Обзор изменений · октябрь 2026 · обновлено 03.11.2026
Новое в законах: октябрь 2026
Октябрь 2026: что ФСТЭК и ФСБ рассказали о проверках субъектов КИИ, какие отраслевые особенности категорирования уже действуют, что напомнить себе о категорировании и к чему готовиться до весны.
Главное. Новых обязательных актов по КИИ в октябре не вышло. Самое срочное — требование НКЦКИ закрыть критические уязвимости PHP2Shell: кто не может обновить PHP, должен ограничить внешний доступ к уязвимым серверам вплоть до отключения. Регуляторы подвели итоги года: дел об административных нарушениях стало больше, треть — за непроведённое категорирование. Особенности категорирования действуют в 7 сферах из 14. Хороший момент свериться с действующими правилами — некоторые сроки отменены ещё в 2024 году.
📡 Сигнал регулятора🏭 КИИ⚠️ Штрафы и ответственность
ФСТЭК: больше проверок, следующий фокус — подрядчики
Выступления ФСТЭК, ФСБ и Минэнерго на конференции АБИСС-2026
🔄 Что изменилось
За 9,5 месяца 2026 года возбуждено более 130 дел: около двух третей — по ст. 13.12.1 КоАП (нарушение требований к безопасности значимых объектов), около трети — за непроведённое категорирование. Внеплановых проверок стало больше. Следующий приоритет ФСТЭК — подрядчики, которые имеют доступ к объектам КИИ. Минэнерго подтвердило ориентир для ТЭК — переход на доверенные ПАК к 2030 году.
👥 Кого касается
Все субъекты КИИ; особенно те, кто так и не провёл категорирование.
✅ Что сделать
Проверить, что акты категорирования и сведения во ФСТЭК есть по всем объектам, а договоры с подрядчиками описывают их доступ и обязанности по ИБ.
НКЦКИ: срочно обновить PHP, иначе ограничить доступ к сайтам
Письмо НКЦКИ через ГосСОПКА об уязвимостях PHP2Shell (CVE-2026-109618, CVE-2026-109619)
🔄 Что изменилось
21 октября разработчики PHP закрыли две критические уязвимости (9,2 по CVSS 4.0), которые при определённых условиях позволяют выполнить произвольный код на сервере без авторизации; уязвимы версии начиная с 5.4. На следующий день НКЦКИ через ГосСОПКА разослал субъектам КИИ — госорганам, банкам, операторам связи, энергетическим, транспортным, медицинским и другим организациям — требование срочно обновиться. Если быстро обновить нельзя — рассмотреть ограничение внешнего доступа к уязвимым серверам вплоть до отключения. После обновления — проверить серверы антивирусом, изучить журналы на следы взлома и сообщить о подозрительном в ГосСОПКА. Письмо не опубликовано, о нём сообщил РБК со ссылкой на получателей.
👥 Кого касается
Субъекты КИИ, у которых есть сайты и веб-сервисы на PHP (в том числе на «1С-Битрикс», WordPress и других CMS) — свои или у подрядчика.
✅ Что сделать
Найти все серверы с PHP, включая сайты у подрядчиков и хостеров. Обновить до 8.2.35, 8.3.36, 8.4.27 или 8.5.12 (на старых ветках — хотя бы бэкпорты исправлений и план перехода). Сохранить вывод php -v и дату обновления. Проверить журналы с 21 октября на следы взлома, о подозрительном сообщить в НКЦКИ в установленные сроки. Что нельзя обновить сразу — закрыть от внешнего доступа.
Отраслевые особенности категорирования: где они уже есть
Постановления Правительства РФ № 4, 92, 246, 303, 356, 402, 796 (2026)
🔄 Что изменилось
Свои правила категорирования действуют для атомной энергии, финансового рынка, науки, госрегистрации недвижимости, ракетно-космической отрасли, связи и ОПК. Для здравоохранения, транспорта, энергетики, ТЭК, горнодобывающей, металлургической и химической промышленности они ещё готовятся — ФСТЭК называет их «на финальной стадии».
👥 Кого касается
Субъекты КИИ в перечисленных сферах.
✅ Что сделать
Если ваша сфера в списке — пересмотреть акты категорирования по отраслевым правилам и сверить сроки пересмотра. Если нет — категорировать по общим правилам, не дожидаясь особенностей.
Напоминание: перечень объектов во ФСТЭК больше не отправляют
Постановление Правительства РФ от 19.09.2024 № 1281
🔄 Что изменилось
Обязанность утверждать перечень объектов, направлять его во ФСТЭК за 5 рабочих дней и укладываться с категорированием в 1 год отменена ещё с 27.12.2024. Многие регламенты и чек-листы до сих пор на неё ссылаются — мы тоже исправили памятку. Действуют сроки: сведения о результатах — 10 рабочих дней после утверждения акта, изменения сведений — 20 рабочих дней, пересмотр — не реже раза в 5 лет.
👥 Кого касается
Все субъекты КИИ.
✅ Что сделать
Убрать отменённые сроки из регламента категорирования и календаря, оставить внутренний реестр объектов как рабочий документ.
Что ещё в работе и пока не принято: изменения в приказ ФСТЭК № 239 (обязательная техподдержка средств защиты, контроль удалённого доступа вендоров), закон о требованиях к подрядчикам значимых объектов, штрафы за срыв перехода на российское ПО и доверенные ПАК, новый приказ ФСТЭК о защите персональных данных вместо № 21. Как только что-то из этого подпишут — разберём в следующем выпуске.
Справочный материал, не является юридической консультацией. Точные формулировки — в первоисточниках по ссылкам.
Мы используем cookie Яндекс Метрики, чтобы понимать, какие разделы полезны. Без вашего согласия счётчик не загружается. Подробнее
