«Антифрод 2.0»: что агрегаторам, банкам и операторам связи нужно успеть до 1 марта 2027 года

Федеральный закон от 26.06.2026 № 210-ФЗ «О внесении изменений в Федеральный закон «О связи» и отдельные законодательные акты Российской Федерации» подписан 26 июня 2026 года и опубликован на pravo.gov.ru (номер 0001202606260070). Часть норм уже действует с 26.06.2026; ниже они отделены от отложенного блока, чтобы не смешивать текущие и будущие обязанности. Основной массив обязанностей для бизнеса отложен: он наступает поэтапно, с 1 сентября 2026 года, затем с 1 марта 2027 года, с 1 сентября 2027 года и с 1 января 2028 года (порядок вступления в силу по частям устанавливает ст. 11 210-ФЗ). Эта статья не про то, что уже требуется, а про то, что нужно успеть подготовить к отложенным датам, прежде всего к 1 марта 2027 года, когда начинает действовать основной блок новых обязанностей.

Кого закон обязывает и кого нет

Отложенные обязанности 210-ФЗ адресованы не всем сайтам и не любому бизнесу, а нескольким узким категориям:

операторам связи (по Федеральному закону «О связи» № 126-ФЗ);
операторам по переводу денежных средств (ОПДС) — банкам, включая филиалы иностранных банков, и платёжным системам;
владельцам агрегаторов, то есть посреднических онлайн-платформ, которые сводят продавца и покупателя;
участникам системы Национального удостоверяющего центра (НУЦ): юридическим лицам и ИП с лицензией на криптографическую деятельность, разработчикам российских браузеров из отдельного перечня Правительства, органам власти при электронном взаимодействии с гражданами, а также, для случаев, которые определит Правительство отдельно, разработчикам и владельцам программ из реестра российского ПО.

Обычный интернет-магазин, продавец на маркетплейсе (не будучи его владельцем) или сайт, который просто принимает оплату через платёжный шлюз стороннего банка, в этот перечень не входит: закон не возлагает на такой бизнес прямых обязанностей. Стоит следить за контрагентами: новые обязанности банка-эквайера или оператора связи могут изменить условия уже действующих договоров.

Что уже действует с 26 июня 2026 года и что это не означает

Часть норм 210-ФЗ вступила в силу сразу, со дня опубликования (ч. 1 ст. 11 210-ФЗ), и действует уже сейчас. Из подтверждённого по первоисточнику: операторы связи обязаны расторгать, а не просто приостанавливать, договоры с иностранными абонентами и лицами без гражданства, в отношении которых не проведены проверочные мероприятия по ст. 44 и 45.1 закона «О связи» (ст. 8 210-ФЗ, правка ч. 7 ст. 5 закона № 303-ФЗ от 08.08.2024). По данным отраслевого обзора «Пепеляев Групп», в тот же день вступил в силу запрет для хостинг-провайдеров обслуживать владельцев заблокированных в России ресурсов, включая VPN-сервисы, и расширился перечень информации, доступ к которой ограничивается.

Это не тема данной статьи. Если ваш бизнес не относится к операторам связи, хостинг-провайдерам или лицам, чьи ресурсы заблокированы, эти нормы вас не касаются напрямую. Дальше — о том, что наступит позже и к чему нужно готовиться уже сейчас.

Что меняется для банков и платёжных систем с 1 сентября 2026 года

Раньше остальных отложенных норм в силу вступает статья 2 210-ФЗ целиком вместе с частью пункта 4 и пунктом 5 статьи 7 (ч. 2 ст. 11 210-ФЗ): с 1 сентября 2026 года создаётся единая система учёта платёжных карт. Оператор системы — оператор Национальной системы платёжных карт, пользователи — Банк России и операторы по переводу денежных средств.

С этой даты ОПДС, включая кредитные организации и филиалы иностранных банков, обязаны передавать в систему сведения о выданных и прекращённых картах, их видах и ИНН клиентов-физлиц. Если компания — банк или платёжная система, стоит заранее проверить, готов ли технически процесс передачи данных в систему.

