Приказ ФСТЭКФедеральная служба по техническому и экспортному контролю — Регулятор технической защиты информации (ИСПДн, ГИС, КИИ); ведёт реестр сертифицированных СЗИ. России от 11.04.2025 № 117 действует для ГИСГосударственная информационная система — С 01.09.2026 — система, созданная на основании федерального закона, акта Президента или Правительства РФ (федеральная) либо закона, акта высшего должностного лица или органа власти субъекта РФ (региональная), ст. 13 Федерального закона от 27.07.2006 № 149-ФЗ. Меры защиты — по приказу ФСТЭК России от 11.04.2025 № 117. и иных информационных систем государственных органов, государственных унитарных предприятий и государственных учреждений с 1 марта 2026 года. Он прямо устанавливает, как оператор учит своих сотрудников: формы обучения, срок проверки знаний и тренировки записаны в самом приказе, а не в рекомендациях.
Ниже — что именно обязательно, что добавляет методический документ ФСТЭК России от 12.04.2026 и как обучение влияет на показатель уровня зрелости. В конце — что из этого касается операторов ИСПДнИнформационная система персональных данных — Совокупность персональных данных в базах данных и обеспечивающих их обработку информационных технологий и технических средств. и субъектов КИИКритическая информационная инфраструктура — Информационные системы и сети госорганов и организаций ключевых отраслей; режим защиты установлен 187-ФЗ..
Три вида тренировок в приказе № 117
Слово «тренировка» встречается в приказе в трёх разных местах. Это три разных мероприятия, и участвуют в них разные люди.
| Тренировка | Кто участвует | Как часто | Обязательна ли |
|---|---|---|---|
| Отработка мер из внутренних регламентов и навыков защиты (п. 56, подпункт «г») | Пользователи информационных систем | Периодичность задаёт внутренний регламент | Да, входит в обязательный состав мероприятий по обучению |
| Проверка восстановления значимых функций из резервных копий (п. 55) | Работники, которые восстанавливают работу систем | Не реже одного раза в два года | Проверка обязательна. Тренировка — одна из её форм |
| Отработка действий в условиях реализации актуальных угроз (п. 66, подпункт «г») | Работники оператора | По плану. Сам контроль защищённости — «не реже одного раза в три года или после компьютерного инцидента» (п. 67) | Один из четырёх методов контроля защищённости. Метод выбирает оператор |
Путать их не стоит. Тренировка пользователей учит людей правильно действовать на рабочем месте. Проверка восстановления показывает, что систему действительно можно поднять из копий за установленное время. Тренировка в рамках контроля защищённости проверяет, как оператор в целом выдерживает атаку.
Обучение пользователей: что обязательно
По пункту 56 приказа мероприятия по повышению знаний и информированности пользователей должны включать четыре формы:
- информационные материалы: памятки, баннеры, буклеты по актуальным вопросам защиты;
- лекции, семинары, обучающие игры;
- учебные (имитационные) рассылки писем на служебную почту и в другие служебные средства связи. Они проверяют, насколько пользователи устойчивы к социальной инженерии;
- тренировки, на которых пользователи отрабатывают меры из внутренних регламентов и получают навыки защиты.
Пункт 57 добавляет три правила:
- способы обучения, его периодичность и формы проверки знаний оператор записывает во внутренних регламентах;
- оценка знаний проводится «не реже одного раза в три года или после компьютерного инцидента, произошедшего у оператора». Норма связывает поводы через «или». Надёжнее записать в регламенте оба: плановую проверку и внеплановую после инцидента;
- кто показал отсутствие знаний, проходит обучающий курс повторно.
Отдельно приказ требует от самого подразделения по защите информации: не меньше 30% его работников должны иметь профильное образование по информационной безопасности или пройти профессиональную переподготовку.
Что добавляет методический документ от 12.04.2026
Пункт 68 приказа требует реализовывать мероприятия с использованием методических документов ФСТЭК России. Для обучения это раздел 3.15 документа «Состав и содержание мероприятий и мер по защите информации, содержащейся в информационных системах».
Как базовое требование документ называет:
- доводить до пользователей политику, стандарты и регламенты по защите информации, памятки и другие материалы;
- проводить лекции, семинары, обучающие игры;
- определить, каких работников обучают и кто отвечает за обучение;
- периодически тестировать знания работников. Периодичность и форму тестирования задаёт внутренний регламент;
- отправлять на повторный курс тех, кто показал неудовлетворительные знания;
- вести учёт работников, которые систематически не сдают проверку, и сообщать о них руководителю.
Учебные рассылки и тренировки с пользователями документ перенёс в «требования к усилению». Сноска к разделу III говорит, что усиления применяются по решению оператора. Там же стоят ещё четыре усиления:
- собственные курсы и периодическое обучение по ним;
- углублённые курсы и тренинги по администрированию систем и средств защиты;
- платформы для обучения и тестирования знаний;
- внеочередная проверка знаний у тех, кто нарушил внутренние регламенты.
Как читать это расхождение. Для ГИС приказ № 117 главнее методического документа. Учебные рассылки и тренировки названы в пункте 56 среди того, что мероприятия «должны включать». Методический документ раскрывает, как выполнять приказ, но не отменяет его. Поэтому оператор ГИС обязан проводить и рассылки, и тренировки. Если какое-то мероприятие выполнить невозможно, приказ предлагает другой путь: компенсирующие меры с обоснованием (п. 69). При этом сам документ в требованиях к документированию требует описать в регламенте порядок тренировок с пользователями.
