149-ФЗ об информации: о чём закон и кого он касается

149-ФЗ от 27.07.2006 — базовый (рамочный) закон, который регулирует поиск, получение, передачу, производство и распространение информации, а также применение информационных технологий и обеспечение защиты информации в России. Он не описывает конкретные технические меры защиты — это делают подзаконные приказы ФСТЭК и ФСБ — и не регулирует отдельно какой-то один вид информации: для персональных данных есть 152-ФЗ, для критической инфраструктуры — 187-ФЗ, для государственной тайны — отдельный закон.

Роль 149-ФЗ другая: дать общий понятийный каркас — что такое информация как объект права, кто такой «обладатель информации», какая информация общедоступна, а какая ограничена в доступе, и что вообще значит «защита информации» (ст. 16), — на который затем опираются специальные ИБ-режимы.

Полное название — Федеральный закон от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации». Госдума приняла его 8 июля 2006 года, Совет Федерации одобрил 14 июля, президент подписал 27 июля, «Российская газета» опубликовала текст 29 июля — закон вступил в силу 9 августа 2006 года.

Он пришёл на смену прежнему закону 1995 года № 24-ФЗ «Об информации, информатизации и защите информации» и закону 1996 года № 85-ФЗ «Об участии в международном информационном обмене» — оба признаны утратившими силу заключительной статьёй 18.

149-ФЗ — один из самых часто поправляемых российских ИТ-законов: за без малого двадцать лет в него вносили изменения десятки раз, а ключевые смысловые вехи — 2012 год (создание реестра запрещённых сайтов), 2013 год (расширение блокировок на пиратский контент), 2019 год (нормы «суверенного Рунета») и волна поправок 2025–2026 годов про мессенджеры и антифрод, о которой ниже.

На практике закон редко сам по себе фигурирует как основание для проверок и штрафов — эту роль чаще берут на себя специальные законы (152-ФЗ, 187-ФЗ). 149-ФЗ — понятийный фундамент: на статью 16 «Защита информации» ссылаются, обосновывая практически любые требования к обладателям и операторам информационных систем в России.

Статья 2 149-ФЗ определяет базовые термины, на которых строится всё информационное право России, — от самого понятия «информация» до «оператора информационной системы». Эти определения использует не только 149-ФЗ: на них ссылаются 152-ФЗ, 187-ФЗ и десятки подзаконных актов ФСТЭК и ФСБ, поэтому знание точных формулировок ст. 2 — отправная точка для любого разговора о защите информации в российском праве.

↔ таблицу можно прокрутить вбок

Список в таблице не исчерпывающий: в статье 2 закреплено более двадцати терминов, включая «документированная информация», «распространение информации», «сайт в сети "Интернет"», «доменное имя», «владелец сайта», «поисковая система» и другие — они относятся к более узким нормам закона (блокировки, обязанности владельцев сайтов) и разбираются в контексте соответствующих статей, а не в общем словаре.

149-ФЗ делит всю информацию на две категории по доступу к ней — общедоступную и ограниченного доступа (ст. 5, 7, 9), а информацию ограниченного доступа, в свою очередь, — на государственную тайну и конфиденциальную информацию. Эта развилка задаёт логику всех последующих специальных ИБ-режимов: какой закон применяется к конкретным сведениям, зависит от того, к какой из этих категорий они относятся.

• Общедоступная информация — свободно используется любым лицом и может передаваться одним лицом другому, если федеральными законами не установлены ограничения.
• Информация ограниченного доступа — доступ к ней ограничен федеральными законами; собирательный термин для государственной тайны и конфиденциальной информации.

По порядку предоставления и распространения (ст. 5, ч. 3) информация делится на четыре вида:

1. свободно распространяемую;
2. предоставляемую по соглашению лиц, участвующих в соответствующих отношениях;
3. подлежащую предоставлению или распространению в соответствии с федеральными законами;
4. распространение которой в России ограничивается или запрещается.

Внутри «информации ограниченного доступа» — две большие ветви:

Ограничение доступа к информации устанавливается только федеральными законами — в целях защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов других лиц, обеспечения обороны страны и безопасности государства (ст. 9, ч. 1). Это гарантийная норма: ограничить доступ к информации подзаконным актом — постановлением правительства или приказом ведомства — без основания в федеральном законе нельзя.

