ФСТЭКФедеральная служба по техническому и экспортному контролю — Регулятор технической защиты информации (ИСПДн, ГИС, КИИ); ведёт реестр сертифицированных СЗИ. России переводит защиту разных информационных систем на одну методику. Основа — методический документ «Состав и содержание мероприятий и мер по защите информации, содержащейся в информационных системах», утверждённый 12 апреля 2026 года. Для государственных систем он уже обязателен. Системы персональных данных и значимые объекты КИИКритическая информационная инфраструктура — Информационные системы и сети госорганов и организаций ключевых отраслей; режим защиты установлен 187-ФЗ. идут следом.
Ниже — где документ применяется сейчас, как уровень защищённости персональных данных переходит в класс К1–К3 и что изменится в составе мер для ИСПДнИнформационная система персональных данных — Совокупность персональных данных в базах данных и обеспечивающих их обработку информационных технологий и технических средств. и КИИ.
Одна методика для трёх режимов
Сам документ говорит, что он написан не только для ГИСГосударственная информационная система — С 01.09.2026 — система, созданная на основании федерального закона, акта Президента или Правительства РФ (федеральная) либо закона, акта высшего должностного лица или органа власти субъекта РФ (региональная), ст. 13 Федерального закона от 27.07.2006 № 149-ФЗ. Меры защиты — по приказу ФСТЭК России от 11.04.2025 № 117.. По пункту 1.2 он касается информационных систем госорганов, учреждений и других организаций, в том числе субъектов КИИ. Пункт 1.3 говорит, что документ определяет содержание мер, которые принимают по требованиям ФСТЭК. Сноска к нему перечисляет эти требования: приказы № 117, № 239, оба приказа № 31 и приказ № 21.
| Режим | Где меры сейчас | Связь с документом от 12.04.2026 |
|---|---|---|
| ГИС и иные системы госорганов | Приказ ФСТЭК России от 11.04.2025 № 117. Таблицы мер в нём нет | Обязателен. Пункт 68 приказа требует реализовывать меры с использованием методических документов ФСТЭК |
| ИСПДн | Приказ ФСТЭК России от 18.02.2013 № 21, таблица мер по уровням защищённости 1–4 | Документ сам называет приказ № 21 среди требований, содержание мер которых он раскрывает. Но приказ № 21 к методическим документам не отсылает, поэтому сейчас это методика, а не обязанность. Проект приказа взамен № 21 убирает таблицу и отсылает к методическим документам ФСТЭК; перечни мероприятий и групп мер в проекте совпадают с документом |
| Значимые объекты КИИ | Приказ ФСТЭК России от 25.12.2017 № 239, таблица мер по категориям значимости | Применяется уже сейчас: пункт 22.1 приказа № 239 требует при реализации мер применять методические документы ФСТЭК. Таблица мер в приказе пока остаётся |
Проект приказа для ИСПДн размещён на regulation.gov.ru 24 июля 2026 года (проект № 169583). В нём указана дата вступления в силу — 1 сентября 2026 года. На 11 октября 2026 года приказ не принят, поэтому действует приказ № 21.
Для КИИ первый шаг уже сделан. Приказ ФСТЭК России от 16.07.2026 № 220 дополнил требования к системам безопасности (приказ № 235) показателями защищённости и зрелости. С 1 марта 2027 года их считают по методическим документам ФСТЭК. Изменения в приказ № 239 по такой же схеме пока не приняты. Приказ № 220 таблицу мер приказа № 239 не отменяет. Но логика та же, что для ИСПДн, поэтому наш прогноз — таблица со временем уйдёт и оттуда.
Уровень защищённости и категория значимости превращаются в класс
Методический документ раскладывает базовые меры по трём классам защищённости: К1 — самый высокий, К3 — самый низкий. Уровней защищённости ПДнПерсональные данные — Любая информация, относящаяся к прямо или косвенно определённому физическому лицу (субъекту ПДн). и категорий значимости в его таблицах нет. Как их сопоставить, сказано в приложении № 3.
| Класс по методическому документу | Какие уровни защищённости ПДн обеспечивают его меры | Какие категории значимости КИИ |
|---|---|---|
| К1 | УЗУровень защищённости персональных данных — Один из четырёх уровней (УЗ-1…УЗ-4) для ИСПДн по постановлению Правительства №1119; определяет состав мер.-1, УЗ-2, УЗ-3, УЗ-4 | I, II, III |
| К2 | УЗ-2, УЗ-3, УЗ-4 | II, III |
| К3 | УЗ-3, УЗ-4 | III |
Таблица не присваивает класс системе. Она показывает, меры какого класса обеспечивают нужный уровень. Наименьший такой класс: для УЗ-1 — К1, для УЗ-2 — К2, для УЗ-3 и УЗ-4 — К3. Для КИИ: I категория — К1, II — К2, III — К3. Меры более высокого класса тоже подходят, но обойдутся дороже.
