Аттестация контура СМЭВ — это комплексная процедура оценки соответствия, а не декларативное подтверждение. ФСТЭК проверяет не наличие формальных документов, а фактическую способность информационной системы обеспечивать защиту данных при обмене с государственными сервисами. С вступлением в силу Приказа №117 с 1 марта 2026 года требования стали более строгими, а ответственность за несоответствие — прямой риск приостановки доступа к ГИС.

Разберем, по каким критериям оценивают систему и какие изменения нужно учесть.

В апреле 2026 года крупные банки и МФО в штатном режиме отправляли запросы в сервис МВД по проверке действительности паспортов. А в середине дня запросы перестали возвращать ответы. Доступ был отключён массово, без предварительных уведомлений. Причина — отсутствие аттестата соответствия требованиям ФСТЭК.

Кто-то восстановил доступ через несколько недель, предоставив действующий аттестат. Кто-то — через несколько месяцев, экстренно проходя процедуру с нуля. А кто-то потерял возможность выдавать кредиты онлайн на всё это время, уступив долю рынка конкурентам, которые оказались подготовленными.

Этот сценарий — не исключение, а прецедент. Минцифры уже анонсировало аналогичный подход к доступу к Цифровому профилю гражданина и ЕСИА. Вопрос не в том, «начнут ли отключать», а в том, «когда это произойдёт с вами».

Именно поэтому сегодня критически важно понимать, что именно проверяет ФСТЭК при аттестации контура СМЭВ и к чему нужно быть готовым.

Первое, с чего начинается проверка, — определение, что именно аттестуется. ФСТЭК требует четко выделить контур СМЭВ — систему-посредника между вашими бизнес-приложениями и госсервисами.

Типовая ошибка: аттестованы не все системы, участвующие во взаимодействии. Например, забыли про рабочие места администраторов или резервные узлы в другом ЦОД.

ФСТЭК проверяет не только технику, но и процессы, зафиксированные в документах. Приказ №117 и новые методические рекомендации, опубликованые 12 апреля 2026 г., существенно расширили перечень обязательной документации.

Критический момент, который должны учитывать организации при прохождении аттестации, документы должны не просто существовать, а реально работать. Процессы, описанные в них, должны выполняться, и ФСТЭК это проверяет.

Это один из самых важных документов, который ФСТЭК изучает под микроскопом. От того, какие угрозы в нем указаны, зависит весь перечень средств защиты и, как следствие, бюджет.

Что проверяют:

Типовая ошибка: несколько неправильно указанных фраз в модели угроз раздувают перечень угроз, а с ним — требования к защите и бюджет в несколько раз.

ФСТЭК проверяет наличие и корректную настройку сертифицированных средств защиты. Все используемые СЗИ обязательно должны иметь сертификат ФСТЭК или ФСБ

Минимальный набор СЗИ для контура СМЭВ :

Изменения в Приказе №117 демонстрируют, что ФСТЭК последовательно приводит требования в соответствие с реальным ландшафтом угроз. Появление новых категорий атак (целенаправленные действия с использованием социальной инженерии, компрометация цепочек поставок ПО, атаки через доверенных лиц) — не ужесточение ради ужесточения, а прямое следствие того, с чем рынок сталкивается на практике.

ФСТЭК проверяет не только «железо», но и то, как организована работа с безопасностью в компании.

Что проверяют:

Финальный этап — непосредственная проверка системы лицензиатом ФСТЭК.

По итогам оформляются протоколы испытаний и выносится заключение о соответствии. При положительном результате выдается аттестат соответствия.

С 2026 года аттестация не заканчивается выдачей аттестата. ФСТЭК требует регулярно подтверждать уровень защищенности :

По данным экспертов, наиболее частые причины замечаний :

Аттестация контура СМЭВ по новым правилам — это комплексная проверка, которая охватывает:

ФСТЭК больше не проверяет «наличие галочек», а оценивает реальную способность системы противостоять атакам и защищать данные . Это означает, что формальный подход больше не работает — нужна глубокая проработка и документации, и технической части.