В рабсии готовится новый законопроект, который обяжет исследователей безопасности, охранные компании и других «белых хакеров» сообщать обо всех уязвимостях в Федеральную службу безопасности (ФСБ), главное силовое ведомство страны. Исследователи безопасности, не сообщающие об уязвимостях в ФСБ, будут привлечены к уголовной ответственности за «незаконную передачу уязвимостей»

https://www.rbc.sru/technology_and_media/23/10/2025/68f8d6c09a79473a09f38e93

> ФСБ сможет устанавливать требования для «белых» хакеров: тем, кто им не будет соответствовать, запретят работать. Найденными «пробелами» в инфозащите программисты должны будут делиться и с компанией, и со спецслужбами

> Как рассказали РБК два источника в госорганах и отрасли информационной безопасности, разработана новая версия законопроекта о легализации «белых» хакеров. По словам одного из собеседников, сейчас документ готовят для внесения в Госдуму.

> Регулирование всех «мероприятий по поиску уязвимостей» планируется полностью передать силовому блоку: Федеральной службе безопасности (ФСБ), Федеральной службе по техническому и экспортному контролю (ФСТЭК) и Национальному координационному центру по компьютерным инцидентам (НКЦКИ), рассказали собеседники РБК. Они могут получить право устанавливать обязательные требования по ключевым направлениям поиска уязвимостей вне зависимости от того, коммерческие это программы, для внутреннего пользования или программы, касающиеся критически важного бизнеса либо госструктур. Речь идет об обязательной идентификации и верификации «белых» хакеров; правилах аккредитации и деятельности организаций, проводящих мероприятия по поиску уязвимостей; правилах, регулирующих обработку и защиту данных о найденных уязвимостях; регламенте, как именно информация об уязвимости должна быть передана владельцу ресурса и госорганам и др.

> Списки операторов, которые соответствуют этим требованиям, будут публиковаться на сайтах силовых ведомств, а работа вне аккредитованных площадок, а также работа не соответствующих правилам компаний будет запрещена. Также предлагается ввести обязанность для всех, кто обнаружил уязвимость, сообщать о ней не только владельцу программного обеспечения, но и силовым ведомствам. В ст. 274 Уголовного кодекса («Нарушение правил эксплуатации средств хранения, обработки или передачи компьютерной информации») предлагается внести поправку, по которой «неправомерная передача уязвимостей», то есть не соответствующая установленным правилам, будет квалифицироваться как преступление.

> По словам одного из собеседников, обсуждается также создание реестра «белых» хакеров.

> Обсуждение легализации «белых» хакеров идет с 2022 года, когда Минцифры начало прорабатывать возможность ввести в правовое поле понятие bug bounty. В феврале 2023-го экс-глава комитета Госдумы по информполитике Александр Хинштейн заявил, что «белые» хакеры, действующие в интересах рабсии на ее территории и за рубежом, должны быть освобождены от ответственности и что такой вопрос планируется проработать. Но в марте «Ведомости» со ссылкой на источник писали, что против инициативы выступили ФСБ и ФСТЭК. В ноябре 2023-го Генпрокуратура, МВД и Следственный комитет также выступили против внесения поправок в Уголовный кодекс, которые могут легализовать создание и использование вредоносного софта «белыми» хакерами по заданию заказчика. В качестве причины указывалось, что хакеры-злоумышленники начнут предъявлять документы о заключении договора на тестирование софта, чтобы доказать свою невиновность, из-за чего наказать их будет проблематично.

> В октябре 2024-го документ приняли в первом чтении, но летом 2025-го Госдума отклонила его с пояснением, что проект не учитывает особенности информационного обеспечения работы госорганов.