Обратите внимание: УЗ-3 и УЗ-4 попадают в один класс. Сейчас по приказу № 21 у этих уровней разные наборы мер. По методическому документу исходный базовый набор у них один и тот же. Итоговый состав мер всё равно определяют после адаптации и проверки по актуальным угрозам.
Калькулятор уровня защищённости теперь показывает рядом с УЗ класс, меры которого его обеспечивают.
Что изменится для ИСПДн
Сравниваем действующий приказ № 21 с проектом, который его заменит. Проект ещё могут поправить.
| Вопрос | Приказ № 21 (действует) | Проект взамен № 21 |
|---|---|---|
| Откуда берётся состав мер | Приложение к приказу: 109 мер в 15 группах с отметками по УЗ 1–4 | Таблицы нет. Пункт 11 называет 21 мероприятие, пункт 12 — 17 групп мер. Содержание мер для уровня защищённости оператор определяет по методическим документам ФСТЭК |
| Как выбирают меры | Базовый набор по УЗ, адаптация, уточнение, дополнение | Тот же порядок: базовые меры, адаптация к архитектуре и технологиям, проверка по актуальным угрозам с дополнением и усилением (пункт 13) |
| Где зафиксировать состав мер | Не установлено | В политике в отношении обработки персональных данных (пункт 12) |
| Модель угроз | Меры направлены на нейтрализацию актуальных угроз | Актуальные угрозы определяются всегда. Нужна ли модель угроз при создании системы, решает оператор. Если её разрабатывают, то по методическим документам ФСТЭК (пункт 7) |
| Проверка защиты | Оценка эффективности мер не реже раза в 3 года (пункт 6) | Оценка показателя уровня зрелости УзиПоказатель уровня зрелости деятельности по защите информации — Показатель достаточности и эффективности мероприятий по защите информации по методике ФСТЭК России от 07.08.2026; для ГИС (приказ ФСТЭК №117) до 01.03.2027 рассчитывается оператором не реже раза в два года, затем — подрядчиком, для значимых объектов КИИ — с 01.03.2027 не реже раза в три года. Обозначение Узи введено в приказ №117 приказом ФСТЭК России от 08.05.2026 № 137, в первой редакции приказа — Пзи.: перед началом обработки, затем не реже раза в 3 года и после каждого компьютерного инцидента (пункт 9) |
| Обработчик по поручению | Безопасность обеспечивает и лицо, которое обрабатывает ПДн по поручению. Требования к показателю зрелости нет | Оператор устанавливает обработчику требование к Узи. Обработчик проходит оценку в те же сроки (пункт 10) |
| Угрозы 1-го и 2-го типов | Можно добавить проверку ПО на недекларированные возможности, тестирование на проникновение, защищённое программирование | Можно добавить проверку ПО на уязвимости и недекларированные возможности и безопасную разработку ПО. Тестирования на проникновение в этом списке нет: оно стало одним из методов периодического контроля защищённости. Контроль одним из методов проводят не реже раза в 3 года |
| Сертифицированные средства защиты | УЗ-1 — 4 класс, УЗ-2 — 5 класс, УЗ-3 и УЗ-4 — 6 класс. Плюс класс средств вычислительной техники | Те же классы и уровни доверия. Требования к классу средств вычислительной техники в проекте нет (пункт 16) |
| ГосСОПКАГосударственная система обнаружения, предупреждения и ликвидации последствий компьютерных атак — Система ФСБ для мониторинга и реагирования на компьютерные атаки, прежде всего на объекты КИИ. и ИИ | Не упоминаются | Непрерывное взаимодействие с ГосСОПКА и защита информации при использовании искусственного интеллекта входят в перечень мероприятий |
Какие группы мер уходят и куда
Меры из приказа № 21 не исчезают. Многие перестают быть отдельной группой: их содержание переходит в мероприятия (процессы) раздела III методического документа или делится между новыми группами. Для каждого мероприятия документ требует свой внутренний регламент.
