Автор темы
- Рамки приказа и переходный период
- Класс защищенности и выбор мер
- Нормированные сроки: уязвимости, восстановление и обучение
- Показатели, отчетность и изменения приказа
С 1 марта 2026 года для государственных информационных систем (ГИС) действует новый порядок защиты, установленный приказом ФСТЭК России от 11.04.2025 № 117. Он заменил приказ № 17 и распространил требования также на ряд других информационных систем государственных органов, государственных унитарных предприятий и государственных учреждений. В практической работе особенно заметны конкретные сроки: на устранение критической уязвимости отводится не более 24 часов, показатель защищенности рассчитывается не реже одного раза в шесть месяцев, а результаты оценки направляются регулятору в течение пяти рабочих дней. Для операторов это означает, что технические процессы теперь теснее связаны с календарем контроля, распределением ответственности и подтверждающими документами. При этом приказ № 137 от 08.05.2026 внес изменения в Требования, поэтому внутренние регламенты должны опираться на актуальную редакцию. Ниже рассмотрены область действия приказа, классификация систем, нормированные сроки и порядок отчетности.
Рамки приказа и переходный период
Приказ № 117 подписан 11 апреля 2025 года, зарегистрирован Минюстом России 16 июня под номером 82619 и опубликован 17 июня 2025 года. В силу он вступил 1 марта 2026 года. Одновременно утратили силу приказ ФСТЭК № 17 от 11.02.2013 и изменявшие его приказы № 27 (2017 год), № 106 (2019 год) и № 61 (2020 год). Новая редакция охватывает ГИС, а также иные информационные системы государственных органов, государственных унитарных предприятий и государственных учреждений. По сравнению с прежним регулированием круг адресатов стал шире.
Область действия определена не для всех систем без исключения. Пункт 12 перечисляет информационные системы федеральных органов и отдельные системы разведки, вооружения и специальной техники, на которые Требования не распространяются. Если статус конкретной системы вызывает вопросы, основанием для решения должны стать документы о ее создании и сопоставление с формулировками пункта 12. Ошибка на этом этапе влияет на весь дальнейший процесс: от состава документов до выбора мер защиты.
Переходные положения отдельно сохраняют действие аттестатов соответствия, выданных до 1 марта 2026 года. При этом аттестация ГИС по приказу ФСТЭК России от 29.04.2021 № 77 остается обязательной до начала обработки информации. В пунктах 2–4 приказа не установлен отдельный срок, в течение которого уже аттестованные системы должны быть приведены в соответствие с новыми Требованиями. Пункт 3 говорит о действительности аттестатов, а пункт 4 фиксирует дату вступления приказа в силу. Из этого следует редакционный вывод: наличие действующего аттестата само по себе не отменяет применения новых требований после установленной даты.
Переходный план может помочь распределить работы, хотя сам по себе приказ не устанавливает обязанности утверждать такой план. Практическая последовательность начинается с определения применимости Требований, затем включает классификацию системы и пересмотр внутренней документации. Пункт 14 предусматривает три уровня документов: политику защиты информации, внутренние стандарты и регламенты. От класса системы и выбранных мер зависят дальнейшие сроки и показатели, предусмотренные пунктами 32, 38 и 53.
Методическая база обновилась уже после вступления приказа в силу. Документ ФСТЭК России «Состав и содержание мероприятий и мер по защите информации, содержащейся в информационных системах» утвержден 12 апреля 2026 года. Его пункт 1.7 прекращает применение методического документа «Меры защиты информации в государственных информационных системах» от 11.02.2014. Таким образом, с 1 марта по 12 апреля 2026 года приказ № 117 уже действовал, а прежний методический документ формально продолжал применяться.