Статья 16 149-ФЗ определяет, что закон понимает под защитой информации: принятие правовых, организационных и технических мер, направленных на защиту от неправомерного доступа, соблюдение конфиденциальности информации ограниченного доступа и реализацию права на доступ к информации. На эту статью ссылаются, когда обосновывают требования к защите информации в России в целом, а не в рамках конкретного специального режима.

Часть 1 статьи называет три цели защиты информации:

• обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;
• соблюдение конфиденциальности информации ограниченного доступа;
• реализация права на доступ к информации.

Часть 4 конкретизирует эти цели в семи обязанностях, которые в случаях, установленных законодательством Российской Федерации, обязаны обеспечить обладатель информации и оператор информационной системы:

1. предотвращение несанкционированного доступа к информации и (или) её передачи лицам, не имеющим права доступа;
2. своевременное обнаружение фактов несанкционированного доступа к информации;
3. предупреждение возможности наступления неблагоприятных последствий нарушения порядка доступа к информации;
4. недопущение воздействия на технические средства обработки информации, в результате которого нарушается их функционирование;
5. возможность незамедлительного восстановления информации, модифицированной или уничтоженной вследствие несанкционированного доступа к ней;
6. постоянный контроль за обеспечением уровня защищённости информации;
7. нахождение баз данных с информацией, содержащей персональные данные граждан РФ, на территории России — этот пункт добавили позже, и он напрямую связан с требованием локализации персональных данных из 152-ФЗ.

Для государственных информационных систем закон предусматривает более строгие требования: методики и конкретный состав мер устанавливает уполномоченный федеральный орган — на практике это реализуется через приказы ФСТЭК России. Отдельно закон ограничивает допустимость использования отдельных средств защиты информации без прохождения оценки соответствия — здесь 149-ФЗ смыкается с темой лицензирования деятельности по технической защите конфиденциальной информации, которую он сам не раскрывает.

Институциональную сторону закон закрепляет отдельно: статья 16.1 «Федеральный государственный контроль (надзор)…» и статья 16.2 «Мониторинг информационно-телекоммуникационных сетей…» наделяют Роскомнадзор полномочиями по надзору за соблюдением требований закона и мониторингу сети. Если статья 16 отвечает на вопрос «что обязаны делать» обладатель и оператор, то статьи 16.1–16.2 — на вопрос «кто это проверяет».

Статьи 15.1–15.9 149-ФЗ — правовая основа системы государственных блокировок сайтов в России: статья 15.1 учреждает Единый реестр доменных имён, указателей страниц сайтов и сетевых адресов, известный как «реестр запрещённых сайтов», который ведёт Роскомнадзор, а последующая «гроздь» статей описывает процедуры ограничения доступа по разным основаниям.

Каждое основание блокировки закреплено отдельной статьёй, без единой процедуры на все случаи:

• ст. 15.2, 15.6, 15.6-1 — нарушение авторских и смежных прав, включая блокировку «зеркал» уже заблокированных сайтов;
• ст. 15.3 — самая широкая по формулировке норма: информация, распространяемая с нарушением закона в целом — основа для блокировок по разным поводам через Роскомнадзор и Генпрокуратуру;
• ст. 15.5 — информация, обрабатываемая с нарушением законодательства о персональных данных — прямой мостик к 152-ФЗ;
• ст. 15.8 — меры против использования сетей для обхода блокировок, включая VPN и анонимайзеры;
• ст. 15.9 — информационные ресурсы, признанные иностранными агентами;
• ст. 15.1-1, 15.1-2, 15.3-1, 15.3-2 — более узкие основания: неприличная форма, недостоверная порочащая информация, информация о выборах, повторные нарушения.

Отдельно закон регулирует «значимые» интернет-сервисы — статьи 10.3–10.6 устанавливают обязанности операторов поисковых систем, владельцев аудиовизуальных сервисов, новостных агрегаторов и социальных сетей, которые обычно возникают при достижении определённого порога аудитории. Точные числовые пороги по каждой категории здесь не приводятся: в открытых источниках они не подтверждены дословной цитатой нормы и требуют отдельной проверки для конкретного сервиса.

