«Антифрод 2.0» (210-ФЗ): что и когда изменится для бизнеса
26 июня 2026 года президент подписал Федеральный закон № 210-ФЗ — второй пакет мер против кибермошенников, известный как «Антифрод 2.0». Закон вступает в силу поэтапно: с даты опубликования, с 1 сентября 2026 года, с 1 марта 2027 года и с 1 января 2028 года. Большая часть норм адресована банкам и операторам связи, но несколько касаются сайтов, приложений и интернет-магазинов. Собрали их в одном обзоре.
Что вошло в закон
По данным Право.ru:
- лимит на банковские карты — не более пяти в одном банке и 20 в сумме у одного человека;
- центральная база идентификаторов устройств (IMEI);
- Роскомнадзор получает право без решения суда блокировать мошеннические сайты, вредоносное ПО и предложения о продаже несертифицированных средств связи;
- самостоятельная блокировка звонков из-за рубежа по выбору абонента;
- в закон об электронной подписи добавлены ключи идентификации и аутентификации, а Национальный удостоверяющий центр (НУЦ) будет выдавать сертификаты безопасности сайтам, приложениям и разработчикам российского ПО;
- банки и операторы компенсируют клиенту перевод, если проигнорировали сигнал ГИС «Антифрод» или данные о вредоносном ПО, — при наличии постановления о возбуждении уголовного дела.
Что не вошло
По данным Право.ru и «Хакера», из итогового текста исключили:
- обязательное подтверждение значимых действий (покупок, переводов, регистраций) через SMS и мессенджер MAX;
- обязанность регистрироваться на значимых интернет-ресурсах только через российскую электронную почту;
- автоматический запрет звонков из-за рубежа — абонент решает сам;
- обязательную привязку ИНН при открытии счетов.
Для владельцев сайтов это важно: регистрацию через иностранную почту закон не запретил. При этом с 7 июля 2026 года действует отдельная статья 13.55 КоАП о способах авторизации пользователей.
Сроки вступления в силу
| Дата | Что вступает |
|---|---|
| 26 июня 2026 | Закон, кроме норм с особыми сроками; внесудебная блокировка мошеннических сайтов |
| 1 сентября 2026 | Единая система учёта платёжных карт; по данным Право.ru — и нормы о SIM-картах и базе IMEI |
| 1 марта 2027 | Обмен с ГИС «Антифрод» для банков и операторов, компенсации по переводам |
| 1 сентября 2027 | Лимит 20 платёжных карт на человека по всем банкам |
| 1 января 2028 | Нормы об электронной подписи, встраивание сертификатов НУЦ в браузеры и приложения |
Сроки приведены по публикациям Право.ru и разбору статьи 11 закона. Для базы IMEI источники называют разные даты — сентябрь 2026 года и 1 марта 2027 года, поэтому дату конкретной нормы сверяйте с текстом закона на портале правовой информации.
Что это значит для сайтов и приложений
Внесудебная блокировка. Роскомнадзор может блокировать мошеннические сайты без суда. Добросовестному бизнесу важно не оказаться «похожим»: фишинговые копии вашего сайта, страницы оплаты на сторонних доменах, сомнительные партнёрские лендинги. Если мошенники копируют ваш бренд, полезно отслеживать такие домены и сообщать о них.
Сертификаты НУЦ. С 1 января 2028 года разработчики браузеров и приложений обязаны встраивать сертификаты безопасности Национального удостоверяющего центра. Для владельцев сайтов это сигнал: российские сертификаты станут частью экосистемы, и для части аудитории сайт с таким сертификатом будет открываться без предупреждений. Как это соотнесётся с обычными TLS-сертификатами, станет понятно из подзаконных актов.
Вредоносное ПО и платежи. Банки обязаны реагировать на сведения о вредоносном ПО на устройстве клиента, иначе компенсируют перевод. Интернет-магазину стоит быть готовым к тому, что часть платежей будет отклоняться банками по таким сигналам, и иметь понятное сообщение для покупателя.
Что сделать сейчас
- Проверьте, где у вас принимается оплата: только на вашем домене или на сторонних страницах. Чем меньше «чужих» доменов в пути оплаты, тем меньше риск путаницы с фишингом.
- Настройте мониторинг похожих доменов и копий сайта.
- Проверьте способы авторизации на сайте: статья 13.55 КоАП действует с 7 июля 2026 года.
- Подготовьте текст для покупателей на случай, если банк отклонит платёж из-за подозрения на мошенничество.
- Следите за требованиями к сертификатам НУЦ к 2028 году.
Наше мнение
Мы считаем, что для онлайн-бизнеса закон скорее полезен: меньше фишинговых копий, больше ответственности у банков и операторов. Прямых новых обязанностей для обычного сайта он почти не создаёт — самые спорные идеи вроде обязательной российской почты для регистрации в итоговый текст не вошли. Но внесудебные блокировки требуют аккуратности: путь оплаты и партнёрские страницы стоит держать прозрачными.
Что дальше: «Антифрод 3.0»
В октябре 2026 года Минцифры опубликовало третий пакет мер. В нём — хранение владельцами сайтов сведений о регистрации и авторизации пользователей три года, передача сведений о согласиях на обработку ПДн в ЕСИА, ограничения на продажу SIM-карт. Это проект, предполагаемый срок — 1 марта 2028 года. Вместе с нормами 210-ФЗ он показывает направление: интернет-ресурсы всё больше вовлекают в систему противодействия мошенничеству.
Материалы для проверки
Если нужна реализация
Состав работ зависит от текущего проекта и подтверждённой причины. Можно обсудить диагностику или разработку подходящего решения.
Вопросы и ответы
Нужно ли теперь запрещать регистрацию на сайте через иностранную почту?
Закон № 210-ФЗ такой обязанности не ввёл — норму исключили из итогового текста. Отдельно с 7 июля 2026 года действует статья 13.55 КоАП о способах авторизации пользователей.
Когда начнут действовать компенсации по мошенническим переводам?
По данным Право.ru, нормы о компенсациях по переводам заработают с марта 2027 года.
Что такое сертификаты НУЦ и нужны ли они моему сайту?
Национальный удостоверяющий центр будет выдавать сертификаты безопасности сайтам и приложениям. Обязанность встраивать их в браузеры и приложения вступит в силу с 1 января 2028 года. Требования к сайтам уточнят подзаконные акты.
Может ли Роскомнадзор заблокировать мой сайт без суда?
Внесудебная блокировка предусмотрена для мошеннических сайтов, вредоносного ПО и предложений о продаже несертифицированных средств связи. Добросовестному сайту важно не давать поводов для путаницы с мошенниками.
Касается ли лимит карт бизнеса?
Лимит касается платёжных карт у одного физлица: не более пяти в одном банке и 20 в сумме, общий лимит 20 карт — с 1 сентября 2027 года.