ФСТЭК вводит две новые оценки безопасности критической инфраструктуры: что изменится для предприятий
30-10-2026
С 1 марта 2027 года в России начнут действовать новые требования к обеспечению безопасности значимых объектов критической информационной инфраструктуры. Организациям предстоит регулярно оценивать защищённость своих систем, проверять эффективность мероприятий по информационной безопасности и контролировать уровень зрелости привлечённых подрядчиков.
ФСТЭК России утвердила изменения в требования к созданию и функционированию систем безопасности значимых объектов критической информационной инфраструктуры. Соответствующий приказ от 16 июля 2026 года № 220 зарегистрирован Минюстом России 7 сентября 2026 года под № 88168.
Документ дополняет действующие требования, утверждённые приказом ФСТЭК России от 21 декабря 2017 года № 235, четырьмя новыми пунктами — 36¹–36⁴.
Два показателя вместо формального контроля
Новые правила предусматривают расчёт двух показателей, позволяющих оценивать состояние системы безопасности.
Первый — показатель защищённости Кзи. Он характеризует текущее состояние защиты значимого объекта КИИ и степень соответствия минимально необходимому уровню противодействия типовым актуальным угрозам информационной безопасности.
Его расчёт и оценку субъект критической информационной инфраструктуры должен проводить не реже одного раза в шесть месяцев.
Если полученное значение не соответствует установленным нормативам, руководитель организации должен быть проинформирован в течение трёх календарных дней после завершения оценки. Это необходимо для принятия решения о дополнительных мерах защиты.
Кроме того, результаты оценки показателя Кзи необходимо направлять во ФСТЭК России не позднее пяти рабочих дней после расчёта.
Второй показатель — уровень зрелости Узи. Он предназначен для определения достаточности и эффективности мероприятий, реализованных для обеспечения безопасности значимых объектов КИИ. Его расчёт субъектом КИИ должен проводиться не реже одного раза в три года.
Подрядчики также попадают под контроль
Отдельный блок требований касается сторонних организаций, получающих доступ к значимым объектам КИИ.
Речь идёт о подрядчиках, которые обрабатывают или хранят информацию, создают и развивают информационные системы, обеспечивают их эксплуатацию либо выполняют работы и оказывают услуги по обеспечению безопасности объекта.
Такие организации должны проходить оценку показателя уровня зрелости Узи до получения доступа к значимому объекту КИИ. В дальнейшем оценка проводится не реже одного раза в три года.
При этом субъект КИИ обязан установить соответствующее требование для привлекаемых подрядчиков. Если показатель зрелости не соответствует нормированным значениям, руководитель субъекта КИИ должен быть проинформирован в течение трёх календарных дней после завершения оценки.
Что необходимо сделать предприятиям
Введение новых требований потребует от субъектов КИИ пересмотреть внутренние процедуры контроля информационной безопасности.
В частности, организациям предстоит предусмотреть регулярный расчёт показателей защищённости и зрелости, определить ответственных сотрудников, организовать передачу результатов во ФСТЭК, а также включить требования к оценке зрелости в процедуры взаимодействия с подрядчиками.
Для интеграторов, сервисных компаний и поставщиков решений в сфере информационной безопасности это означает повышение значимости подтверждённой зрелости собственных процессов защиты.
Новый порядок делает оценку эффективности информационной безопасности регулярной процедурой. Теперь важным становится не только наличие средств защиты на объекте, но и возможность документально подтвердить состояние защищённости, результативность принятых мер и готовность подрядчиков соблюдать установленные требования.
ФСТЭК России утвердила изменения в требования к созданию и функционированию систем безопасности значимых объектов критической информационной инфраструктуры. Соответствующий приказ от 16 июля 2026 года № 220 зарегистрирован Минюстом России 7 сентября 2026 года под № 88168.
Документ дополняет действующие требования, утверждённые приказом ФСТЭК России от 21 декабря 2017 года № 235, четырьмя новыми пунктами — 36¹–36⁴.
Два показателя вместо формального контроля
Новые правила предусматривают расчёт двух показателей, позволяющих оценивать состояние системы безопасности.
Первый — показатель защищённости Кзи. Он характеризует текущее состояние защиты значимого объекта КИИ и степень соответствия минимально необходимому уровню противодействия типовым актуальным угрозам информационной безопасности.
Его расчёт и оценку субъект критической информационной инфраструктуры должен проводить не реже одного раза в шесть месяцев.
Если полученное значение не соответствует установленным нормативам, руководитель организации должен быть проинформирован в течение трёх календарных дней после завершения оценки. Это необходимо для принятия решения о дополнительных мерах защиты.
Кроме того, результаты оценки показателя Кзи необходимо направлять во ФСТЭК России не позднее пяти рабочих дней после расчёта.
Второй показатель — уровень зрелости Узи. Он предназначен для определения достаточности и эффективности мероприятий, реализованных для обеспечения безопасности значимых объектов КИИ. Его расчёт субъектом КИИ должен проводиться не реже одного раза в три года.
Подрядчики также попадают под контроль
Отдельный блок требований касается сторонних организаций, получающих доступ к значимым объектам КИИ.
Речь идёт о подрядчиках, которые обрабатывают или хранят информацию, создают и развивают информационные системы, обеспечивают их эксплуатацию либо выполняют работы и оказывают услуги по обеспечению безопасности объекта.
Такие организации должны проходить оценку показателя уровня зрелости Узи до получения доступа к значимому объекту КИИ. В дальнейшем оценка проводится не реже одного раза в три года.
При этом субъект КИИ обязан установить соответствующее требование для привлекаемых подрядчиков. Если показатель зрелости не соответствует нормированным значениям, руководитель субъекта КИИ должен быть проинформирован в течение трёх календарных дней после завершения оценки.
Что необходимо сделать предприятиям
Введение новых требований потребует от субъектов КИИ пересмотреть внутренние процедуры контроля информационной безопасности.
В частности, организациям предстоит предусмотреть регулярный расчёт показателей защищённости и зрелости, определить ответственных сотрудников, организовать передачу результатов во ФСТЭК, а также включить требования к оценке зрелости в процедуры взаимодействия с подрядчиками.
Для интеграторов, сервисных компаний и поставщиков решений в сфере информационной безопасности это означает повышение значимости подтверждённой зрелости собственных процессов защиты.
Новый порядок делает оценку эффективности информационной безопасности регулярной процедурой. Теперь важным становится не только наличие средств защиты на объекте, но и возможность документально подтвердить состояние защищённости, результативность принятых мер и готовность подрядчиков соблюдать установленные требования.
