Дайджест за октябрь 2026: пять дней на отправку Кзи, новые правила для ПДн и ошибки в планах реагирования

После расчёта показателя защищённости у оператора есть пять рабочих дней, чтобы направить результаты во ФСТЭК. План реагирования может потребовать доработки ещё до согласования с НКЦКИ. А перечень стран с адекватной защитой персональных данных с 30 октября уже изменился.

Октябрьский обзор касается прежде всего операторов государственных информационных систем, субъектов критической информационной инфраструктуры (КИИ), операторов персональных данных и разработчиков ПО. Общий уровень критичности периода умеренный, но отдельные задачи по оценке защищённости и отчётности требуют приоритетного внимания.

Разбираем, где нужно проверить действующие процессы, к чему подготовиться до декабря и какие документы пока остаются проектами.

1. Кзи: проверить нужно и расчёт, и отправку результатов

В начале октября ФСТЭК России опубликовала информационное сообщение от 01.10.2026 № 240/92/6722 о представлении результатов оценки показателя защищённости Кзи. Он характеризует текущее состояние защиты информации от базового уровня угроз.

Сообщение связано с выполнением требований приказа ФСТЭК № 117. Операторы обязаны проводить оценку и направлять её результаты во ФСТЭК не позднее пяти рабочих дней после дня расчёта. Основание для оценки и представления результатов закреплено в пунктах 28 и 32 Требований.

Кого касается: операторов государственных информационных систем (ГИС), иных информационных систем государственных органов, государственных унитарных предприятий и государственных учреждений в области применения приказа № 117.

Практический риск возникает на стыке двух процедур. Расчёт может быть выполнен вовремя, но его результаты останутся на внутреннем согласовании. Поэтому проверять стоит всю последовательность действий до отправки.

Что сделать:

• Проверить актуальность процесса расчёта Кзи.
• Убедиться, что результаты направляются во ФСТЭК в установленный срок.
• Закрепить процедуру во внутренних регламентах.

Для этой темы в октябрьском обзоре отмечен средний или высокий уровень риска. Если процедура передачи результатов пока не определена, её стоит поставить в начало рабочего плана.

Информационное сообщение ФСТЭК России.

2. Идентификация и аутентификация: новый ГОСТ вводится с 1 декабря

В октябре опубликован ГОСТ Р 70262.3-2026 "Защита информации. Идентификация и аутентификация. Типовые угрозы и уязвимости идентификации и аутентификации". Он утверждён приказом Росстандарта от 14.09.2026 № 1136-ст и вводится в действие с 1 декабря 2026 года.

Стандарт задаёт форму и структуру описания типовых угроз и уязвимостей процессов идентификации и аутентификации. В нём систематизированы соответствующие угрозы и уязвимости, включая типовые атаки: спуфинг, фишинг, фарминг и другие.

Кого касается: разработчиков и эксплуатантов систем управления доступом, а также организаций, применяющих требования приказа № 117.

Практическая задача на ноябрь - изучить документ и оценить его применимость при актуализации моделей угроз и механизмов идентификации и аутентификации. Новый стандарт даёт основу для более последовательного описания угроз: от того, как они сформулированы, зависит обоснование выбранных мер защиты.

При планировании работ важно различать дату введения стандарта и основания его обязательного применения. Саму дату 1 декабря не следует трактовать как универсальный срок обязательной переработки всех систем доступа.

Приказ Росстандарта об утверждении стандарта.

3. Планы реагирования: ГосСОПКА указала на три типичные ошибки

13 октября ГосСОПКА, государственная система обнаружения, предупреждения и ликвидации последствий компьютерных атак, опубликовала сообщение о типовых ошибках при разработке планов реагирования на компьютерные инциденты.

В сообщении выделены три ситуации:

• На согласование в Национальный координационный центр по компьютерным инцидентам (НКЦКИ) направляют план, который не предусматривает привлечения подразделений ФСБ.
• Направляют уже утверждённый план, предусматривающий привлечение ФСБ.
• Разделы плана остаются незаполненными либо заполняются формально.

Кого касается: субъектов КИИ.

Первые две ошибки связаны с порядком работы с документом. Третья затрагивает его содержание: наличие раздела ещё не означает, что в нём описаны действия при инциденте.

Перед направлением плана в НКЦКИ стоит проверить, предусмотрено ли привлечение подразделений ФСБ, соответствует ли этому порядок согласования и насколько содержательно заполнены разделы. При необходимости план нужно переработать до отправки.

