Организация ИБ по Указу № 250 — заместитель и подразделение по безопасности (2026)
Что требует Указ № 250 от субъектов КИИ и других организаций: заместитель руководителя по ИБ, подразделение по безопасности по ПП № 1272, оценка защищённости, запрет иностранных СЗИ.
Коротко. Указ Президента № 250 распространяется на госорганы, госкорпорации, стратегические и системообразующие организации и на всех субъектов КИИ. Он требует возложить полномочия по ИБ на заместителя руководителя, создать подразделение по безопасности или возложить его функции на существующее, обеспечить оценку защищённости и доступ ФСБ для мониторинга, а с 2025 года — не применять средства защиты из недружественных государств. Положения о заместителе и подразделении составляются по типовым из ПП № 1272.
Кого касается
Указ № 250 распространяется на закрытый перечень организаций: федеральные органы исполнительной власти, высшие исполнительные органы субъектов РФ, государственные фонды, государственные корпорации и компании, стратегические и системообразующие организации, а также субъекты КИИ. Быть субъектом КИИ — лишь одно из оснований: организация может попасть под указ и по другим признакам.
Что требует указ
- Заместитель руководителя, ответственный за ИБ, — по типовому положению ПП № 1272.
- Подразделение по безопасности — создать отдельно или возложить функции на существующее, тоже по типовому положению.
- Персональная ответственность руководителя за обеспечение информационной безопасности.
- Доступ ФСБ к информационным ресурсам для мониторинга, в том числе удалённый.
- Оценка защищённости силами лицензиата ФСБ или ФСТЭК.
- Запрет средств защиты из недружественных государств с 1 января 2025 года.
Как закрыть по шагам
- Издать приказ о возложении полномочий на заместителя руководителя и об определении подразделения по безопасности (образец приказа и положения).
- Утвердить положение о подразделении по типовому из ПП № 1272: цели, задачи, функции, права, квалификационные требования и ответственность.
- Внести изменения в штатное расписание и должностные инструкции, организовать повышение квалификации работников подразделения.
- Провести оценку защищённости с привлечением лицензиата и устранить найденные уязвимости.
- Заключить регламент взаимодействия с НКЦКИ и передать внешние IP-адреса и домены (инструкция).
- Вывести из эксплуатации средства защиты из недружественных государств.
Что делает подразделение по безопасности
По положению из комплекта: участвует в категорировании, создаёт систему безопасности значимых объектов, разрабатывает и актуализирует документы и модель угроз, реализует меры защиты, реагирует на инциденты и информирует НКЦКИ, контролирует состояние безопасности, обучает работников и ежегодно докладывает руководителю. Возлагать на подразделение функции, не связанные с безопасностью, — например, эксплуатацию информационных систем — не допускается.
Частые ошибки
- Функции ИБ отдали ИТ-отделу. Эксплуатация систем и контроль их безопасности должны быть разделены.
- Положение «своими словами». Положения о заместителе и подразделении составляются по типовым из ПП № 1272.
- Оценку защищённости провели сами. Указ требует привлекать лицензиата ФСБ или ФСТЭК.
- Не передали внешние адреса в НКЦКИ. Без этого ГосСОПКА не видит периметр организации.
Документы по теме — как заполнить
Частые вопросы
Нужно ли выполнять Указ № 250 без значимых объектов?
Да. Субъекты КИИ входят в перечень организаций указа независимо от того, есть ли у них значимые объекты: заместитель по ИБ, подразделение и оценка защищённости нужны всем.
Обязательно ли создавать новый отдел?
Нет. Подразделение по безопасности можно создать отдельно либо возложить его функции на существующее подразделение — но без функций, не связанных с безопасностью, например эксплуатации информационных систем.
Можно ли совместить заместителя по ИБ с другой должностью?
Указ требует возложить полномочия на заместителя руководителя. Требования к нему — в типовом положении ПП № 1272; сверяйте с ним штатное решение.
Что такое «белые» IP-адреса в НКЦКИ?
Чтобы ГосСОПКА отслеживала внешний периметр, организация заключает регламент взаимодействия с НКЦКИ и передаёт перечень своих внешних IP-адресов и доменов — по нашей инструкции о первичной инвентаризации.
Справочный материал, не является юридической консультацией. Полная памятка — на главной.