| Группа в приказе № 21 | Что с ней в методическом документе |
|---|---|
| ИАФИдентификация и аутентификация — Группа мер защиты: распознавание и подтверждение подлинности пользователей и устройств. — идентификация и аутентификация | Остаётся группой ИАФ. Идентификация и аутентификация устройств больше не входят в базовый набор ни одного класса — их добавляют при адаптации |
| УПДУправление доступом — Группа мер защиты: разграничение и контроль доступа субъектов к объектам доступа. — управление доступом | Остаётся группой УПД. Удалённый, беспроводной и привилегированный доступ вынесены в отдельные мероприятия |
| ОПС — ограничение программной среды | Уходит как группа. Контроль запуска программ — в защите конечных устройств (ЗКУ) |
| ЗНИЗащита машинных носителей информации — Группа мер защиты: учёт, хранение и гарантированное затирание носителей с информацией. — защита машинных носителей | Уходит как группа. Учёт, стирание и уничтожение носителей — в мероприятии по обращению с информацией ограниченного доступа, хранение — в физической защите |
| РСБРегистрация событий безопасности — Группа мер защиты: журналирование и анализ событий информационной безопасности. — регистрация событий | Остаётся группой РСБ, анализ событий — в мероприятии по мониторингу информационной безопасности |
| АВЗАнтивирусная защита — Меры и средства защиты от вредоносного программного обеспечения. — антивирусная защита | Остаётся группой АВЗ: отдельно устройства, почта и сетевой трафик. «Песочница» — мера для адаптации |
| СОВСистема обнаружения вторжений — Средство выявления компьютерных атак и подозрительной сетевой активности. — обнаружение вторжений | Остаётся группой СОВ: на периметре и между сегментами |
| АНЗАнализ защищённости — Группа мер защиты: выявление уязвимостей и контроль конфигураций. — анализ защищённости | Уходит как группа. Делится между мероприятиями: управление уязвимостями, управление обновлениями, контроль конфигураций, периодический контроль защищённости |
| ОЦЛОбеспечение целостности — Группа мер защиты: контроль целостности ПО и информации, защита от несанкционированных изменений. — целостность | Уходит как группа. Контроль целостности вошёл в группы по технологиям (виртуализация, контейнеры, конечные и мобильные устройства), резервное копирование — в мероприятие по непрерывности |
| ОДТОбеспечение доступности — Группа мер защиты: резервное копирование и отказоустойчивость для доступности информации. — доступность | Уходит как группа. Резервирование и восстановление — в мероприятии по непрерывности, защита от отказа в обслуживании — в группе ЗОО |
| ЗСВ — виртуализация | Остаётся группой ЗСВ и охватывает облачные вычисления |
| ЗТС — защита технических средств | Уходит как группа. Переходит в мероприятие по физической защите |
| ЗИСЗащита информационной системы, её средств и систем связи — Группа мер защиты по приказам ФСТЭК: межсетевое экранирование, сегментирование сети, защита каналов передачи данных. — защита системы и каналов связи | Делится на группы: сегментация и межсетевое экранирование (МСЭ), защита каналов связи (ЗКС), защита от отказа в обслуживании (ЗОО), а также веб, почта и API |
| ИНЦ — инциденты | Уходит как группа. Выявление и реагирование — в мониторинге информационной безопасности и регистрации событий, обмен с ГосСОПКА — отдельное мероприятие |
| УКФУправление конфигурацией — Группа мер защиты: контроль состава и настроек системы и средств защиты, управление обновлениями. — управление конфигурацией | Уходит как группа. Переходит в мероприятие по контролю конфигураций |
Что добавится
Технологии, которые в приказе № 21 упоминались мимоходом или не упоминались вовсе, выделены в самостоятельные группы мер.
| Новое | Что это |
|---|---|
| ЗКО — контейнерные среды | Изоляция контейнеров, контроль образов и оркестрации, поиск уязвимостей в контейнерах |
| ЗЭП — электронная почта | Защита ящиков, вложений, от фишинга и спама |
| ЗВТ — веб-технологии | Фильтрация трафика веб-приложений, проверка загружаемых файлов, регистрация событий |
| ЗПИ — программные интерфейсы (API) | Защита данных API, доступ приложений, проверка запросов на соответствие спецификации |
| ЗКУ, ЗМУ — конечные и мобильные устройства | Целостность ПО, антивирус, контроль приложений и функций устройства |
| ЗИВ — интернет вещей | Аутентификация, доступ и целостность для датчиков, камер и других устройств |
| ЗБД — точки беспроводного доступа | Аутентификация, доступ, ограничение уровня сигнала |
| МСЭ — сегментация | Сегментация сети, демилитаризованная зона, фильтрация трафика. Маскирование и ложные системы — меры для адаптации |
| ЗОО — отказ в обслуживании | Фильтрация входящего трафика, мониторинг сервисов, ограничение нагрузки |
| Мероприятия (процессы) | Выявление угроз, контроль конфигураций, управление уязвимостями и обновлениями, мониторинг, безопасная разработка, непрерывность, обучение пользователей, работа с подрядчиками, защита при использовании ИИ, периодический контроль защищённости. На каждое — внутренний регламент |
Сколько мер в базовом наборе
Меры в документах нарезаны по-разному, поэтому число мер сравнивает порядок величин, а не объём работ. Но разница заметна, особенно для небольших систем.
