Что закрепить в договоре с администратором ИТ-системы для выполнения требований ФСТЭК117?

Нужны конкретные требования к доступу и среде работы, соответствующие системе оператора.

Civius, юридическая компания Алексей Дубровин, юрист

Короткий ответ

Закрепите конкретные требования информационной безопасности, которые относятся к работе подрядчика в вашей системе. В экспертной позиции 2026 года названы ознакомление с организационными документами, ограничения копирования и изолированные стенды разработки и тестирования.

Контекст приказа ФСТЭК № 117 нельзя автоматически переносить на любой договор с частным ИТ-специалистом. Сначала устанавливают применимость требований к системе оператора.

Что описать в договоре

Определите перечень доступов, разрешённые операции, порядок согласования изменений и фиксации действий. Укажите, какие документы подрядчик должен получить и соблюдать, кто знакомит с изменениями и как подтверждается ознакомление.

Отдельно решите, допускаются ли копии рабочих данных на оборудовании подрядчика. Если обработка выполняется на его инфраструктуре, источник рекомендует сопоставить её класс с классом системы оператора.

В договоре на ИТ-работы требования должны быть связаны с действиями и результатами, которые можно проверить. Обязанность «соблюдать безопасность» без перечня доступов и среды тестирования оставляет сторонам слишком разные представления о допустимой работе.

Если нужно применить ответ к Вашей ситуации или документам, Разработать договор подряда: юрист проверит вводные и учтёт обстоятельства, которые короткий ответ не охватывает.