Новый методический документ распространяется на информационные системы, автоматизированные системы управления и сети государственных органов, организаций и субъектов критической информационной инфраструктуры. Криптографические меры в нем не рассматриваются: они регулируются требованиями ФСБ России. Здесь есть риск путаницы из-за совпадающих номеров документов: приказ ФСБ России от 18.03.2025 № 117 посвящен защите информации с использованием шифровальных (криптографических) средств. Поэтому в договорах, политиках и регламентах номер нормативного акта следует указывать вместе с ведомством и датой. Ссылки на утративший силу приказ ФСТЭК № 17 требуют пересмотра.
Область действия определена не для всех систем без исключения. Пункт 12 перечисляет информационные системы федеральных органов и отдельные системы разведки, вооружения и специальной техники, на которые Требования не распространяются. Если статус конкретной системы вызывает вопросы, основанием для решения должны стать документы о ее создании и сопоставление с формулировками пункта 12. Ошибка на этом этапе влияет на весь дальнейший процесс: от состава документов до выбора мер защиты.
Переходные положения отдельно сохраняют действие аттестатов соответствия, выданных до 1 марта 2026 года. При этом аттестация ГИС по приказу ФСТЭК России от 29.04.2021 № 77 остается обязательной до начала обработки информации. В пунктах 2–4 приказа не установлен отдельный срок, в течение которого уже аттестованные системы должны быть приведены в соответствие с новыми Требованиями. Пункт 3 говорит о действительности аттестатов, а пункт 4 фиксирует дату вступления приказа в силу. Из этого следует редакционный вывод: наличие действующего аттестата само по себе не отменяет применения новых требований после установленной даты.
Переходный план может помочь распределить работы, хотя сам по себе приказ не устанавливает обязанности утверждать такой план. Практическая последовательность начинается с определения применимости Требований, затем включает классификацию системы и пересмотр внутренней документации. Пункт 14 предусматривает три уровня документов: политику защиты информации, внутренние стандарты и регламенты. От класса системы и выбранных мер зависят дальнейшие сроки и показатели, предусмотренные пунктами 32, 38 и 53.
Методическая база обновилась уже после вступления приказа в силу. Документ ФСТЭК России «Состав и содержание мероприятий и мер по защите информации, содержащейся в информационных системах» утвержден 12 апреля 2026 года. Его пункт 1.7 прекращает применение методического документа «Меры защиты информации в государственных информационных системах» от 11.02.2014. Таким образом, с 1 марта по 12 апреля 2026 года приказ № 117 уже действовал, а прежний методический документ формально продолжал применяться.
Новый методический документ распространяется на информационные системы, автоматизированные системы управления и сети государственных органов, организаций и субъектов критической информационной инфраструктуры. Криптографические меры в нем не рассматриваются: они регулируются требованиями ФСБ России. Здесь есть риск путаницы из-за совпадающих номеров документов: приказ ФСБ России от 18.03.2025 № 117 посвящен защите информации с использованием шифровальных (криптографических) средств. Поэтому в договорах, политиках и регламентах номер нормативного акта следует указывать вместе с ведомством и датой. Ссылки на утративший силу приказ ФСТЭК № 17 требуют пересмотра.
Класс защищенности и выбор мер
Класс защищенности определяет ряд последующих решений оператора, поэтому классификация становится отправной точкой для планирования защиты. Приложение к приказу выделяет три класса: К1, высший; К2; и К3, низший. При определении класса учитываются уровень значимости информации и масштаб системы. Уровень значимости зависит от возможного ущерба при нарушении конфиденциальности, целостности или доступности: высокий ущерб хотя бы по одному свойству соответствует УЗ 1; средний при отсутствии высокого — УЗ 2; низкий по всем свойствам — УЗ 3. Для информации с пометкой «для служебного пользования» и информации ограниченного распространения предусмотрен УЗ 1.
Масштаб системы может быть федеральным, региональным или объектовым. Федеральный масштаб предполагает решение задач на всей территории России либо в двух и более субъектах. Региональный ограничивается одним субъектом, а объектовый относится к объекту одного государственного органа, муниципального образования или организации. Сочетание уровня значимости и масштаба позволяет определить итоговый класс; соответствие этих параметров сведено на рисунке 2.
