинет.
3. Обновить политику ИБ и провести обучение сотрудников.
4. Назначить повторную экспертизу через 3 года (для уровня 1) или через 5 лет (для уровня 4).

Ответы на частые вопросы

Вопрос: Можно ли пройти Пп145 без аккредитованной лаборатории?
Ответ: Нет, только лаборатории ФСТЭК или ФСБ имеют право выдавать официальные заключения.

Вопрос: Что будет за нарушение?
Ответ: Административный штраф до 500 000 ₽ или приостановление деятельности на 90 суток.

Экспертиза по Пп145 — не просто формальность, а реальный инструмент повышения кибербезопасности. Подготовьтесь заранее, используйте чек-листы и обращайтесь к аккредитованным лабораториям. Соблюдение новых правил 2026 года позволит избежать штрафов и усилить доверие клиентов к вашей компании.