Главные изменения

• ФСБ России утвердило новые требования к центрам государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, а также порядок их аккредитации.

• Минцифры России утвердило требования к обеспечению ИБ государственной единой облачной платформы и опубликовало проект требований о защите информации при предоставлении вычислительных мощностей провайдерами хостинга операторам ГИС, ИС госорганов.

• Госкорпорация «Росатом» утвердила порядок проведения в отношении субъектов критической информационной инфраструктуры Российской Федерации, осуществляющих деятельность в области атомной энергии, оценки актуальности и достоверности сведений, а также критерии организаций, привлекаемых к таким проверкам.

• ФСТЭК России предложила изменения в Указ Президента России №250, а также порядок расчёта количественных значений показателей, характеризующих уровень защищённости объектов информационной инфраструктуры органов.

• ФСТЭК России представила к обсуждению проект нового методического документа «Методика оценки уровня зрелости деятельности в области технической защиты информации в информационных системах и обеспечения безопасности значимых объектов критической информационной инфраструктуры Российской Федерации».

• Банк России анонсировал проект изменений требований к операционной надёжности при ведении банковской деятельности.

Кому и что необходимо сделать

 Детальный разбор изменений по направлениям

ГосСОПКА

Государственные информационные системы, госсектор и государственные облачные среды

Основание:

• Приказ Министерства цифрового развития, связи и массовых коммуникаций Российской Федерации от 02.12.2025 № 1106 «Об утверждении Требований к обеспечению информационной безопасности в рамках предоставления облачных услуг посредством государственной единой облачной платформы»

• Проект приказа Минцифры России «Об утверждении требований о защите информации при предоставлении вычислительной мощности для размещения информации в информационной системе, постоянно подключённой к сети «Интернет», операторам государственных информационных систем, иных информационных систем государственных органов, муниципальных информационных систем, информационных систем государственных и муниципальных унитарных предприятий, государственных и муниципальных учреждений»

Суть изменений:

Согласно приказу Минцифры, информационно-телекоммуникационная инфраструктура системы должна соответствовать требованиям о защите информации, содержащейся в ГИС (в том числе с использованием шифровальных (криптографических) средств); требованиям, установленным Составом и содержанием организационных и технических мер по обеспечению безопасности персональных данных при их обработке в ИС персональных данных с использованием средств криптографической защиты информации.

Программные и аппаратные компоненты инфраструктуры должны быть реализованы на решениях, включённых в единый реестр отечественного ПО и (или) реестр российской промышленной продукции.

Технические средства, обрабатывающие информацию, средства защиты информации, а также средства, обеспечивающие функционирование центров обработки данных, должны размещаться на территории Российской Федерации.

Мероприятия по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные ресурсы РФ должны выполняться только аккредитованными центрами ГосСОПКА.

Кого затрагивает:

Провайдеры хостинга при предоставлении ими вычислительной мощности операторам государственных информационных систем, иных информационных систем государственных органов, муниципальных информационных систем, информационных систем государственных и муниципальных унитарных предприятий, государственных и муниципальных учреждений.

Сроки вступления в силу: с момента опубликования и с 1 сентября 2026 года.

Что нужно сделать:

• Провести анализ соответствия. Оцените текущие процессы и меры защиты информации в организации на предмет их соответствия новым требованиям. Выявите пробелы и определите, какие процессы и меры необходимо внедрить или актуализировать.

Основание:

• Приказ Государственной корпорации по атомной энергии «Росатом» от 20.03.2026 № 1/9-НПА «Об утверждении порядка проведения в отношении субъектов критической информационной инфраструктуры Российской Федерации, осуществляющих деятельность в области атомной энергии, оценки актуальности и достоверности сведений, указанных в пункте 17 Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, утверждённых постановлением Правительства Российской Федерации от 08.02.2018 № 127, и критериев определения организаций, привлекаемых к оценке актуальности и достоверности сведений»

Суть изменений:

Приказом Госкорпорации «Росатом» от 20.03.2026 № 1/9-НПА утверждены: порядок проведения оценки актуальности и достоверности сведений об объектах КИИ организаций, осуществляющих деятельность в области атомной энергии; критерии определения организаций, привлекаемых к такой оценке.

В 2026 году запрос Госкорпорации «Росатом» субъектам КИИ о предоставлении сведений о категорировании осуществляется в срок до 1 июля (в последующие годы — до 1 марта); решение о графике проведения оценки принимается в срок до 1 сентября (в последующие годы — до 10 апреля).

