В сентябре главный срок для владельцев значимых объектов КИИ обозначили на март 2027 года: предстоит регулярно рассчитывать показатели защищённости и зрелости. Параллельно Банк России опубликовал проекты требований для рынка цифровых валют, Минцифры предложило правила для государственной облачной платформы, а в Госдуму поступил законопроект о настройках рекомендаций с ИИ-контентом.

Документов много, но статус у них разный. Часть изменений уже принята, часть пока обсуждается. Собрали главное: кого касается каждый документ, где уже пора готовить процессы и за какими проектами стоит следить.

1. Значимые объекты КИИ: готовимся считать защищённость и зрелость

8 сентября официально опубликован приказ ФСТЭК России от 16.07.2026 № 220. Он вносит изменения в приказ № 235, который устанавливает требования к созданию и функционированию систем безопасности значимых объектов критической информационной инфраструктуры, или ЗОКИИ.

Согласно материалам сентябрьского обзора, с 1 марта 2027 года владельцы ЗОКИИ должны регулярно рассчитывать показатель защищённости Кзи и показатель уровня зрелости систем безопасности. Результаты направляются во ФСТЭК России.

Для службы ИБ это задача со вполне конкретной подготовкой. Нужно определить, кто собирает данные, кто проводит расчёт и как результаты попадают во внутренний контроль состояния безопасности. Если эти процессы ещё не закреплены, подготовку стоит начать до наступления обязательного срока.

Кого касается: владельцев значимых объектов КИИ.

Что делать:

• Изучить приказ № 220 и методические подходы к расчёту показателей.
• Назначить ответственных за сбор данных и проведение оценки.
• Провести пробные расчёты до 1 марта 2027 года.
• Актуализировать внутренние регламенты контроля состояния безопасности.

Отдельная новость для организаций сферы науки: 22 сентября Минобрнауки опубликовало проект порядка оценки актуальности и достоверности сведений при категорировании объектов КИИ. Пока это проект. Организациям, которых он касается, стоит изучить предложенный порядок и отслеживать его дальнейшее прохождение.

2. Финансовый сектор: новые проекты для цифровых валют и ЦФА

25 сентября Банк России опубликовал два проекта. Первый посвящён обязательным требованиям к операционной надёжности некредитных финансовых организаций. Второй предусматривает изменения в Положение № 757-П о защите информации.

В центре внимания - цифровые депозитарии и организации, осуществляющие обмен цифровых валют. Проекты предусматривают распространение на них требований к операционной надёжности и защите информации. Также уточняются требования для операторов информационных систем, в которых выпускаются цифровые финансовые активы, или ЦФА.

Для операторов обмена ЦФА проектом предусмотрено исключение отдельных процессов с 1 марта 2027 года. Здесь важно сохранить оговорку: речь идёт о предлагаемом изменении, а не об уже действующей норме.

Кого касается: цифровых депозитариев, организаций по обмену цифровых валют, операторов ЦФА, операторов сервисов рассрочки и других некредитных финансовых организаций в пределах применимости проектов.

Что делать сейчас: изучить документы и сопоставить предлагаемые требования с текущими процессами ИБ и операционной надёжности. Если есть замечания, подготовить их для обсуждения.

Рынок цифровых валют продолжает получать более подробные правила. Поэтому оценку возможных изменений инфраструктуры и внутренних политик лучше провести заранее, а окончательный план работ сверить с принятыми редакциями документов.

3. Лицензирование СКЗИ: проверяем условия для собственных нужд

Постановление Правительства РФ от 28.08.2026 № 1103 уточняет правила лицензирования деятельности в области шифровальных средств, установленные постановлением № 313. В сентябрьском обзоре отмечено, что изменения вступили в силу в начале месяца.

Основная тема для организаций - работы со средствами криптографической защиты информации, или СКЗИ, для собственных нужд. Поправки уточняют условия, при которых такие работы исключаются из лицензируемой деятельности.

Кого касается: организаций, использующих и обслуживающих СКЗИ для собственных нужд, а также лицензиатов.

