Защита информации: основные изменения III квартала 2026 года и задачи для организаций

В этом обзоре собраны изменения для операторов государственных информационных систем, субъектов критической информационной инфраструктуры, операторов персональных данных, поставщиков инфраструктуры и IT-подрядчиков. Нормативная часть дополнена пояснениями: что проверить внутри организации, какие материалы подготовить и с чего начать работу.

Особое внимание стоит уделить положениям, которые начнут действовать позднее. Подготовка может потребовать пересмотра договоров, изменения технических решений и подтверждения того, как процессы защиты информации выполняются на практике.

Основные изменения в нормативном регулировании защиты информации (III квартал 2026 года)

Сводка ключевых нормативных актов, принятых или вступивших в силу в июле–сентябре 2026 года в сфере защиты информации.

На контроле: проект приказа ФСТЭК о новых мерах защиты персональных данных в ИСПДн (regulation.gov.ru, проект № 169583 (https://regulation.gov.ru/projects/169583/)) прошёл общественное обсуждение в июле–августе 2026 года, но на момент подготовки статьи не опубликован в реестре Минюста; продолжает действовать приказ ФСТЭК № 21 (http://publication.pravo.gov.ru/document/0001202007100002) (в редакции приказа № 68).

Как определить, какие изменения относятся к вашей организации

Начните со статуса информационных систем и характера выполняемых работ. Операторам государственных информационных систем особенно важны положения о внешней инфраструктуре, взаимодействии с ГосСОПКА и требованиях к защите информации. Субъектам КИИ — порядок передачи сведений об инцидентах и подготовка к оценке показателей для значимых объектов. Подрядчикам — условия предоставления доступа к системам и данным заказчиков.

Для операторов персональных данных отдельный вопрос — трансграничная передача. Для лицензиатов ФСТЭК — требования к оборудованию, необходимому для выполнения лицензируемых работ.

Одна организация может относиться сразу к нескольким категориям. Применимость требований следует определять по каждой системе и виду деятельности с учётом состава информации, статуса заказчика и фактической схемы доступа.

1. Единые форматы сведений о компьютерных атаках и инцидентах в ГосСОПКА

Краткая информация об изменениях:

С 14 июля 2026 года НКЦКИ утвердил приказ № 2, который унифицирует представление в ГосСОПКА сведений о компьютерных атаках и инцидентах и задаёт обязательный состав технических параметров уведомлений. Дополнительно опубликованы методические рекомендации «Исходные данные для определения типа компьютерной атаки».

Суть новых требований:

• Единые форматы передачи информации о компьютерных атаках и компьютерных инцидентах в ГосСОПКА.
• Перечень технических параметров, которые необходимо указывать в уведомлениях.
• При направлении сведений в НКЦКИ организации должны передавать максимум имеющихся материалов; отсутствие части данных не освобождает от передачи остальных.

Кого касается:

Субъекты критической информационной инфраструктуры (КИИ); аккредитованные центры ГосСОПКА; органы и организации, на которых законом возложены обязанности по взаимодействию с ГосСОПКА (в том числе в рамках 187-ФЗ (http://publication.pravo.gov.ru/document/0001201708010020)).

Ссылка на нормативный акт:

Приказ НКЦКИ от 14.07.2026 № 2 (https://www.cert.gov.ru/materialy/organizatsiya-vzaimodeystviya/prikaz-nktski-ot-14-iyulya-2026-goda-2-o-sovershenstvovanii-deyatelnosti-po-organizatsii-vzaimodeyst/) (официальная публикация и файлы на сайте НКЦКИ); методические рекомендации — там же.

Что проверить в организации

Сопоставьте действующий порядок реагирования с составом сведений, необходимых для уведомления. Для каждого параметра определите источник: журналы событий, средства защиты, сетевое оборудование, сведения от администраторов или подрядчиков.

Затем проверьте сам процесс подготовки сообщения. Кто фиксирует время обнаружения, собирает технические материалы, согласовывает отправку и передаёт дополнительные сведения? Если обязанности распределены между несколькими подразделениями, полезно провести учебный разбор инцидента и оценить время прохождения информации.