В приложении также предусмотрены ограничения и специальные случаи. Класс системы, работающей на базе инфраструктуры, не может быть выше класса этой инфраструктуры. Отдельным сегментам одной системы разрешается присваивать разные классы, а меры для них выбираются самостоятельно. Результат классификации оформляется актом, который утверждает оператор. В акте фиксируются система и ее сегменты, уровень значимости, масштаб и присвоенный класс. При изменении масштаба или значимости информации класс пересматривается.
Акт классификации нужен не только для оформления решения. Он задает исходные данные для выбора средств защиты и расчета предельного времени восстановления по пункту 53. Если уровень значимости определен неверно, ошибка может повлиять и на класс средств защиты, и на критерий восстановления. Поэтому вместе с актом целесообразно хранить материалы оценки возможного ущерба, по которым можно восстановить логику принятого решения.
Приказ не содержит закрытого перечня мер для каждого класса. Их состав определяется целями защиты и актуальными угрозами. Если конкретную меру невозможно реализовать, допускаются компенсирующие меры: обоснование готовится при создании системы, а эффективность подтверждается при аттестации. Модели угроз разрабатываются в случаях, установленных постановлением Правительства РФ от 06.07.2015 № 676 (пункт 36). Методический документ от 12 апреля 2026 года группирует меры по процессам, включая оценку угроз, контроль конфигураций, управление уязвимостями и обновлениями, защиту конечных и мобильных устройств, удаленный и беспроводной доступ, привилегированный доступ, мониторинг и безопасную разработку.
Для каждого процесса в методическом документе определены цель, требования к реализации и документированию, а также дополнительные меры усиления. Выбор конкретных продуктов остается за оператором. Например, пункт 41 требует защищать конечные устройства и обеспечивать мониторинг и анализ процессов и событий, а пункт 48 устанавливает требования к привилегированному доступу: строгую аутентификацию, персональные учетные записи для создания других привилегированных записей, запрет совмещения ролей и регистрацию действий. Термины EDR и PAM в приказе не используются, поэтому из его текста нельзя вывести безусловную обязанность внедрить продукты именно этих классов. Внутренние регламенты должны показывать, какие средства и процедуры обеспечивают выполнение каждого функционального требования.
Отдельные положения посвящены информационным системам с искусственным интеллектом. Пункты 60 и 61 затрагивают шаблоны запросов и ответов, ограничения тематики и критерии выявления недостоверных ответов. Это означает, что для таких систем требуется учитывать не только инфраструктурные меры, но и особенности взаимодействия с моделью.
Класс применяемых средств защиты связан с классом системы. Для К1 необходимы средства не ниже 4-го класса, для К2 — не ниже 5-го, для К3 — 6-го класса (пункты 71 и 72). Применение сертифицированных средств также связано с пунктом 6 Указа Президента РФ от 01.05.2022 № 250.
Масштаб системы может быть федеральным, региональным или объектовым. Федеральный масштаб предполагает решение задач на всей территории России либо в двух и более субъектах. Региональный ограничивается одним субъектом, а объектовый относится к объекту одного государственного органа, муниципального образования или организации. Сочетание уровня значимости и масштаба позволяет определить итоговый класс; соответствие этих параметров сведено на рисунке 2.
В приложении также предусмотрены ограничения и специальные случаи. Класс системы, работающей на базе инфраструктуры, не может быть выше класса этой инфраструктуры. Отдельным сегментам одной системы разрешается присваивать разные классы, а меры для них выбираются самостоятельно. Результат классификации оформляется актом, который утверждает оператор. В акте фиксируются система и ее сегменты, уровень значимости, масштаб и присвоенный класс. При изменении масштаба или значимости информации класс пересматривается.
Акт классификации нужен не только для оформления решения. Он задает исходные данные для выбора средств защиты и расчета предельного времени восстановления по пункту 53. Если уровень значимости определен неверно, ошибка может повлиять и на класс средств защиты, и на критерий восстановления. Поэтому вместе с актом целесообразно хранить материалы оценки возможного ущерба, по которым можно восстановить логику принятого решения.