Практическая задача - проверить конкретные случаи использования СКЗИ и необходимость лицензии с учётом обновлённых положений. Общей формулировки "для собственных нужд" для такой проверки недостаточно: решение нужно принимать применительно к выполняемым работам и условиям документа.

Что делать: сверить свою деятельность с новой редакцией Положения о лицензировании и определить, какие уточнения относятся к вашим работам со СКЗИ.

4. Государственное облако: Минцифры предложило требования к услугам и переводу систем

3 сентября Минцифры опубликовало проект требований к облачным услугам, предоставляемым через государственную единую облачную платформу, или ГЕОП.

Документ охватывает два связанных вопроса: требования к самим облачным услугам и порядок перевода информационных систем и ресурсов потребителей в ГЕОП. В проекте также рассматривается методология такого перевода.

Кого касается: государственных органов, операторов информационных систем, которые предполагается переводить в ГЕОП, и поставщиков облачных услуг.

Пока документ находится на стадии проекта. Для организаций это повод изучить предлагаемые условия и оценить, что они могут означать для планируемой миграции. Окончательные требования и сроки нужно отслеживать по принятому акту.

Что делать: следить за общественным обсуждением проекта и готовиться к возможным требованиям по переводу систем и ресурсов в государственную облачную платформу.

5. ИИ в рекомендациях: пользователям предлагают дать настройку запрета

В Госдуму направлен законопроект № 1330069-8 с изменениями в статью 10-2-2 Федерального закона № 149-ФЗ "Об информации, информационных технологиях и о защите информации".

Предлагается дать пользователям информационных ресурсов с рекомендательными технологиями возможность запрещать в настройках материалы, созданные или существенно изменённые с применением искусственного интеллекта. Пользователь также сможет отменить этот запрет.

Кого касается: владельцев информационных ресурсов с рекомендательными системами и операторов платформ.

Это ещё не действующее требование. В случае принятия законопроекта ориентировочный срок применения изменений - 1 сентября 2027 года.

Что делать: отслеживать прохождение законопроекта и заранее прорабатывать техническую возможность такой настройки. До принятия документа стоит учитывать, что его окончательная редакция и сроки могут измениться.

6. Персональные данные и сертифицированные средства защиты

В сентябрьский обзор вошли ещё два события.

Опубликован приказ Рособрнадзора от 28.05.2026 № 1106, который вносит изменения в правила обработки персональных данных в ведомстве. Область его применения важно учитывать: это изменения ведомственных правил, а не новые общие требования ко всем операторам персональных данных.

Также обновлена выписка из перечня средств защиты информации, сертифицированных ФСБ России. Организациям, которые используют этот перечень при выборе и учёте средств защиты, стоит свериться с актуальной выпиской.

Кому и что делать: сводка по ролям

• Владельцам ЗОКИИ: подготовить процессы сбора данных и пробные расчёты Кзи и уровня зрелости к 1 марта 2027 года.
• Организациям сферы науки, являющимся субъектами КИИ: изучить проект Минобрнауки об оценке сведений при категорировании.
• Организациям, работающим со СКЗИ: проверить применимость уточнений по лицензированию для собственных нужд.
• Цифровым депозитариям, организациям по обмену цифровых валют и операторам ЦФА: оценить проекты Банка России и возможные изменения процессов.
• Государственным органам, операторам систем и облачным провайдерам: отслеживать проект требований к ГЕОП.
• Владельцам рекомендательных сервисов: следить за законопроектом о настройке запрета ИИ-контента.

Итог: мартовскую подготовку начинаем сейчас

Главный практический ориентир сентября для владельцев ЗОКИИ - 1 марта 2027 года. До этой даты стоит разобраться с методическими подходами, назначить ответственных и проверить расчёты на своих данных.

По остальным крупным темам месяца значительная часть документов пока остаётся проектами. Здесь задача другая: следить за редакциями, оценивать применимость и заранее понимать объём возможных работ. Так подготовка будет опираться на конкретные документы и сроки, а не на очередное письмо "срочно привести всё в соответствие".