Результатом должна стать рабочая схема: какие данные собираются, где они находятся, кто имеет к ним доступ и кто отвечает за передачу сообщения.

Готовность к уведомлению лучше проверять на конкретном сценарии. Например, обнаружена подозрительная передача данных с сервера. Кто получает сигнал и проводит первичный аудит инцедента, где берёт журналы, кто определяет затронутую систему и отправляет сообщение? Такой разбор показывает, каких сведений не хватает и на каком согласовании теряется время. Важно также проверить замещение: процесс должен работать, когда основной сотрудник находится в отпуске или недоступен.

2. Перечень иностранных государств с «адекватной защитой» персональных данных

Краткая информация об изменениях:

26 июля 2026 года опубликован федеральный закон № 265-ФЗ, изменивший порядок формирования перечня иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных, и связанные положения о трансграничной передаче ПДн.

Суть новых требований:

• В перечень включаются государства, чьё регулирование и меры по защите, конфиденциальности и безопасности ПДн соответствуют положениям Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных.
• Закон вступил в силу с даты официального опубликования (26.07.2026), за исключением отдельных положений (в частности, нормы о платформе ИС города Москвы — с 01.09.2027).

Кого касается:

Операторы персональных данных, осуществляющие или планирующие трансграничную передачу ПДн; организации, использующие зарубежные облачные и иные сервисы обработки ПДн.

Ссылка на нормативный акт:

Федеральный закон от 26.07.2026 № 265-ФЗ (http://publication.pravo.gov.ru/Document/View/0001202607260024); текст на сайте Президента РФ (http://kremlin.ru/acts/bank/53487).

С чего начать проверку трансграничной передачи

Составьте перечень внешних сервисов, в которые могут попадать персональные данные: CRM, платформы рассылок, системы аналитики, сервисы поддержки и файловые хранилища. Для каждого зафиксируйте получателя, состав данных, назначение обработки и страны, в которых происходит обработка или предоставляется доступ.

В проверке должны участвовать владельцы бизнес-процессов. Часть сервисов может использоваться отдельными подразделениями и отсутствовать в централизованном перечне IT-систем.

На основе собранных сведений юридическая служба и ответственный за обработку персональных данных смогут проверить применимые условия передачи и необходимые документы.

3. ГИС, иные информационные системы госорганов и обязательное взаимодействие с ГосСОПКА

Краткая информация об изменениях:

Федеральный закон № 568-ФЗ от 29.12.2025 вступил в силу 1 сентября 2026 года. Закон существенно доработал ст. 13 и смежные нормы 149-ФЗ «Об информации, информационных технологиях и о защите информации».

Суть новых требований:

• Закреплены «иные информационные системы государственных органов» — ИС, создаваемые для обеспечения деятельности госорганов, но не являющиеся ГИС.
• Допускается использование технических средств, ПО и баз данных, доступ к которым предоставляется через информационно-телекоммуникационные сети (в том числе облачные модели), при соблюдении требований о защите информации и порядка, установленного Правительством РФ.
• Операторы ГИС, иных ИС госорганов, государственных унитарных предприятий и государственных учреждений обязаны обеспечивать взаимодействие с ГосСОПКА.
• Требования о защите информации и криптографической защите распространены на соответствующие категории систем и связанную инфраструктуру.

Кого касается:

Федеральные и региональные органы государственной власти; ГУП и госучреждения; операторы федеральных и региональных ГИС и иных ИС госорганов.

Ссылка на нормативный акт:

Федеральный закон от 29.12.2025 № 568-ФЗ (http://www.publication.pravo.gov.ru/document/0001202512290056); текст на сайте Президента РФ (http://kremlin.ru/acts/bank/52812).

Почему важна инвентаризация систем

Для дальнейшего определения применимых требований потребуется актуальный перечень систем: их назначение, правовое основание создания, оператор, состав информации и используемая инфраструктура. Внутреннего названия системы для такой оценки недостаточно.

В проверку стоит включить вспомогательные компоненты: сервисы администрирования, интеграции, удалённый доступ, внешние хранилища и средства резервного копирования. Это поможет установить фактические границы обработки информации и распределить ответственность между оператором, IT-службой и исполнителями.

Определить применимые требования и проверить, как они выполняются в системах, поможет аудит информационной безопасности корпоративных систем. Специалисты МКСКОМ проверят документы, доступы и инфраструктуру, выявят слабые места и подготовят рекомендации с приоритетами дальнейших работ.

4. Правила использования облачных электронных сервисов при создании и эксплуатации ГИС

Краткая информация об изменениях:

Постановление Правительства РФ от 18.08.2026 № 1024 утвердило правила использования технических средств, программ и баз данных, доступ к которым предоставляется через сети, для создания и эксплуатации ГИС и иных ИС госорганов. Документ вступил в силу 1 сентября 2026 года.

Суть новых требований:

• Все компоненты электронных сервисов участвующих в обеспечении создания и эксплуатации государственных информационных систем и иных информационных систем  должны размещаться на территории Российской Федерации.
• Уровень защищённости и доступности (отказоустойчивости) электронного сервиса не должен быть ниже требований к самой ГИС / иной ИС, в которой обрабатывается информация ограниченного доступа.
• При сбоях и нарушениях защиты информации в электронном сервисе стороны обязаны незамедлительно уведомлять друг друга; поставщик сервиса направляет пользователю сведения о мерах устранения не позднее 3 часов с момента выявления инцидента (если регламентом не установлен иной срок).

Кого касается:

Госорганы — пользователи электронных сервисов; поставщики облачных и иных удалённых сервисов (в том числе коммерческие организации и ИП), участвующие в создании и эксплуатации ГИС и иных ИС госорганов.

Ссылка на нормативный акт:

Постановление Правительства РФ от 18.08.2026 № 1024 (http://publication.pravo.gov.ru/document/0001202608200048).

Что обсудить с поставщиком сервиса

Проверку облачной инфраструктуры удобно начинать со схемы размещения компонентов и распределения ответственности. Уточните, где находятся основные данные, резервные копии и журналы, как организовано администрирование и какие сведения поставщик сможет предоставить при инциденте.

Сопоставьте техническую схему с договором и эксплуатационными регламентами. Проверьте контакты сторон, порядок уведомления, доступные каналы связи и действия при недоступности основного канала.

Отдельный вопрос — подтверждение восстановления. Важно понимать, кто проверяет резервные копии, как фиксируются результаты и какие действия потребуются от заказчика при восстановлении сервиса.

При выборе облачного сервиса стоит пройти по всей цепочке эксплуатации. Кто управляет учётными записями администраторов, кто хранит журналы, кто проверяет восстановление из резервных копий? Отдельно полезно разобрать инцидент на стороне провайдера: какую информацию получит заказчик и хватит ли её для собственных действий. Эти вопросы проще решить до подключения сервиса, когда ещё можно скорректировать договор, настройки и порядок взаимодействия.

5. Аттестация объектов информатизации: пентест и периодический контроль

Краткая информация об изменениях:

Приказ ФСТЭК России от 27.02.2026 № 60 (опубликован 25.06.2026) внёс изменения в порядок аттестации объектов информатизации (приказ ФСТЭК № 77). Приказ действует с 1 сентября 2026 года.

Суть новых требований:

• Периодический контроль уровня защищённости включает анализ уязвимостей и тестирование на проникновение по методикам ФСТЭК (с оговорёнными исключениями, например при защищённых каналах связи с сертифицированными СКЗИ и классе защищённости ниже второго).
• Аттестат соответствия выдаётся на весь срок эксплуатации объекта; владелец обязан поддерживать защищённость в соответствии с аттестатом на протяжении эксплуатации.
• Уточнены состав объектов аттестации и ссылки на актуальные требования к защите ГИС (приказ ФСТЭК № 117).

Кого касается:

Владельцы аттестуемых объектов информатизации (государственные и муниципальные ИС, в том числе ИСПДн; отдельные категории промышленных и иных систем по перечню приказа № 77); организации с лицензией ФСТЭК на аттестационные испытания.

Ссылка на нормативный акт:

Приказ ФСТЭК России от 27.02.2026 № 60 (http://publication.pravo.gov.ru/document/0001202606250029).

Как организовать контроль в процессе эксплуатации

Сопоставьте текущее состояние объекта с его документацией: состав оборудования и программного обеспечения, подключения, настройки средств защиты и правила доступа. Зафиксируйте изменения, которые произошли после аттестации, и определите порядок оценки их влияния на защищённость.

При планировании анализа уязвимостей и тестирования на проникновение заранее согласуйте границы работ, допустимые методы, время проведения и порядок остановки проверки. Для систем, от которых зависит непрерывность деятельности, необходимо учитывать эксплуатационные ограничения.

Результаты проверки должны переходить в задачи: с ответственными, сроками и последующим подтверждением устранения обнаруженных проблем.

После аттестации система продолжает развиваться: появляются интеграции, обновляется программное обеспечение, подключаются новые исполнители. Полезно встроить оценку влияния на ИБ в согласование этих изменений. Тогда у владельца системы сохраняется понятная история: что изменили, как проверили последствия и какие документы обновили. По найденным уязвимостям также нужен завершённый цикл работы — от назначения ответственного до проверки исправления.

6. Обновлённые требования ФСТЭК к защите информации в ГИС

Краткая информация об изменениях:

Приказ ФСТЭК России от 08.05.2026 № 137 изменил требования о защите информации в ГИС и иных ИС госорганов, ГУП и госучреждений (базовый документ — приказ ФСТЭК № 117). Приказ вступил в силу 1 сентября 2026 года (отдельные положения — с 1 марта 2027 года).

Суть новых требований:

• Расширена область применения требований на компоненты информационно-телекоммуникационной инфраструктуры, в том числе при использовании удалённых технических средств, ПО и баз данных.
• Показатель Пзи заменён на Узи (уровень зрелости процессов защиты информации); уточнены периодичность расчёта показателя защищённости Kзи и порядок оценки Узи.
• С 1 марта 2027 года подрядные организации получают доступ к информационным системам, содержащейся в них информации, и (или) передаче им информации из данных систем после проведения расчёта и оценки показателя уровня зрелости и далее не реже одного раза в два года. Предварительно оценить состояние процессов защиты информации поможет калькулятор уровня зрелости ИБ МКСКОМ.
• Ужесточены требования к идентификации и аутентификации (переход к усиленной многофакторной аутентификации в части изменений, вступающих с 01.03.2027).
• Сохранены и развиты меры по защите при использовании искусственного интеллекта в информационных системах.

Кого касается:

Операторы (обладатели информации) федеральных и региональных ГИС; иных ИС госорганов, ГУП и госучреждений; подрядчики, обеспечивающие создание и эксплуатацию таких систем.

Ссылка на нормативный акт:

Приказ ФСТЭК России от 08.05.2026 № 137 (http://publication.pravo.gov.ru/document/0001202608110006); базовые требования — Приказ ФСТЭК № 117 (https://fstec.ru/dokumenty/vse-dokumenty/spetsialnye-normativnye-dokumenty/trebovaniya-utverzhdeny-prikazom-fstek-rossii-ot-11-aprelya-2025-g-n-117).

Как подготовиться заказчику и подрядчику

Заказчику полезно составить перечень подрядных организаций и определить, к каким системам и данным они получают доступ. Затем — согласовать состав результатов оценки, подтверждающие материалы и порядок их рассмотрения перед предоставлением доступа.

Подрядчику стоит начать со сбора сведений о собственных процессах защиты информации: регламентов, назначений ответственных, записей о выполненных проверках, обучении и устранении выявленных недостатков. Это позволит сопоставить установленный порядок работы с его фактическим выполнением.

Для предварительной самооценки можно использовать калькулятор уровня зрелости защиты информации МКСКОМ. На странице инструмента предлагается ответить на вопросы, получить профиль зрелости по направлениям и список дальнейших действий. Такой результат поможет определить вопросы для подробного разбора и подготовки подтверждающих материалов.

Результат предварительной самооценки не следует автоматически считать подтверждением выполнения обязательных требований.

При подготовке к оценке зрелости стоит сразу договариваться, чем подтверждается каждый ответ. Если установлен пересмотр прав доступа, нужны сведения о том, когда его проводили, кто участвовал и что изменили по результатам. То же относится к обучению, реагированию и контролю подрядчиков. Такая работа помогает заранее обнаружить процессы, которые описаны в документах, но выполняются нерегулярно или не оставляют записей, позволяющих подтвердить результат.

7. Порядок взаимодействия операторов ГИС с ГосСОПКА и сроки уведомления об инцидентах

Краткая информация об изменениях:

Приказ ФСБ России от 06.08.2026 № 297 утвердил порядок взаимодействия операторов ГИС, иных ИС госорганов, ГУП и госучреждений с ГосСОПКА через НКЦКИ, включая информирование о компьютерных инцидентах с неправомерной передачей информации. Приказ вступил в силу 1 сентября 2026 года.

Суть новых требований:

• Взаимодействие с ГосСОПКА осуществляется через техническую инфраструктуру НКЦКИ (личный кабинет, установленные форматы обмена).
• Операторы направляют сведения о компьютерных инцидентах, повлекших неправомерную передачу содержащейся в системах информации, не позднее 24 часов с момента обнаружения.
• НКЦКИ информирует операторов о готовящихся атаках и признаках инцидентов; получив такие сведения, оператор отчитывается о мерах предупреждения также в течение 24 часов.

Кого касается:

Операторы федеральных и региональных ГИС; иных ИС госорганов; ГУП и госучреждений, на которых 568-ФЗ возложил обязанность взаимодействия с ГосСОПКА.

Ссылка на нормативный акт:

Приказ ФСБ России от 06.08.2026 № 297 (http://publication.pravo.gov.ru/document/0001202608210010).

Как связать обмен сведениями с реагированием

Порядок взаимодействия должен учитывать оба направления: исходящие сообщения об инцидентах и поступающие предупреждения. Определите, кто принимает сведения, оценивает их применимость к инфраструктуре и фиксирует выполненные действия.

Проверьте доступность необходимых учётных записей и каналов связи, а также порядок замещения ответственных. При участии внешней службы сопровождения важно установить, какую информацию она передаёт оператору и в какой последовательности выполняются действия сторон.

Практический результат — единая схема реагирования с контактами, источниками технических данных и точками фиксации времени. Она должна быть согласована с работой ИБ, администраторов и владельцев систем.

8. Криптографическая защита ГИС и внешней инфраструктуры (облако, каналы связи)

Краткая информация об изменениях:

Приказ ФСБ России от 22.08.2026 № 321 утвердил новую редакцию требований о защите информации в ГИС и иных ИС госорганов с использованием СКЗИ, распространив их на технические средства, ПО и базы данных, используемые при создании и эксплуатации таких систем, но не входящие в их состав. Приказ заменил приказ ФСБ № 117 от 18.03.2025 и действует с 11 сентября 2026 года.

Суть новых требований:

• Сертифицированное шифрование требуется не только для самой ГИС, но и для внешних подключаемых сервисов, баз данных и каналов связи в защищаемом контуре (включая каналы между серверами в одном дата-центре).
• Требования распространяются на инфраструктуру, обеспечивающую работу ГИС, в том числе облачные и иные удалённые ресурсы, если они используются для обработки защищаемой информации.

Кого касается:

Операторы ГИС, иных ИС госорганов, ГУП и госучреждений; поставщики облачной и телекоммуникационной инфраструктуры, участвующие в защищённом контуре.

Ссылка на нормативный акт:

Приказ ФСБ России от 22.08.2026 № 321 (http://www.publication.pravo.gov.ru/document/0001202608310027).

Что потребуется для оценки инфраструктуры

Подготовьте схему потоков информации: от пользовательских подключений до обменов между серверами, внешними базами данных и инфраструктурными сервисами. Для каждого соединения укажите передаваемые данные, участников обмена, средства защиты и ответственных за эксплуатацию.

На этой основе специалисты смогут определить применимость конкретных положений и необходимые изменения. Требования к отдельным каналам, включая соединения внутри дата-центра, необходимо сопоставлять с условиями нормативного акта и особенностями системы.

Перед изменением инфраструктуры важно определить, какие участки требуют доработки и как это повлияет на работу систем. Аудит информационной безопасности корпоративных систем МКСКОМ поможет проверить настройки, доступы и интеграции, выявить слабые места и расставить приоритеты дальнейших работ. 

9. Обновлённые перечни контрольно-измерительного и испытательного оборудования для лицензиатов ФСТЭК

Краткая информация об изменениях:

В августе 2026 года ФСТЭК России утвердила новые редакции перечней оборудования, необходимого для лицензируемой деятельности по технической защите конфиденциальной информации и по разработке/производству средств защиты. Об этом опубликовано информационное сообщение от 11.08.2026 № 240/13/5521.

Суть новых требований:

• Обновлены перечни КИО и средств контроля эффективности защиты информации (лицензия по ПП РФ № 79 (http://publication.pravo.gov.ru/document/0001201202030001)).
• Обновлён перечень КИО и программных (программно-технических) средств для лицензии по ПП РФ № 171 (http://publication.pravo.gov.ru/document/0001201203030003).
• Для соискателей лицензий перечни применяются с 1 декабря 2026 года; действующие лицензиаты должны привести парк оборудования в соответствие до 1 марта 2027 года.

Кого касается:

Организации — соискатели и действующие лицензиаты ФСТЭК в сфере ТЗКИ и разработки/производства средств защиты конфиденциальной информации.

Ссылка на нормативный акт:

Перечень от 10.08.2026 (ПП № 79) (https://fstec.ru/dokumenty/vse-dokumenty/perechni/perechen-kontrolno-izmeritelnogo-i-ispytatelnogo-oborudovaniya-sredstv-kontrolya-effektivnosti-zashchity-informatsii-ot-10-avgusta-2026-g); перечень от 11.08.2026 (ПП № 171) (https://fstec.ru/dokumenty/vse-dokumenty/perechni/perechen-kontrolno-izmeritelnogo-i-ispytatelnogo-oborudovaniya-programmnykh-programmno-tekhnicheskikh-sredstv-ot-11-avgusta-2026-g); сводка — сведения ТК 362 за III квартал 2026 г. (https://fstec.ru/tk-362/standarty/svedeniya-o-prinyatykh-natsionalnykh-i-mezhdunarodnykh-standartakh/svedeniya-o-prinyatykh-natsionalnykh-i-mezhdunarodnykh-standartakh-za-iii-kvartal-2026-goda) (раздел стандартизации ФСТЭК).

Как спланировать подготовку

Лицензиату стоит сопоставить выполняемые работы с необходимым оборудованием и программными средствами. Для выявленных расхождений — определить закупки, сроки поставки, подготовку специалистов и мероприятия по обеспечению работоспособности оборудования.

Заказчикам соответствующих работ полезно уточнить у исполнителей, как изменения учитываются при планировании проектов. Это особенно важно, если выполнение работ зависит от доступности конкретных средств контроля.

Данные положения адресованы определённым категориям лицензиатов и соискателей. Их применимость нужно устанавливать с учётом разрешённых и планируемых видов деятельности.

10. Национальный стандарт по угрозам и уязвимостям идентификации и аутентификации (ТК 362)

Краткая информация об изменениях:

По итогам работы технического комитета «Защита информации» (ТК 362) утверждён национальный стандарт ГОСТ Р 70262.3-2026 «Защита информации. Идентификация и аутентификация. Типовые угрозы и уязвимости идентификации и аутентификации». Стандарт вводится в действие 1 декабря 2026 года.

Суть новых требований:

• Установлены форма и структура описания типовых угроз и уязвимостей процедур идентификации и аутентификации субъектов и объектов доступа.
• Приведены систематизированные перечни типовых угроз и уязвимостей для компонентов идентификации и аутентификации.
• Стандарт предназначен для использования при разработке, внедрении и совершенствовании правил, механизмов и технологий управления доступом и при оценке угроз.

Кого касается:

Разработчики и операторы информационных систем; органы и организации, выполняющие моделирование угроз и проектирование систем защиты информации; изготовители средств защиты информации.

Ссылка на нормативный акт:

ГОСТ Р 70262.3-2026 на официальном ресурсе Росстандарта (https://protect.gost.ru/gost/details/c13fad61-77b8-4b01-95ff-29a346d3dbb9) (приказ Росстандарта от 14.09.2026 № 1136-ст); сведения ТК 362 ФСТЭК за III квартал 2026 г. (https://fstec.ru/tk-362/standarty/svedeniya-o-prinyatykh-natsionalnykh-i-mezhdunarodnykh-standartakh/svedeniya-o-prinyatykh-natsionalnykh-i-mezhdunarodnykh-standartakh-za-iii-kvartal-2026-goda).

Как использовать стандарт при проверке доступа

Стандарт может стать ориентиром для последовательного разбора механизмов идентификации и аутентификации. В проверку полезно включить создание учётных записей, вход в систему, восстановление доступа, изменение факторов аутентификации и блокирование записей.

Отдельного внимания требуют сервисные и административные учётные записи, а также доступы подрядчиков. Для них важно понимать владельца, назначение и порядок контроля.

Дата введения стандарта сама по себе не означает, что каждое его положение становится обязательным для всех организаций. Основание применения необходимо устанавливать отдельно — с учётом нормативных требований, договоров и документации конкретной системы.

11. Показатели защищённости и зрелости для значимых объектов КИИ

Краткая информация об изменениях:

Приказ ФСТЭК России от 16.07.2026 № 220 (опубликован 08.09.2026) дополнил требования к созданию систем безопасности значимых объектов КИИ (приказ ФСТЭК № 235). Приказ вступает в силу 1 марта 2027 года.

Суть новых требований:

• В рамках контроля состояния безопасности значимых объектов КИИ субъект КИИ обязан рассчитывать показатель защищённости Kзи и показатель уровня зрелости Узи по методическим документам ФСТЭК России.
• Kзи — не реже одного раза в 6 месяцев; при несоответствии нормированным значениям руководитель субъекта КИИ информируется в течение 3 календарных дней; результаты направляются в ФСТЭК России не позднее 5 рабочих дней после расчёта.
• Узи — не реже одного раза в 3 года; для подрядных организаций, получающих доступ к значимому объекту КИИ.
• С 1 марта 2027 года подрядные организации получают доступ к информационным системам, содержащейся в них информации, и (или) передаче им информации из данных систем после проведения расчёта и оценки показателя уровня зрелости и далее не реже одного раза в два года. (Вот тут ссылку нужно сделать на наш калькулятор).

Кого касается:

Субъекты критической информационной инфраструктуры, эксплуатирующие значимые объекты КИИ; подрядные организации, оказывающие услуги или выполняющие работы по созданию, развитию, эксплуатации и обеспечению безопасности таких объектов.

Ссылка на нормативный акт:

Приказ ФСТЭК России от 16.07.2026 № 220 (http://publication.pravo.gov.ru/document/0001202609080021); базовые требования — приказ ФСТЭК № 235 от 21.12.2017 (http://publication.pravo.gov.ru/document/0001201802220016).

Как организовать подготовку к оценке

Субъекту КИИ и его подрядчикам необходимо отдельно определить собственные обязанности: состав оцениваемых процессов, применимые методические документы, периодичность и порядок оформления результатов. Показатель защищённости и уровень зрелости отражают разные стороны работы по защите информации и требуют соответствующего подхода к оценке.

Для подготовки материалов определите владельца каждого процесса: кто предоставляет документы, кто подтверждает фактическое выполнение и кто отвечает за устранение выявленных недостатков.

Начать предварительный разбор можно с калькулятора уровня зрелости защиты информации МКСКОМ. Полученный профиль поможет сформулировать вопросы для дальнейшего обследования. Применимость результата к обязательной оценке устанавливается отдельно.

Подготовку удобно начать с одного процесса и проверить его целиком. Например, взять доступ подрядчика: на каком основании он предоставлен, кем согласован, как ограничен и когда пересматривается. После такого разбора становится понятнее, какие документы и записи нужны по остальным направлениям. План получается предметным: для каждого пробела можно определить действие, ответственного и подтверждение результата. Это упрощает и дальнейший контроль выполнения.

Как перевести изменения в план работ

Чтобы обзор стал рабочим инструментом, каждое применимое положение необходимо связать с конкретной системой, процессом и ответственным. Для этого подготовку можно выстроить в следующей последовательности.

Определить применимые требования

Составьте перечень информационных систем и установите их статус. Зафиксируйте операторов, состав обрабатываемой информации, внешние сервисы и подрядчиков.

Для каждой применимой нормы укажите основание, обязательный срок и ответственного. Рекомендованные внутренние сроки подготовки следует учитывать отдельно от сроков, установленных нормативными актами.

Сопоставить документы с фактической работой

Проверьте, соответствуют ли регламенты текущей архитектуре и действиям сотрудников. Например, совпадают ли перечни доступов с настройками систем, актуальны ли контакты для реагирования и доступны ли журналы, необходимые для разбора инцидента.

На этом этапе важно подключить владельцев систем и исполнителей. Они помогут установить, как процесс выполняется в действительности и какие ограничения необходимо учесть.

Собрать подтверждающие материалы

Для каждого проверяемого процесса определите, какие материалы показывают его выполнение: результаты пересмотра прав, записи об обучении, протоколы проверок, отчёты об устранении уязвимостей и сведения о тестировании восстановления.

Установите, где эти материалы хранятся, кто поддерживает их актуальность и кто сможет предоставить их при оценке.

Расставить приоритеты

Разделите задачи по обязательным срокам и влиянию на работу систем. Отдельно выделите изменения, которые требуют закупок, участия поставщика, пересмотра договоров или согласованного технологического окна.

Для каждой задачи определите проверяемый результат. Например: пересмотрены административные доступы, согласован порядок уведомления, актуализирована схема обменов, оформлены результаты проверки восстановления.

Организовать последующий контроль

Включите проверку требований в управление изменениями: подключение сервисов, замену подрядчиков, создание интеграций и пересмотр архитектуры. Это поможет поддерживать документы и подтверждающие материалы в актуальном состоянии.

Чем может помочь МКСКОМ

Подготовка к изменениям требует понимания фактического состояния систем: кто имеет доступ к информации, как устроены обмены, какие настройки используются и насколько документы соответствуют практике.

Для решения этих задач МКСКОМ проводит аудит информационной безопасности корпоративных систем. В состав проверки могут входить права пользователей, административные и подрядные доступы, интеграции, инфраструктура, резервное копирование, документы и регламенты ИБ. Периметр определяется с учётом задач заказчика.

Такая проверка помогает перейти от общего перечня требований к конкретным действиям:

• Проверить доступы. Определить избыточные права, административные и подрядные учётные записи, которые требуют пересмотра.
• Оценить инфраструктуру и обмены. Выявить слабые места в настройках, интеграциях, резервировании и средствах защиты.
• Сопоставить документы с практикой. Проверить актуальность политик, инструкций и регламентов относительно текущего состояния систем.
• Подготовить план улучшений. Распределить выявленные проблемы по приоритетам и определить дальнейшие работы.

Среди результатов аудита МКСКОМ — карта ИБ-рисков, отчёт о текущем состоянии, матрица доступов и избыточных прав, перечень уязвимостей, рекомендации и план развития ИБ. Эти материалы позволяют предметно обсуждать необходимые изменения и ресурсы с руководством.

Если задача предполагает оценку по определённой методике, аттестацию или другие регламентированные работы, их предмет, результаты и требования к исполнителю необходимо согласовать отдельно.

С чего начать подготовку

Определите, какие положения обзора относятся к вашим системам и деятельности. Затем выберите процессы, которые требуют первоочередной проверки: доступы подрядчиков, реагирование на инциденты, использование внешних сервисов или подтверждение выполнения мероприятий по ИБ.

Для предварительной самооценки воспользуйтесь калькулятором уровня зрелости защиты информации МКСКОМ. Он поможет сформировать первоначальное представление о состоянии процессов и определить вопросы для дальнейшего разбора.

Результаты можно обсудить со специалистами МКСКОМ, чтобы установить необходимый объём документальной и технической проверки, расставить приоритеты и подготовить последовательный план действий.