Смежная норма — статья 10.1: организатор распространения информации в интернете, включая оператора мессенджера, обязан обеспечивать передачу сообщений только идентифицированных пользователей — идентификация проводится оператором связи по абонентскому номеру на основании соглашения между оператором связи и организатором распространения информации.

Материал не разбирает процедуры блокировки по каждому основанию отдельно — это большая самостоятельная тема; здесь важно зафиксировать сам факт: система реестров и блокировок в России целиком построена на нормах 149-ФЗ, а не на отдельном законе.

149-ФЗ меняется часто. Две поправки 2025–2026 годов шли по одному вектору — противодействие мошенничеству с использованием средств связи и интернета. Третья, вступившая в силу 1 сентября 2026 года, устроена иначе: она перестроила устройство статей 13, 14 и 16 и стала основанием сразу для двух приказов ФСБ. Раздел стоит периодически перепроверять: судя по истории закона (см. раздел выше), поправки на этом не закончатся.

Поправки 2025–2026 годов объединяет одно: законодатель всё чаще использует 149-ФЗ, чтобы добавлять нормы о защите граждан от мошенничества со связью и интернетом — в дополнение к исходной роли закона как понятийной рамки.

149-ФЗ — рамочный закон: специальные режимы для отдельных видов информации регулируют отдельные законы, которые логически надстраиваются на понятиях 149-ФЗ, не заменяя его. Соотношение стандартное для права — общая норма и специальная норма: где есть специальный закон, применяется он, а 149-ФЗ остаётся источником базовых терминов и общих обязанностей.

↔ таблицу можно прокрутить вбок

149-ФЗ и 152-ФЗ. 149-ФЗ задаёт общие понятия — информация, обладатель информации, конфиденциальность, защита информации (ст. 2, 16) — и относит персональные данные к одному из видов информации ограниченного доступа (ст. 9). Специальный закон 152-ФЗ «О персональных данных» детализирует этот частный случай: кто такой оператор персональных данных, какие есть основания обработки, требования к согласию и локализации, ответственность вплоть до оборотных штрафов.

Прямая связь видна и в самом 149-ФЗ: статья 15.5 отдельно посвящена блокировке информации, обрабатываемой с нарушением законодательства о персональных данных. Подробности — на странице 152-ФЗ о персональных данных, здесь тема не дублируется.

149-ФЗ и 187-ФЗ — важно не перепутать два разных закона с одним номером. В истории 149-ФЗ встречаются два совершенно разных акта под номером «187-ФЗ»: Федеральный закон от 02.07.2013 № 187-ФЗ, который расширил систему блокировок на пиратский контент (правки в сам 149-ФЗ), и Федеральный закон от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» — отдельный, самостоятельный закон о защите КИИ, не имеющий отношения к антипиратским блокировкам 2013 года.

Совпадение номеров — случайность нумерации, а не связь по содержанию. Разбор закона о КИИ — на странице 187-ФЗ о безопасности критической информационной инфраструктуры. Общее с 149-ФЗ у него — те же базовые понятия «информационная система» и «оператор информационной системы» (ст. 2, 13, 16 149-ФЗ), но термина «критическая информационная инфраструктура» и категорирования объектов КИИ в 149-ФЗ нет — это исключительно предмет 187-ФЗ 2017 года.

149-ФЗ и Закон «О государственной тайне». 149-ФЗ относит государственную тайну к одному из двух видов информации ограниченного доступа наряду с конфиденциальной информацией (ст. 9), но прямо оставляет сам институт гостайны — перечень сведений, режим секретности, допуск, ответственность — за отдельным законодательством: Законом РФ от 21.07.1993 № 5485-1 «О государственной тайне». Подробности — на странице о государственной тайне.

149-ФЗ и КоАП/УК. Статья 17 «Ответственность за правонарушения в сфере информации, информационных технологий и защиты информации» — отсылочная норма: сам 149-ФЗ конкретных составов правонарушений и размеров санкций не содержит, отсылая к КоАП РФ и УК РФ. Конкретные составы — нарушение порядка обработки персональных данных, неисполнение обязанностей организатора распространения информации, отказ от идентификации пользователей мессенджеров, неудаление запрещённой информации — предмет отдельных статей КоАП и специальных законов, а не самого 149-ФЗ.