Взаимодействие с НКЦКИ и ГосСОПКА — что должен субъект КИИ (2026)
Обязанности субъекта КИИ перед НКЦКИ: уведомление об инцидентах за 3 и 24 часа, новый пакет приказов ФСБ декабря 2025, личный кабинет НКЦКИ, регламент и документы.
Коротко. Каждый субъект КИИ обязан сообщать в НКЦКИ о компьютерных инцидентах: об инциденте на значимом объекте — в течение 3 часов с момента обнаружения, на ином объекте КИИ — в течение 24 часов. Владельцы значимых объектов дополнительно реагируют на инциденты по плану, используют средства ГосСОПКА и взаимодействуют с НКЦКИ через личный кабинет. В декабре 2025 года ФСБ переиздала весь пакет правил — приказы № 539, 546, 547, 548, 553 и 554.
Что обязан субъект КИИ
- Информировать НКЦКИ о компьютерных инцидентах — все субъекты КИИ.
- Реагировать на атаки и ликвидировать их последствия — владельцы значимых объектов.
- Непрерывно взаимодействовать через личный кабинет НКЦКИ — значимые объекты, госорганы и организации.
- Иметь и эксплуатировать средства ГосСОПКА, соответствующие требованиям ФСБ.
Сроки
| Действие | Срок |
|---|---|
| Уведомить НКЦКИ об инциденте на значимом объекте | 3 часа с момента обнаружения |
| Уведомить НКЦКИ об инциденте на ином объекте КИИ | 24 часа с момента обнаружения |
| Ответить НКЦКИ о мерах по предупреждению готовящейся атаки | 24 часа после получения сведений |
| Сообщить о результатах реагирования | 48 часов после завершения мероприятий |
| Разработать план реагирования | 90 дней после включения объекта в реестр значимых |
| Направить копию плана реагирования в НКЦКИ | 7 календарных дней после утверждения |
Для банковской сферы и финансового рынка информация об инциденте направляется также в Банк России в те же сроки.
Новый пакет приказов ФСБ (декабрь 2025)
| Приказ | О чём | Заменяет |
|---|---|---|
| № 539 | получение информации о способах атак и методах их предупреждения | обновление |
| № 546 | обмен информацией об атаках и инцидентах | № 368 |
| № 547 | информирование ФСБ об атаках и инцидентах, требования к реагированию | № 282 |
| № 548 | непрерывное взаимодействие, личный кабинет НКЦКИ (с 30.01.2026) | новое |
| № 553 | установка и эксплуатация средств ГосСОПКА | № 281 |
| № 554 | требования к средствам обнаружения, реагирования и поиска признаков атак | № 196 |
Фундамент сохраняется: Указ № 31с о создании ГосСОПКА, приказ ФСБ № 366 о НКЦКИ и № 367 о перечне информации.
Как начать взаимодействие
- Утвердить порядок информирования НКЦКИ и завести журнал учёта компьютерных инцидентов — это нужно всем субъектам.
- Подготовить первичную инвентаризацию: сведения об организации, внешние IP-адреса и домены — по пошаговой инструкции.
- Заключить регламент взаимодействия с НКЦКИ и подключиться к личному кабинету.
- Для значимых объектов — утвердить план реагирования и направить его копию в НКЦКИ.
Средства ГосСОПКА
Для значимых объектов нужны средства, соответствующие требованиям ФСБ: сбор и корреляция событий безопасности (SIEM), обнаружение и предотвращение вторжений, сканеры уязвимостей, управление инцидентами (IRP/SOAR) и средства поиска признаков атак с сертификацией ФСБ.
Частые ошибки
- «Нас это не касается — значимых объектов нет». Уведомлять НКЦКИ об инцидентах обязаны все субъекты.
- Ссылки на отменённые приказы. № 282, 368, 281 и 196 заменены — порядки и регламенты нужно обновить.
- Нет журнала инцидентов. Без него нечем подтвердить, что инциденты учитываются и о них сообщается в срок.
- Отсчёт сроков от «рабочего дня». 3 и 24 часа считаются с момента обнаружения инцидента.
Документы по теме — как заполнить
Частые вопросы
Нужно ли сообщать в НКЦКИ, если значимых объектов нет?
Да. Обязанность информировать НКЦКИ о компьютерных инцидентах распространяется на всех субъектов КИИ; для иного объекта КИИ срок — 24 часа с момента обнаружения. Полноценный режим взаимодействия с ГосСОПКА и требования к средствам — для значимых объектов.
Как подключиться к личному кабинету НКЦКИ?
Подключение — после заключения регламента взаимодействия с НКЦКИ. Для него готовят первичную инвентаризацию: сведения об организации, IP-адреса и домены — по нашей пошаговой инструкции.
Что делать после предупреждения НКЦКИ о готовящейся атаке?
В течение 24 часов направить в НКЦКИ сведения о мерах, которые вы принимаете для её предупреждения (непрерывное взаимодействие по № 548).
Действуют ли старые приказы ФСБ № 282, 368, 281, 196?
Нет, они заменены новым пакетом декабря 2025 года: № 547, 546, 553 и 554 соответственно. Базовые акты — Указ № 31с, приказы ФСБ № 366 и 367 — сохраняются.
Справочный материал, не является юридической консультацией. Полная памятка — на главной.