Обзор изменений · сентябрь 2026 · обновлено 01.11.2026
Новое в законах: сентябрь 2026
Сентябрь 2026: метрики Кзи и Узи для значимых объектов КИИ с 1 марта 2027, особенности категорирования для связи, пентест при аттестации, новые требования ФСБ к криптозащите в ГИС.
Главное. Для владельцев значимых объектов опубликован приказ ФСТЭК № 220 — с 01.03.2027 показатель защищённости считают раз в полгода, уровень зрелости раз в 3 года и отчитываются во ФСТЭК. С 1 сентября действуют особенности категорирования для связи и обязательные пентест и анализ уязвимостей при аттестации.
🕓 Принято, ещё не действует· в силе с 🏭 КИИ🛡️ ФСТЭК
Метрики защищённости для значимых объектов КИИ
Приказ ФСТЭК России от 16.07.2026 № 220 (зарегистрирован Минюстом 07.09.2026)
🔄 Что изменилось
В требования № 235 добавлены пункты 36(1)–36(4). Владелец значимого объекта считает показатель защищённости (Кзи) не реже раза в 6 месяцев и оценивает уровень зрелости (Узи) не реже раза в 3 года, а также перед допуском подрядчика к объекту. Результаты — во ФСТЭК в течение 5 рабочих дней после расчёта. Если показатель ниже нормы — доклад руководителю за 3 календарных дня.
👥 Кого касается
Все владельцы значимых объектов КИИ (категории К1–К3).
✅ Что сделать
До 01.03.2027: назначить ответственных, провести пробный расчёт по методикам ФСТЭК, закрепить график и порядок доклада в организационно-распорядительных документах.
Постановление Правительства РФ от 13.04.2026 № 402
🔄 Что изменилось
С 01.09.2026 объекты КИИ в сфере связи категорируют по отраслевым правилам: как устанавливать соответствие критериям значимости и считать показатели. Постановление действует до 01.09.2032.
👥 Кого касается
Операторы связи и другие субъекты КИИ в сфере связи.
✅ Что сделать
Сверить действующие акты категорирования с отраслевыми правилами и при расхождениях провести пересмотр.
Аттестация: анализ уязвимостей и пентест обязательны
Приказ ФСТЭК России от 27.02.2026 № 60 (изменения в приказ № 77)
🔄 Что изменилось
В порядок аттестации информационных систем добавлены два обязательных метода контроля защищённости — анализ уязвимостей и тестирование на проникновение.
👥 Кого касается
Операторы аттестуемых систем — прежде всего ГИС, а также значимые объекты КИИ, которые одновременно являются ГИС; организации-аттестаторы.
✅ Что сделать
Обновить программы и методики аттестационных испытаний; при переаттестации заложить время и бюджет на пентест.
Обновлены требования к защите информации с помощью СКЗИ в ГИС, системах госорганов, ГУП и госучреждений. Главное новшество — требования распространяются и на внешние технические средства и сервисы, к которым система обращается по сети. Прежний приказ ФСБ № 117 от 18.03.2025 утратил силу.
👥 Кого касается
Операторы ГИС и систем госсектора, использующие СКЗИ.
✅ Что сделать
Проверить внешние сервисы и каналы, через которые идут данные системы, и закрыть их криптозащитой по новым требованиям.
Сентябрь задал главную задачу на зиму: к 1 марта 2027 года владельцам значимых объектов нужно научиться считать показатель защищённости и уровень зрелости. Это не отчёт «для галочки» — результаты уходят во ФСТЭК, а низкий показатель надо докладывать руководителю.
Справочный материал, не является юридической консультацией. Точные формулировки — в первоисточниках по ссылкам.
Мы используем cookie Яндекс Метрики, чтобы понимать, какие разделы полезны. Без вашего согласия счётчик не загружается. Подробнее