Уровень риска по этой теме в обзоре оценён как средний. Практический вывод: проверять нужно одновременно содержание плана и последовательность его согласования и утверждения.

4. Персональные данные: перечень стран уже изменился

19 октября опубликован приказ Роскомнадзора от 16.09.2026 № 253 "Об утверждении перечня иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных".

Приказ вступил в силу 30 октября 2026 года. В обновлённом перечне 88 государств, Украина из него исключена.

Кого касается: операторов, осуществляющих трансграничную передачу персональных данных (ПДн).

Здесь требуется проверить, на какой перечень опираются действующие процессы передачи данных. Внутренние документы и рабочие процедуры должны учитывать изменение, которое уже вступило в силу.

Что сделать:

• Актуализировать внутренние перечни стран.
• Проверить процессы трансграничной передачи с учётом нового состава перечня.
• Определить, какие действующие процедуры требуют корректировки.

Ещё одно событие месяца связано с обезличенными данными. 29 октября опубликовано постановление Правительства РФ от 28.10.2026 № 1418, которое вносит изменения в акты по вопросам обработки персональных данных, полученных в результате обезличивания.

Организациям, работающим с такими данными, нужно изучить изменения и учитывать уточнённые правила в своих процессах. В исходных материалах обзора подробный состав поправок не раскрыт, поэтому конкретный перечень необходимых действий следует определять по тексту постановления.

5. Электронная подпись: проверить применимость приказа ФСБ № 355

16 октября опубликован приказ ФСБ России от 25.09.2026 № 355. Он вносит изменения в нормативные правовые акты, устанавливающие обязательные требования в сфере государственной безопасности, связанные с использованием электронной подписи (ЭП).

Кого касается: организаций, применяющих ЭП в контексте соответствующих требований государственной безопасности.

Для этой темы первый шаг - определить применимость изменений к своей деятельности. Затем можно оценивать, какие внутренние документы и процедуры необходимо актуализировать.

Сам факт использования электронной подписи не заменяет такую проверку. Рабочий план нужно строить по тем положениям изменённых актов, которые относятся к конкретной организации.

6. Доверенные среды и безопасная разработка: следим за проектами

В октябре опубликованы проекты стандартов сразу по нескольким техническим направлениям.

В период с 6 по 13 октября появились проекты ГОСТ Р:

• "Доверенная среда исполнения. Общие положения".
• "Доверенная среда исполнения. Требования к аппаратно-программной платформе".
• "Безопасность интегральных схем. Общие положения".

27 октября ФСТЭК России опубликовала проекты ГОСТ Р по разработке безопасного ПО, посвящённые технологиям динамического анализа и композиционному анализу.

Кого касается: разработчиков ПО, аппаратно-программных платформ и организаций, которые определяют требования к безопасности таких решений.

Пока это проекты. Их стоит изучать для оценки возможных изменений в разработке и выборе технологий, сохраняя различие между обсуждаемыми положениями и принятыми требованиями.

Вместе с новым стандартом по идентификации и аутентификации эти документы показывают направление развития стандартизации: управление доступом, доверие к платформе и безопасность разработки получают более подробное описание.

7. Что поставить в рабочий план после октября

Приоритет зависит от роли организации и применимых требований.

Операторам ГИС и иных систем в области действия приказа № 117 стоит в первую очередь проверить расчёт Кзи и отправку результатов. Контрольная точка здесь конкретная: не позднее пяти рабочих дней после дня расчёта.

Субъектам КИИ - пересмотреть планы реагирования с учётом трёх ошибок, отмеченных ГосСОПКА. Проверку лучше завершить до направления документов в НКЦКИ.

Операторам ПДн - актуализировать процессы трансграничной передачи с учётом перечня, действующего с 30 октября. Тем, кто работает с обезличенными данными, дополнительно изучить постановление № 1418.

Разработчикам и эксплуатантам систем управления доступом - запланировать изучение ГОСТ Р 70262.3-2026 до его введения 1 декабря. Организациям, которых затрагивают требования к ЭП, - проверить применимость приказа ФСБ № 355.

Октябрьский обзор показывает, насколько важна связь между нормативным документом и повседневной работой. Для действующих требований нужны понятные процедуры и контроль сроков. Для новых стандартов и проектов - оценка применимости и подготовка к возможным изменениям.

Предлагаем начать с проверки этих задач на своих процессах: где уже определён порядок действий, а где документ пока только принят к сведению.