Что вступает в силу 1 марта 2027 года и почему это главная дата закона

С 1 марта 2027 года вступает в силу самый крупный блок закона (ч. 3 ст. 11 210-ФЗ): статьи 1, 3, 6 и 9 целиком, а также отдельные пункты статей 4, 5 и 7.

Операторы связи. Статья 1 210-ФЗ дополняет закон «О связи» обязанностью операторов выявлять и передавать в ГИС «Антифрод» мошеннические номера и номера пострадавших, создаёт базу IMEI, вводит маркировку и самозапрет международных звонков (снять запрет можно будет только личным обращением в МФЦ), запрещает расторгать договор связи в первые 90 дней и устанавливает требования к виртуальным АТС и детским SIM-картам.

Операторы по переводу денежных средств. Пункты 1 и 2, подпункт «а» пункта 3 и пункт 6 статьи 7 210-ФЗ обязывают ОПДС применять сертифицированные средства защиты от вредоносного ПО в своём программном обеспечении, включая мобильное приложение и сайт, использовать сведения ГИС «Антифрод» при проверке операций и отказывать в операции при обнаружении такого воздействия. У ОПДС появляется право на 6-часовую приостановку повторной подозрительной операции. Если оператор нарушил эти требования и по факту хищения возбуждено уголовное дело, он обязан возместить клиенту-физлицу сумму перевода не позднее 30 дней после обращения; для операций, инициированных звонком или смс, обратиться нужно не позднее 10 рабочих дней.

Владельцы агрегаторов. Статья 3 210-ФЗ дополняет статью 41 закона «О защите прав потребителей» новой частью 3: владелец агрегатора обязан подключиться к ГИС «Антифрод» в случаях и порядке, которые установит Правительство РФ. На дату этой статьи, 13 июля 2026 года, соответствующее постановление ещё не опубликовано.

Институт Национального удостоверяющего центра. Статья 6 210-ФЗ вводит в закон «Об электронной подписи» новые статьи 13-1 и 14-1: с 1 марта 2027 года начинает работать сама инфраструктура НУЦ и сертификатов безопасности, кроме одного узкого вида сертификата, о котором ниже. Прямая обязанность предустанавливать сертификаты НУЦ с этой даты установлена для юридических лиц и ИП с лицензией на криптографическую деятельность, разработчиков российских браузеров из отдельного перечня Правительства и органов власти, ведущих электронное взаимодействие с гражданами (ч. 10-11 ст. 14-1 закона «Об электронной подписи»). Для остальных разработчиков и владельцев ПО из реестра российского ПО обязательность сертификата определит Правительство отдельным постановлением, которого на сегодня нет.

Что нужно успеть операторам по переводу денежных средств до 1 сентября 2027 года

Часть 4 статьи 11 210-ФЗ устанавливает ещё две отложенные обязанности с датой 1 сентября 2027 года. Во-первых, вводится лимит: не более 20 платёжных карт на одно физлицо совокупно по всем банкам (п. 1 ст. 4 210-ФЗ); Совет директоров Банка России вправе установить иной лимит. Перед выдачей карты ОПДС обязан свериться с единой системой учёта карт, созданной с 1 сентября 2026 года.

Во-вторых, частями 7 и 8 статьи 11 210-ФЗ установлен организационный срок: до 1 сентября 2027 года ОПДС обязан внести в договор с клиентом-физлицом условие о применении средств защиты от вредоносного ПО и о праве клиента дать или не дать согласие на их подключение, а также фактически запросить это согласие. Порядок такой: сама обязанность защищать ПО действует уже с 1 марта 2027 года, а обновить договоры и получить согласие клиентов нужно на полгода позже.

Когда обязателен последний вид сертификата НУЦ — с 1 января 2028 года

Из пяти видов сертификатов безопасности НУЦ, описанных в части 2 статьи 14-1 закона «Об электронной подписи», четыре действуют с 1 марта 2027 года вместе со всей статьёй 6 210-ФЗ. Более поздняя дата, 1 января 2028 года, установлена только для одного вида: сертификата, который содержит сведения об участниках электронного взаимодействия в корпоративной информационной системе и используется для их аутентификации (п. 5 ч. 2 ст. 14-1, ч. 5 ст. 11 210-ФЗ). Если организация не связана с корпоративными информационными системами такого рода, для неё актуальна дата 1 марта 2027 года, а не 1 января 2028 года.