Приказ не содержит закрытого перечня мер для каждого класса. Их состав определяется целями защиты и актуальными угрозами. Если конкретную меру невозможно реализовать, допускаются компенсирующие меры: обоснование готовится при создании системы, а эффективность подтверждается при аттестации. Модели угроз разрабатываются в случаях, установленных постановлением Правительства РФ от 06.07.2015 № 676 (пункт 36). Методический документ от 12 апреля 2026 года группирует меры по процессам, включая оценку угроз, контроль конфигураций, управление уязвимостями и обновлениями, защиту конечных и мобильных устройств, удаленный и беспроводной доступ, привилегированный доступ, мониторинг и безопасную разработку.
Для каждого процесса в методическом документе определены цель, требования к реализации и документированию, а также дополнительные меры усиления. Выбор конкретных продуктов остается за оператором. Например, пункт 41 требует защищать конечные устройства и обеспечивать мониторинг и анализ процессов и событий, а пункт 48 устанавливает требования к привилегированному доступу: строгую аутентификацию, персональные учетные записи для создания других привилегированных записей, запрет совмещения ролей и регистрацию действий. Термины EDR и PAM в приказе не используются, поэтому из его текста нельзя вывести безусловную обязанность внедрить продукты именно этих классов. Внутренние регламенты должны показывать, какие средства и процедуры обеспечивают выполнение каждого функционального требования.
Отдельные положения посвящены информационным системам с искусственным интеллектом. Пункты 60 и 61 затрагивают шаблоны запросов и ответов, ограничения тематики и критерии выявления недостоверных ответов. Это означает, что для таких систем требуется учитывать не только инфраструктурные меры, но и особенности взаимодействия с моделью.
Класс применяемых средств защиты связан с классом системы. Для К1 необходимы средства не ниже 4-го класса, для К2 — не ниже 5-го, для К3 — 6-го класса (пункты 71 и 72). Применение сертифицированных средств также связано с пунктом 6 Указа Президента РФ от 01.05.2022 № 250.
Нормированные сроки: уязвимости, восстановление и обучение
Самые заметные изменения приказа связаны со сроками реагирования на уязвимости. По пункту 38 критическую уязвимость необходимо устранить либо закрыть компенсирующей мерой не позднее чем через 24 часа. Для уязвимостей высокого уровня установлен срок семь календарных дней, а сроки для среднего и низкого уровней определяются внутренним регламентом. Если выявленная уязвимость отсутствует в банке данных угроз безопасности информации ФСТЭК (БДУ), сведения о ней передаются регулятору в течение пяти рабочих дней. В прежнем приказе № 17 такие сроки не были нормированы.
Приказ не устанавливает конкретный способ передачи сведений о новых уязвимостях. Поэтому процедуре требуется заранее определить канал связи и способ сохранения подтверждения отправки. В противном случае организации будет сложнее доказать соблюдение пятидневного срока.
Срок в 24 часа может конфликтовать с привычным ежемесячным окном технического обслуживания. В таком сценарии решение о компенсирующей мере должно приниматься по заранее определенной процедуре. Это может быть временное отключение сервиса, сегментация сети или фильтрация трафика, если выбранная мера действительно снижает риск эксплуатации уязвимости. В регламенте также требуется закрепить шкалу критичности, ответственных за принятие решения и способ фиксации момента обнаружения. Отсчет начинается с выявления уязвимости, поэтому дата и время должны попадать в журнал.
Пункт 53 устанавливает предельное время восстановления функционирования системы в зависимости от класса: для К1 — 24 часа, для К2 — семь календарных дней, для К3 — четыре недели. По пункту 55 возможность восстановления проверяется не реже одного раза в два года. Учения должны подтверждать соблюдение предельного времени именно для присвоенного системе класса. Если восстановление системы К1 занимает неделю, такой результат не подтверждает выполнение суточного ограничения. Основанием для оценки служит акт классификации.