Кого затрагивает:

Все организации-субъекты КИИ, осуществляющие деятельность в области атомной энергии.

Сроки вступления в силу: с момента вступления в силу.

Что нужно сделать:

1. В течение 10 дней с момента запроса от Госкорпорации «Росатом» направить актуальные сведения об объектах КИИ по установленной форме.

2. Обеспечить актуальность и достоверность предоставляемых сведений, выполнить требования по защите объектов КИИ в соответствии с нормативно-правовыми актами ФСТЭК России.

Риски бездействия: привлечение к административной ответственности.

Что ждёт ИБ-регуляторику в будущем:

Для общественного обсуждения ФСТЭК России представила:

• Проект указа Президента РФ «О внесении изменений в Указ Президента Российской Федерации от 1 мая 2022 г. № 250 «О дополнительных мерах по обеспечению информационной безопасности Российской Федерации»

• Проект постановления Правительства РФ «О порядке расчёта количественных значений показателей, характеризующих уровень защищённости объектов информационной инфраструктуры органов (организаций)»

Проекты определяют показатели, характеризующие уровень защищённости принадлежащих ФОИВ, высшим исполнительным органам государственной власти субъектов РФ ГИС и иных информационных систем, а также принадлежащих государственным корпорациям, стратегическим предприятиям и системообразующим организациям российской экономики, субъектам КИИ РФ, значимых объектов КИИ РФ и их целевые значения.

Структура будущих требований:

• защищённость объектов в конкретном органе или организации от актуальных угроз;

• не менее 80% защищённых объектов в отрасли по закону №187-ФЗ;

• не менее 80% защищённых объектов в ведении органов исполнительной власти субъектов РФ;

• единый подход к категории объектов информационной инфраструктуры;

• актуальная модель угроз как обязательный компонент оценки.

ФСТЭК России опубликовала информационное сообщение от 22 мая 2026 г. № 240/92/3506 «О разработке методического документа «Методика оценки уровня зрелости деятельности в области технической защиты информации в информационных системах и обеспечения безопасности значимых объектов критической информационной инфраструктуры Российской Федерации»».

Данная методика предназначена для оценки уровня зрелости деятельности в области защиты информации и (или) обеспечения безопасности ЗОКИИ. Требования к такой деятельности установлены ФСТЭК России следующими нормативными правовыми актами: Приказ ФСТЭК России № 117 от 11.04.2025, Приказ № 31 от 28.02.2017, Приказ № 239 от 25.12.2017 и Приказ № 21 от 18.02.2013.

Предполагается, что методика будет применяться:

• операторами информационных систем (ИС) и значимых объектов КИИ — для оценки зрелости деятельности в области защиты информации;

• подрядными организациями — для подтверждения уровня зрелости деятельности в области защиты информации при оказании услуг, проведении работ;

• госорганами и организациями — заказчиками услуг, работ — для установления требований к уровню зрелости деятельности подрядных организаций;

• операторами ИС персональных данных — для подтверждения уровня зрелости деятельности по обеспечению безопасности персональных данных;

• ФСТЭК России — для оценки эффективности деятельности в области защиты информации операторов и подрядных организаций.

Согласно методике, оценку зрелости могут проводить как сами организации, так и сторонние специалисты. При этом внешняя оценка будет считаться более объективной. Методикой предлагается количественная оценка зрелости по 21 направлению — от организации и управления защитой до защиты ИИ. Каждое направление оценивается по восьми категориям, каждая со своим «весом».

Замечания и предложения по доработке проекта документа принимаются до 8 июня. К участию приглашаются специалисты в области защиты информации заинтересованных государственных органов власти, организаций и субъектов КИИ.

Опубликован проект указания Банка России «О внесении изменений в Положение Банка России от 13 января 2025 года № 850-П».

Планируется скорректировать требования к операционной надёжности при ведении банковской деятельности. В частности, вводится формула расчёта фактической доли деградации технологического процесса. Уточняются требования по организации учёта состава объектов информационной инфраструктуры кредитных организаций, задействованных при выполнении каждого технологического процесса.

Меняются требования по соблюдению сигнальных и контрольных значений показателей операционной надёжности, по определению времени простоя и (или) деградации технологических процессов.