Чем грозит неисполнение новых обязанностей

Сам текст 210-ФЗ не вносит изменений в Кодекс РФ об административных правонарушениях: в проверенных по первоисточнику статьях закона (1, 6, 8, 9, 10, 11) новых составов КоАП нет. Денежный механизм, который прямо устанавливает закон, — гражданско-правовое возмещение, а не штраф: оператор связи или ОПДС, нарушивший порядок работы с ГИС «Антифрод» или с защитой от вредоносного ПО, обязан возместить клиенту сумму перевода, совершённого без его согласия (ст. 7 п. 2 и ст. 9 210-ФЗ), при доказанном нарушении и наличии постановления о возбуждении уголовного дела.

Отдельно, в тот же день, подписан другой закон, № 199-ФЗ «О внесении изменений в Кодекс Российской Федерации об административных правонарушениях» (вступил в силу 07.07.2026, по данным «Парламентской газеты»). Это самостоятельный закон-спутник, а не поправки к 210-ФЗ: некоторые обзоры ошибочно связывают штрафы за нарушение правил авторизации именно с «Антифрод 2.0», но по первоисточнику это два разных нормативных акта. Конкретные суммы штрафов по 199-ФЗ мы в рамках этого материала по первоисточнику не проверяли и здесь не приводим: компаниям, которых касается 199-ФЗ, нужна отдельная консультация со сверкой текста.

Что сделать до 1 марта 2027 года

Определите статус компании: оператор связи, ОПДС, владелец агрегатора или участник системы НУЦ. Если ни одна категория не подходит, прямых обязанностей по 210-ФЗ нет, но стоит проверить договоры с банком-эквайером и оператором связи на новые условия.
Банкам и платёжным системам: проверить готовность передавать данные о картах в единую систему учёта к 1 сентября 2026 года, а к 1 марта 2027 года подготовить сертифицированные средства защиты от вредоносного ПО для мобильного приложения и сайта.
Операторам связи: заложить время на подключение к ГИС «Антифрод», создание базы IMEI и настройку маркировки международных звонков до 1 марта 2027 года.
Владельцам агрегаторов — не запускать интеграцию с ГИС «Антифрод» «на глаз»: дождаться постановления Правительства о порядке и случаях взаимодействия и заложить время на подключение до 1 марта 2027 года.
Организациям, которым сертификат НУЦ обязателен уже с 1 марта 2027 года (лицензиатам в сфере шифровальных средств, разработчикам браузеров из перечня Правительства, органам власти), подготовить документы для получения сертификата заранее.
Разработчикам и владельцам ПО из реестра российского ПО: выяснить, попадёт ли продукт под обязательный сертификат НУЦ, когда Правительство утвердит соответствующий перечень.
Банкам и платёжным системам — не откладывать до 1 сентября 2027 года обновление договоров с клиентами-физлицами, получение их согласия на подключение средств защиты и подготовку к лимиту в 20 карт на человека.
Назначьте ответственного за мониторинг постановлений Правительства РФ: порядок подключения агрегаторов к ГИС «Антифрод», случаи обязательности сертификата НУЦ для ПО из реестра и перечень организаций с бесплатным сертификатом пока не приняты.

Источники

Юристы бюро «Галифанов, Мальков и партнёры» консультируют по проверке документов и оценке рисков в связи с новыми требованиями 210-ФЗ; результат зависит от фактических обстоятельств компании. Связаться можно на сайте 1-tm.ru, по телефону 8 (800) 775-88-40 или по адресу law@1-tm.ru.

*Материал носит информационный характер и не является юридической консультацией. Сведения об услугах бюро в конце материала — информация о собственных услугах, размещённая на ресурсе бюро; бюро рассматривает её как информацию о собственных услугах на собственном ресурсе (п. 2 ч. 2 ст. 2 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе»), а не как рекламу, требующую маркировки. При републикации на сторонних площадках вопрос маркировки решается по правилам такой площадки.*

28 июля 2026 в 15:19

автор статьи: