С 1 марта 2027 года вступают в силу новые требования ФСТЭК России к оценке безопасности значимых объектов критической информационной инфраструктуры. Одновременно регулятор прорабатывает изменения в правилах защиты персональных данных. Разбираемся, кого коснутся новые требования, что такое уровень зрелости системы защиты и к чему стоит подготовиться компаниям.
Оценивать будут не только защищённость, но и эффективность мер
ФСТЭК России утвердила изменения в требованиях к созданию систем безопасности значимых объектов критической информационной инфраструктуры (КИИ) и обеспечению их функционирования. Основание — приказ от 16 июля 2026 года № 220, зарегистрированный Минюстом России 7 сентября 2026 года.
Документ предусматривает введение двух показателей, которые характеризуют состояние информационной безопасности:
- Показатель защищённости — отражает текущее состояние защиты значимых объектов КИИ и соответствие минимально необходимому уровню защиты от актуальных типовых угроз.
- Показатель уровня зрелости — позволяет оценить достаточность и эффективность мероприятий, которые организация проводит для обеспечения безопасности.
Расчёт показателя защищённости необходимо проводить не реже одного раза в шесть месяцев, а уровня зрелости — не реже одного раза в три года.
Новые требования вступают в силу 1 марта 2027 года.
Кого коснутся изменения
В первую очередь новые правила адресованы субъектам КИИ, на которых распространяется законодательство о безопасности критической информационной инфраструктуры.
К таким организациям могут относиться предприятия и учреждения, работающие в сферах здравоохранения, энергетики, транспорта, связи, финансов и других установленных законом отраслях. При этом работа в одной из этих сфер сама по себе не означает, что организация автоматически подпадает под все требования к значимым объектам КИИ: необходимо учитывать её статус и характеристики информационных систем.
Изменения затронут и определённых подрядчиков. Если организация привлекается для выполнения работ или оказания услуг, предполагающих доступ к значимому объекту КИИ, субъект КИИ должен установить для неё требование по оценке уровня зрелости.
Подрядчику потребуется провести оценку до получения доступа к такому объекту, а затем повторять её не реже одного раза в три года. Если полученный показатель не соответствует установленным нормативным значениям, подрядчик должен сообщить об этом руководителю организации — субъекта КИИ в течение трёх календарных дней после завершения оценки.
Таким образом, новые правила необходимо учитывать не только предприятиям, эксплуатирующим значимые объекты КИИ, но и компаниям, которые оказывают им ИТ-услуги, участвуют в эксплуатации систем, обрабатывают или хранят информацию либо обеспечивают безопасность таких объектов.
Важно: наличие у компании базы клиентов, кадровой системы или других информационных систем с персональными данными само по себе не означает, что на неё распространяются требования приказа № 220.
Что готовится изменить ФСТЭК в защите персональных данных
Отдельное направление работы регулятора — обновление требований к организационным и техническим мерам защиты персональных данных при их обработке в информационных системах.
В июле 2026 года ФСТЭК России подготовила проект приказа, который предусматривает изменение подхода к выбору и реализации защитных мер. В предложенном документе учитываются особенности современных информационных систем, используемых технологий и актуальных угроз.
В частности, проект предусматривает:
- определение базового набора мер защиты с последующей адаптацией под конкретную информационную систему;
- управление уязвимостями и обновлениями программного обеспечения;
- защиту при использовании облачных сервисов, виртуализации и мобильных устройств;
- дополнительные меры при использовании технологий искусственного интеллекта;
- оценку эффективности реализованных мер защиты с применением показателя уровня зрелости.
Согласно проекту, оценку уровня зрелости предполагается проводить перед началом обработки персональных данных, затем не реже одного раза в три года, а также после компьютерного инцидента. Аналогичные требования предлагается предусмотреть для организаций, которые обрабатывают персональные данные по поручению оператора.
Однако эти положения необходимо рассматривать именно как предложения проекта, а не как уже вступившие в силу обязательные требования. На 28 октября 2026 года нет оснований утверждать, что все перечисленные изменения для операторов персональных данных вступают в силу именно 1 марта 2027 года.