| Набор | Всего мер | В базовом наборе |
|---|---|---|
| Приказ № 21, ИСПДн | 109 | УЗ-1 — 69, УЗ-2 — 66, УЗ-3 — 41, УЗ-4 — 27 |
| Приказ № 239, значимые объекты КИИ | 152 | I категория — 117, II — 108, III — 90 |
| Методический документ от 12.04.2026 | 96 | К1 — 85, К2 — 85, К3 — 82. Классы К1 и К2 различаются усилениями мер: у К1 их больше |
Для УЗ-4 разница самая большая: 27 мер сейчас и 82 меры класса К3. Базовый набор — отправная точка. Меры, которые не относятся к системе, исключают при адаптации: например, защиту контейнеров там, где контейнеров нет. Но исключение придётся обосновать, а не просто не делать.
Как будет выглядеть комплект документов
В приказе № 21 нет перечня документов. Оператор сам решал, какие бумаги подтвердят меры, поэтому комплекты у всех разные. Методический документ закрывает этот пробел. Для большинства мероприятий в нём есть раздел «Требования к документированию»: какой внутренний документ нужен и что в нём должно быть.
Документов два вида. Регламент описывает порядок: кто отвечает, что делает и в какие сроки. Стандарт задаёт требования к настройкам: какие средства, конфигурации и параметры допустимы. Ниже — комплект оператора ИСПДн по новому порядку, если проект примут в нынешнем виде.
| Часть комплекта | Документы | Основание |
|---|---|---|
| Основа (остаётся как сейчас) | Приказ о назначении ответственного, акт определения уровня защищённости, перечень лиц с доступом к ПДн, модель угроз или иное описание актуальных угроз | Постановление Правительства РФ от 01.11.2012 № 1119, пункт 7 проекта |
| Политика обработки ПДн | Та же политика, но с новым разделом: состав мер защиты для каждой системы с учётом объёма и категории данных | Пункт 12 проекта |
| Внутренние регламенты | Управление уязвимостями. Управление обновлениями. Обращение с информацией ограниченного доступа. Привилегированный доступ. Мониторинг информационной безопасности. Физическая защита. Повышение знаний пользователей. Доступ работников подрядчиков. Контроль уровня защищённости. Безопасная разработка ПО — если организация пишет ПО сама | Пп. 3.3–3.5, 3.10–3.13, 3.15, 3.16, 3.19 методического документа |
| Внутренние стандарты | Типовые конфигурации и настройки. Защита конечных устройств. Защита мобильных устройств. Удалённый доступ. Беспроводной доступ. Непрерывность функционирования, включая защиту от атак на отказ в обслуживании | Пп. 3.2, 3.6–3.9, 3.14, 3.17 методического документа |
| Выбор мер | Перечень мер базового набора класса с отметками, что исключено при адаптации и что добавлено. Обоснование компенсирующих мер, если меру нельзя реализовать | Пункты 13 и 14 проекта, приложение № 3 методического документа |
| Оценка | Отчёт об оценке показателя уровня зрелости Узи: перед началом обработки, раз в 3 года и после инцидента | Пункт 9 проекта |
| Обработчики | Требование к значению Узи в договоре поручения и результаты оценки обработчика | Пункт 10 проекта |
Для выявления угроз и для использования искусственного интеллекта отдельный документ не требуется. Регламенты не обязательно оформлять шестнадцатью отдельными бумагами. Их можно собрать в один регламент и один стандарт с разделами по мероприятиям — так устроены документы по приказу № 117 для ГИС. Главное, чтобы в каждом разделе было всё, что перечислено в требованиях к документированию.
К чему готовиться операторам ИСПДн
- Пока новый приказ не вступил в силу, выполнять приказ № 21. Документы по новому порядку можно готовить уже сейчас: приказ № 21 состава документов не задаёт, а регламенты по методическому документу описывают те же меры подробнее.
- Узнать класс каждой системы. УЗ-3 и УЗ-4 — это К3, и базовый набор у них станет одинаковым.
