С 1 сентября программы, базы данных и оборудование, используемые для государственных информационных систем, должны находиться в России. В договоре с поставщиком потребуется определить сроки восстановления после сбоев, порядок резервного копирования и возврата данных. О компьютерной атаке или нарушении защиты поставщик сообщает сразу, а сведения о принятых мерах направляет не позднее трёх часов. Передача закрытой информации соисполнителю допускается только с письменного согласия государственного заказчика.