ФСТЭК готовит революцию в защите персональных данных: новый приказ взамен №21 с 1 сентября 2026

29 июля 2026 года ФСТЭК выложила на regulation.gov.ru проект нового приказа по защите персональных данных, который вступит в силу 1 сентября 2026 года и заменит действующий 13 лет приказ №21. Ключевое изменение — отказ от жёсткого перечня мер в пользу адаптивной риск-ориентированной модели: операторы смогут подбирать защитные меры под архитектуру своей системы. Взамен вводится обязательная оценка «уровня зрелости» реализованных мер — до начала обработки ПДн, далее не реже раза в 3 года и внепланово после каждого инцидента. Впервые отдельно выделены меры для технологий, которых не существовало в 2013 году: искусственный интеллект, IoT, виртуализация, контейнерные среды, мобильные устройства и API. Проект также ужесточает требования к подрядчикам: оператор должен заранее определять требуемый уровень зрелости для обработчиков и проверять его соблюдение. Общественное обсуждение продлится до 8 августа 2026 года.