- Сверить внедрённые меры с базовым набором класса. Отдельно проверить почту, веб-сайт и личные кабинеты, API, мобильные устройства и сегментацию сети: в приказе № 21 таких групп не было.
- Написать регламенты управления уязвимостями и обновлениями, контроля конфигураций, мониторинга и непрерывности. Они нужны при любом классе.
- Включить в политику обработки ПДн состав мер по системам.
- Подготовиться к оценке уровня зрелости. Требование к обработчикам заранее включить в договоры поручения.
К чему готовиться субъектам КИИ
- Базовый набор мер значимого объекта по-прежнему выбирают по приложению к приказу № 239. Но пункт 22.1 уже требует применять методические документы ФСТЭК при реализации мер. Значит, содержание мер и регламенты стоит строить по документу от 12.04.2026. Меры класса К1 обеспечивают категорию I, К2 — II, К3 — III.
- С 1 марта 2027 года считать показатель защищённости Кзи не реже раза в шесть месяцев и направлять результат во ФСТЭК не позднее пяти рабочих дней. Показатель уровня зрелости Узи — не реже раза в три года (приказ № 220).
- Оценивать Узи подрядчиков до того, как они получат доступ к значимому объекту.
- Готовить те же регламенты и стандарты по мероприятиям, что и для ГИС. Если в организации есть ГИС, ИСПДн и значимые объекты, комплект документов у них может быть общий.
Станет сложнее или понятнее?
И то и другое. Понятнее станет вот что:
- одна схема мер и один набор документов для ГИС, ИСПДн и КИИ. Организации, у которой есть все три вида систем, не нужно вести три разных комплекта;
- у каждой меры есть содержание: что именно сделать и как проверить. В приказе № 21 у меры была только строка с названием;
- появился перечень документов и их содержания. Комплект больше не нужно угадывать;
- меры описывают современные технологии: облака, контейнеры, веб, API, мобильные устройства.
Сложнее станет вот что:
- для УЗ-3 и особенно УЗ-4 базовый набор заметно больше. Исключать лишние меры придётся с обоснованием;
- защита превращается в постоянные процессы с регламентами и сроками. Однажды внедрить средства и забыть больше не получится;
- оценку уровня зрелости нужно проводить чаще: перед началом обработки, раз в три года и после каждого инцидента;
- появляется ответственность за обработчиков: оператор задаёт им требование и проверяет его выполнение.
Небольшому оператору с УЗ-4 придётся больше всего работы с документами. Крупной организации с ГИС и КИИ, наоборот, станет проще: требования наконец сходятся в одну систему.
Вопросы и ответы
Методический документ уже обязателен для ИСПДн? Для обычной ИСПДн — пока нет: действует приказ № 21 со своей таблицей мер, и отсылки к методическим документам в нём нет. Но сам документ относит себя и к мерам приказа № 21, поэтому по нему уже сейчас можно раскрывать содержание мер и писать регламенты. Если ИСПДн одновременно государственная система, документ обязателен через приказ № 117.
Нужно ли переделывать защиту, если система УЗ-4? Пока приказ взамен № 21 не вступил в силу — нет. Но по проекту УЗ-4 попадает в класс К3 вместе с УЗ-3, и базовый набор у них один. Реалистичный план — собрать перечень недостающих мер и решить, какие закрыть, а какие исключить с обоснованием.
Что будет с уже проведённой оценкой эффективности? Переходных положений в проекте нет. Когда проводить первую оценку уровня зрелости для системы, которая уже работает, проект не говорит. Надёжнее не ждать трёх лет от прошлой оценки, а провести её в первый год после вступления приказа в силу.
Главное
ФСТЭК строит одну схему мер для ГИС, ИСПДн и КИИ: мероприятия и группы мер из методического документа от 12 апреля 2026 года и три класса защищённости. Уровень защищённости ПДн и категория значимости переводятся в класс К1–К3. Узнать класс своей системы можно в калькуляторе уровня защищённости.
Документы под новые требования не обязательно ждать до принятия приказа. В кабинете ГрамотаИБ их можно собрать уже сейчас: в разделе «Документы» на вкладке ИСПДн рядом с папками по приказу № 21 стоит полный набор по новому порядку: папка «Защита ИСПДн по новому порядку» с регламентом мероприятий и внутренними стандартами и папка на каждую систему с перечнем мер базового набора её класса, разделами для адаптации и компенсирующих мер. Сделайте этот набор рабочим. Политика обработки ПДн дополнится составом мер. Модель угроз, акт уровня защищённости и остальные документы остаются прежними, а вернуться к приказу № 21 можно в любой момент.