ГОСТы и сертификация
для IT-проекта

Для программы, собранной вайбкодингом, ГОСТ обычно не обязателен: национальные стандарты применяются добровольно. Обязательным стандарт становится в трёх случаях — если проект сам заявил о соответствии, если стандарт указан в договоре или техническом задании и если его требует закон для конкретной сферы. Крупные и государственные заказчики пишут стандарты в договор почти всегда. В главе разобраны правила применения стандартов, ГОСТы, которые встречаются в ИТ-договорах, и формы подтверждения соответствия.

Законы: 162-ФЗ ст. 3, 26 · 184-ФЗ ст. 20, 21 · 152-ФЗ ст. 19 ч. 2
Уровень: Базовый
Связанные главы: 15.3 Госзакупки · 9.2 КИИ · 14.3 Заказная разработка
Зачем это знать: Чтобы понимать, когда ГОСТ обязателен, и не обещать соответствия, которого нет

§1Когда ГОСТ обязателен

Национальные стандарты в России — документы добровольного применения. Это прямо записано в законе о стандартизации.

162-ФЗ «О стандартизации в Российской Федерации»ст. 26, ч. 1, 3ред. от 04.08.2026
1. Документы национальной системы стандартизации применяются на добровольной основе одинаковым образом и в равной мере независимо от страны и (или) места происхождения продукции (товаров, работ, услуг), если иное не установлено законодательством Российской Федерации.
[…]
3. Применение национального стандарта является обязательным для изготовителя и (или) исполнителя в случае публичного заявления о соответствии продукции национальному стандарту, в том числе в случае применения обозначения национального стандарта в маркировке, в эксплуатационной или иной документации, и (или) маркировки продукции знаком национальной системы стандартизации.

Заявил самПубличное заявление

«Разработано по ГОСТ Р 56939» на сайте или в презентации
Номер ГОСТа в руководстве пользователя
С этого момента стандарт обязателен (ч. 3 ст. 26)

Записал в договорУсловие договора

«ТЗ по ГОСТ 34.602-2020», «документация по ГОСТ 19»
Несоответствие — недостаток работы (ст. 721, 723 ГК)
Типично для госзаказчиков и крупных компаний

Требует законСпециальные требования

Средства защиты информации с оценкой соответствия
Значимые объекты КИИ
Государственные информационные системы

Отсюда практическое правило для вайбкодера: не писать «соответствует ГОСТ» в описании продукта, если соответствие не проверено. Такое заявление делает стандарт обязательным, а его нарушение — недостоверной рекламой и недостатком услуги.

§2ГОСТы, которые встречаются в ИТ-договорах

Стандарт	О чём	Где встречается
ГОСТ 34.602-2020	Техническое задание на создание автоматизированной системы: разделы, требования, порядок приёмки	Госзаказчики, крупные компании, внедрение корпоративных систем
ГОСТ Р 59795-2021	Требования к содержанию документов на автоматизированные системы	Комплект документации при сдаче системы
ГОСТ 19.xxx (ЕСПД)	Единая система программной документации: описание программы, руководство оператора, программа и методика испытаний	Регистрация программ, реестр ПО, заказчики с требованием ЕСПД
ГОСТ Р 56939-2024	Разработка безопасного программного обеспечения: процессы, анализ кода, управление уязвимостями	Разработчики средств защиты для сертификации ФСТЭК, поставщики КИИ, банки
ГОСТ Р ИСО/МЭК 25010-2015	Модели качества программного продукта: функциональность, надёжность, удобство, безопасность	Требования к качеству в ТЗ, критерии приёмки

Тексты национальных стандартов публикует Росстандарт; актуальность номера и редакции проверяют по его сайту перед тем, как вписывать стандарт в договор.

§3Сертификация и декларирование

Подтверждение соответствия — документальное удостоверение того, что продукт отвечает требованиям. Закон о техническом регулировании различает добровольную и обязательную форму.

184-ФЗ «О техническом регулировании»ст. 20, ч. 1–3ред. от 02.05.2026
1. Подтверждение соответствия на территории Российской Федерации может носить добровольный или обязательный характер.
2. Добровольное подтверждение соответствия осуществляется в форме добровольной сертификации.
3. Обязательное подтверждение соответствия осуществляется в формах:
принятия декларации о соответствии (далее - декларирование соответствия);
обязательной сертификации.

Добровольная сертификация

По инициативе разработчика, по договору с органом по сертификации (ст. 21)
Системы добровольной сертификации создают компании и объединения
Нужна для маркетинга и тендеров, где её требуют

Обязательная оценка соответствия

Для обычного программного продукта не требуется
Средства защиты информации — сертификация ФСТЭК или ФСБ, если их применение обязательно
Оборудование с программами — по техническим регламентам

Закон о персональных данных называет среди мер защиты применение средств защиты информации, прошедших оценку соответствия (п. 3 ч. 2 ст. 19 закона 152-ФЗ). Для проекта это означает: если модель угроз требует средства защиты, выбирают сертифицированные — например, сертифицированный межсетевой экран или средство криптографической защиты у российского облачного провайдера (глава 3.5).

§4Разбор: ТЗ для школы по ГОСТ 34

СлучайШкола заказывает у «КурсБлиновской» доработку под свои курсы. В договоре: «Работы выполняются в соответствии с ТЗ, разработанным по ГОСТ 34.602-2020, документация — по ГОСТ Р 59795-2021»

Что это значит

Стандарты стали обязательными условиями договора
При приёмке школа проверяет наличие разделов и документов
Отсутствие программы и методики испытаний — недостаток работы

Что сделать

Составить ТЗ по структуре ГОСТа и согласовать его до начала работ
Сдать комплект документации по ГОСТ Р 59795
Не писать в коммерческом предложении о ГОСТах, которые не применялись

§5Частые ошибки

«ГОСТ обязателен для любого софта»Стандарты добровольны, кроме случаев из ч. 3 ст. 26 и специальных требований.

Написать «по ГОСТ» для красотыПубличное заявление делает стандарт обязательным.

Подписать договор со ссылкой на ГОСТ, не открыв егоТребования стандарта становятся условиями приёмки.

Сослаться на отменённую редакциюНомер и год стандарта сверяют на сайте Росстандарта.

Путать добровольную сертификацию с обязательнойДля обычной программы обязательной сертификации нет.

§6Проверьте себя

Что устанавливает ч. 1 ст. 26 закона 162-ФЗ о применении стандартов?
В каких трёх случаях стандарт становится обязательным для разработчика?
Какие стандарты регулируют ТЗ и документацию на автоматизированную систему? Какой — безопасную разработку?
Чем добровольная сертификация отличается от обязательного подтверждения соответствия?
Когда проекту, обрабатывающему персональные данные, нужны средства защиты с оценкой соответствия?

Стандарты162-ФЗ ст. 26 — добровольноч. 3 — заявил, значит обязанв договоре — обязателенсверять редакцию

ИТ-ГОСТы34.602-2020 — ТЗР 59795-2021 — документы19.xxx — ЕСПДР 56939-2024 — безопасная разработка

Соответствие184-ФЗ ст. 20 — формыдобровольная сертификацияСЗИ — оценка соответствия152-ФЗ ст. 19 ч. 2

Справочник «Вайбкодинг в России» · модуль 18 · глава 18.1Макаров Максим Николаевич