Требования к обучению пользователей изложены в пунктах 56 и 57. В качестве форм обучения перечислены памятки, лекции, имитационные рассылки и тренировки. Уровень знаний оценивается не реже одного раза в три года, а также после компьютерного инцидента. Поскольку имитационные рассылки прямо включены в перечень форм обучения, их результаты следует учитывать в программе и подтверждать документами.
Контроль уровня защищенности регулируют пункты 66 и 67. Его проводят не реже одного раза в три года и после компьютерного инцидента. Среди предусмотренных способов названы сканирование уязвимостей, выявление несанкционированных подключений, тренировки и моделирование угроз. Отчет передается руководителю в течение трех рабочих дней, а в ФСТЭК — в течение пяти рабочих дней после завершения работ. По сравнению с приказом № 17, где периодичность зависела от класса системы и составляла один или два года, интервал изменился; одновременно появилась обязанность направлять результаты регулятору.
Соблюдение сроков должно подтверждаться записями, которые можно проверить при аттестации. Для уязвимостей нужен журнал с датой обнаружения, устранения или применения компенсирующей меры. Для восстановления необходимы акты учений с фактическим временем выполнения работ. В комплект также входят протоколы расчета показателя защищенности, подтверждения отправки отчетов в ФСТЭК и результаты оценки знаний пользователей. Эти материалы связывают требования пунктов 32, 38, 53, 55 и 57 с фактической работой подразделений.
Приказ не устанавливает конкретный способ передачи сведений о новых уязвимостях. Поэтому процедуре требуется заранее определить канал связи и способ сохранения подтверждения отправки. В противном случае организации будет сложнее доказать соблюдение пятидневного срока.
Срок в 24 часа может конфликтовать с привычным ежемесячным окном технического обслуживания. В таком сценарии решение о компенсирующей мере должно приниматься по заранее определенной процедуре. Это может быть временное отключение сервиса, сегментация сети или фильтрация трафика, если выбранная мера действительно снижает риск эксплуатации уязвимости. В регламенте также требуется закрепить шкалу критичности, ответственных за принятие решения и способ фиксации момента обнаружения. Отсчет начинается с выявления уязвимости, поэтому дата и время должны попадать в журнал.
Пункт 53 устанавливает предельное время восстановления функционирования системы в зависимости от класса: для К1 — 24 часа, для К2 — семь календарных дней, для К3 — четыре недели. По пункту 55 возможность восстановления проверяется не реже одного раза в два года. Учения должны подтверждать соблюдение предельного времени именно для присвоенного системе класса. Если восстановление системы К1 занимает неделю, такой результат не подтверждает выполнение суточного ограничения. Основанием для оценки служит акт классификации.
Требования к обучению пользователей изложены в пунктах 56 и 57. В качестве форм обучения перечислены памятки, лекции, имитационные рассылки и тренировки. Уровень знаний оценивается не реже одного раза в три года, а также после компьютерного инцидента. Поскольку имитационные рассылки прямо включены в перечень форм обучения, их результаты следует учитывать в программе и подтверждать документами.
Контроль уровня защищенности регулируют пункты 66 и 67. Его проводят не реже одного раза в три года и после компьютерного инцидента. Среди предусмотренных способов названы сканирование уязвимостей, выявление несанкционированных подключений, тренировки и моделирование угроз. Отчет передается руководителю в течение трех рабочих дней, а в ФСТЭК — в течение пяти рабочих дней после завершения работ. По сравнению с приказом № 17, где периодичность зависела от класса системы и составляла один или два года, интервал изменился; одновременно появилась обязанность направлять результаты регулятору.
Соблюдение сроков должно подтверждаться записями, которые можно проверить при аттестации. Для уязвимостей нужен журнал с датой обнаружения, устранения или применения компенсирующей меры. Для восстановления необходимы акты учений с фактическим временем выполнения работ. В комплект также входят протоколы расчета показателя защищенности, подтверждения отправки отчетов в ФСТЭК и результаты оценки знаний пользователей. Эти материалы связывают требования пунктов 32, 38, 53, 55 и 57 с фактической работой подразделений.
У сроков есть два разных механизма контроля. Формулировка «не более» задает предельное время после события, например выявления уязвимости или отказа системы. Формулировка «не реже» определяет периодичность, которую необходимо учитывать в календарном плане. Поэтому оператору требуются одновременно процесс реагирования с отсчетом времени от события и календарь регулярных проверок с назначенными ответственными.
Показатели, отчетность и изменения приказа
Пункт 32 устанавливает два показателя. Показатель защищенности Кзи рассчитывается и оценивается не реже одного раза в шесть месяцев. Показатель уровня зрелости, обозначенный в исходном тексте как Пзи, рассчитывается не реже одного раза в два года. Если значения не соответствуют нормированным, руководителя оператора необходимо проинформировать в течение трех календарных дней. Результаты расчета направляются в ФСТЭК не позднее пяти рабочих дней после его завершения. Пункт 33 предусматривает возможность подготовить план совершенствования защиты. Методика расчета Кзи в самом приказе не приведена, поэтому ее требуется рассматривать отдельно.
При полугодовой периодичности в ФСТЭК направляется как минимум два расчета Кзи в год, каждый в пределах пяти рабочих дней после расчета. К ним добавляется отчетность по мониторингу и контролю защищенности. Мониторинг информационной безопасности проводится по разделам 4 и 5 ГОСТ Р 59547-2021, а отчет о результатах и итоговый отчет направляются в ФСТЭК согласно пункту 49. Для локальных и изолированных систем мониторинг не требуется; также допускается использование доверенных технологий искусственного интеллекта. Поскольку сроки разных обязанностей могут пересекаться, единый календарь отчетности снижает риск пропуска даты. Ответственного за его ведение целесообразно назначить распорядительным документом.
Распределение ресурсов и ответственности также закреплено в Требованиях. По пункту 15 политику защиты информации утверждает руководитель оператора или уполномоченное лицо. Пункт 20 предусматривает, что не менее 30% работников подразделения по защите информации должны иметь профильное образование либо пройти профессиональную переподготовку. Подразделение по защите информации представляет руководителю обоснование необходимых ресурсов и возможных негативных последствий при их отсутствии. Дата и способ уведомления о несоответствии показателей должны фиксироваться документально, поскольку срок информирования составляет три календарных дня.
Часть требований относится к подрядчикам. Пункты 16 и 26 предусматривают закрепление соответствующих условий в договорах. Разработка и тестирование программного обеспечения подрядчиком допускаются на выделенных стендах, без выполнения таких работ в эксплуатируемых системах; безопасная разработка выполняется по ГОСТ Р 56939-2024. При этом порядок проверки соблюдения требований подрядчиком и распределение ответственности в случае атаки через его инфраструктуру в рассматриваемых положениях раскрыты не полностью. В договорах рекомендуется определить способ проверки, контактных лиц и срок уведомления об инцидентах.
Приказ ФСТЭК России от 08.05.2026 № 137 вносит изменения в Требования. Минюст России зарегистрировал его 10 августа 2026 года под номером 87797. Полный текст приложения с изменениями в исходном материале отсутствовал. По неофициальным публикациям, пункт 32 изложен в новой редакции: до 1 марта 2027 года показатель зрелости, который в этих публикациях обозначен как Узи, рассчитывается оператором не реже одного раза в два года, а затем расчет возлагается на подрядчика. Те же публикации указывают на новые сроки и порядок передачи в ФСТЭК результатов оценки защищенности и зрелости, а также на начало применения отчетности с 1 марта 2027 года. Эти сведения требуют проверки по официальному тексту; обозначение показателя зрелости в публикациях расходится с обозначением в исходной редакции.
На 15 октября 2026 года статусы приказа в справочных правовых системах расходились: одна из них сохраняла отметку «документ не вступил в силу», хотя пункт 4 устанавливает дату вступления в силу 1 марта 2026 года. При подготовке внутренних документов номера пунктов и сроки следует сверять с официально опубликованными редакциями приказов № 117 и № 137 на портале правовой информации. Пока официальный текст изменений не сопоставлен с действующей редакцией, неподтвержденные детали не следует закреплять в обязательных внутренних процедурах.
При полугодовой периодичности в ФСТЭК направляется как минимум два расчета Кзи в год, каждый в пределах пяти рабочих дней после расчета. К ним добавляется отчетность по мониторингу и контролю защищенности. Мониторинг информационной безопасности проводится по разделам 4 и 5 ГОСТ Р 59547-2021, а отчет о результатах и итоговый отчет направляются в ФСТЭК согласно пункту 49. Для локальных и изолированных систем мониторинг не требуется; также допускается использование доверенных технологий искусственного интеллекта. Поскольку сроки разных обязанностей могут пересекаться, единый календарь отчетности снижает риск пропуска даты. Ответственного за его ведение целесообразно назначить распорядительным документом.
Распределение ресурсов и ответственности также закреплено в Требованиях. По пункту 15 политику защиты информации утверждает руководитель оператора или уполномоченное лицо. Пункт 20 предусматривает, что не менее 30% работников подразделения по защите информации должны иметь профильное образование либо пройти профессиональную переподготовку. Подразделение по защите информации представляет руководителю обоснование необходимых ресурсов и возможных негативных последствий при их отсутствии. Дата и способ уведомления о несоответствии показателей должны фиксироваться документально, поскольку срок информирования составляет три календарных дня.
Часть требований относится к подрядчикам. Пункты 16 и 26 предусматривают закрепление соответствующих условий в договорах. Разработка и тестирование программного обеспечения подрядчиком допускаются на выделенных стендах, без выполнения таких работ в эксплуатируемых системах; безопасная разработка выполняется по ГОСТ Р 56939-2024. При этом порядок проверки соблюдения требований подрядчиком и распределение ответственности в случае атаки через его инфраструктуру в рассматриваемых положениях раскрыты не полностью. В договорах рекомендуется определить способ проверки, контактных лиц и срок уведомления об инцидентах.
Приказ ФСТЭК России от 08.05.2026 № 137 вносит изменения в Требования. Минюст России зарегистрировал его 10 августа 2026 года под номером 87797. Полный текст приложения с изменениями в исходном материале отсутствовал. По неофициальным публикациям, пункт 32 изложен в новой редакции: до 1 марта 2027 года показатель зрелости, который в этих публикациях обозначен как Узи, рассчитывается оператором не реже одного раза в два года, а затем расчет возлагается на подрядчика. Те же публикации указывают на новые сроки и порядок передачи в ФСТЭК результатов оценки защищенности и зрелости, а также на начало применения отчетности с 1 марта 2027 года. Эти сведения требуют проверки по официальному тексту; обозначение показателя зрелости в публикациях расходится с обозначением в исходной редакции.
На 15 октября 2026 года статусы приказа в справочных правовых системах расходились: одна из них сохраняла отметку «документ не вступил в силу», хотя пункт 4 устанавливает дату вступления в силу 1 марта 2026 года. При подготовке внутренних документов номера пунктов и сроки следует сверять с официально опубликованными редакциями приказов № 117 и № 137 на портале правовой информации. Пока официальный текст изменений не сопоставлен с действующей редакцией, неподтвержденные детали не следует закреплять в обязательных внутренних процедурах.
Приказ № 117 связывает защиту ГИС с нормированными сроками, расчетными показателями и подтверждаемой отчетностью перед ФСТЭК. Для оператора практическая работа начинается с проверки применимости Требований и корректной классификации системы, после чего необходимо согласовать регламенты реагирования, восстановления, обучения и контроля. Отдельного внимания требует календарь отчетности: пропуск пятидневного срока или отсутствие подтверждающих документов осложняет доказательство выполнения требований. Сведения об изменениях по приказу № 137 следует окончательно закреплять во внутренних процедурах после сверки с официальным текстом.