Тренировки встречаются в документе ещё дважды:
- в разделе 3.14 о непрерывности работы. Порядок проверок (тренировок) восстановления описывают в регламенте, а периодические тренировки восстановления с участием работников названы усилением;
- в пункте 2.17 и разделе 3.19 о контроле защищённости. Тренировки проводят «в соответствии с едиными замыслом и планом», а в усилениях раздела 3.19 стоят тренировки и контроль не реже раза в год.
Что записать в регламент и что сохранить
По методическому документу внутренний регламент по повышению знаний должен содержать:
- подразделения, работников или категории работников, которых обучают;
- способы обучения и условия их применения;
- состав мероприятий и их периодичность;
- подразделения или работников, которые организуют обучение;
- порядок тренировок с пользователями.
Срок проверки знаний стоит записать в регламент прямо, как в пункте 57 приказа. Методический документ отсылает к внутренним стандартам, а приказ называет срок сам.
Приказ не перечисляет, какими записями подтверждать обучение. Но без них не доказать ни проверяющему, ни при оценке зрелости, что обучение было. На практике сохраняют план обучения на год, списки участников лекций, результаты тестирования, отчёты об учебных рассылках, протоколы тренировок и учёт тех, кто не сдал проверку.
Как обучение влияет на показатель уровня зрелости
По пункту 31 приказа № 117 состояние защиты оценивают двумя показателями: показателем защищённости Кзи и показателем уровня зрелости УзиПоказатель уровня зрелости деятельности по защите информации — Показатель достаточности и эффективности мероприятий по защите информации по методике ФСТЭК России от 07.08.2026; для ГИС (приказ ФСТЭК №117) до 01.03.2027 рассчитывается оператором не реже раза в два года, затем — подрядчиком, для значимых объектов КИИ — с 01.03.2027 не реже раза в три года. Обозначение Узи введено в приказ №117 приказом ФСТЭК России от 08.05.2026 № 137, в первой редакции приказа — Пзи.. Сроки и обязанности по ним поменял приказ ФСТЭК России от 08.05.2026 № 137, и меняет их в два этапа.
| Период | Кзи | Узи |
|---|---|---|
| С 1 сентября 2026 года до 1 марта 2027 года | Оператор считает не реже раза в шесть месяцев | Оператор считает не реже раза в два года (п. 32 в прежней редакции, где показатель ещё назван Пзи). По обоим показателям: при несоответствии норме руководителю сообщают в течение трёх календарных дней со дня завершения оценки, результаты отправляют во ФСТЭК России не позднее пяти рабочих дней после дня расчёта |
| С 1 марта 2027 года | Оператор считает не реже раза в шесть месяцев. При несоответствии норме сообщает руководителю в течение трёх календарных дней со дня завершения оценки, результаты отправляет во ФСТЭК России не позднее пяти рабочих дней после дня расчёта | Считает подрядная организация: до получения доступа к системам или к информации в них и (или) до передачи ей информации, далее не реже раза в два года (п. 32 в новой редакции) |
Уже с 1 сентября 2026 года достаточность и эффективность мероприятий оцениваются по Кзи (п. 35), а план совершенствования защиты нацелен на Кзи (п. 33). Оператор устанавливает подрядчику требование по расчёту и оценке Узи (п. 58). Пункт 31 по-прежнему называет оба показателя основой оценки состояния защиты, но собственного срока расчёта Узи для оператора с марта 2027 года приказ не задаёт.
Для обучения отсюда два вывода. Подрядчику, который получает доступ к ГИС, придётся показать зрелость, и обучение его сотрудников войдёт в расчёт. Самому оператору показатель зрелости остаётся инструментом оценки, а обучение пользователей обязательно независимо от него, по пунктам 56 и 57.
Считают зрелость по методике оценки уровня зрелости, утверждённой ФСТЭК России 7 августа 2026 года. Методика применяется к ГИС, ИСПДн и значимым объектам КИИ. Обучение входит в расчёт двумя путями.
Первый путь — отдельное направление. Методика называет 21 базовое направление деятельности. Неприменимые исключаются, отраслевые могут добавляться. Одно из направлений — «повышение уровня знаний и информированности». Итоговый показатель — среднее арифметическое уровней всех оцениваемых направлений. Слабое обучение тянет вниз среднее так же, как слабое управление уязвимостями.
Второй путь — внутри каждого направления. Каждое направление оценивают по восьми видам требований с весами. Один из них — «Обучение» с весом 0,1:
| Как идёт обучение | Оценка |
|---|---|
| Не проводится | 0 |
| Эпизодически, по инициативе отдельных руководителей подразделений | 0,3 |
| Проводится, но без системного подхода и без измерения результатов | 0,5 |
| По утверждённой программе, охватывающей разные категории работников, с контролем знаний и умений | 1 |
Рядом стоит требование «Квалификация» с тем же весом 0,1. Оно касается специалистов, которые реализуют меры. Прошли обучение, но опыта нет — 0,5. Опыт больше года или сертификаты, подтверждающие компетенции, — 1.
Уровень направления зависит не только от суммы баллов. Для уровней 3 и 4 методика задаёт обязательные пороги по отдельным видам требований:
| Уровень направления | Что нужно по обучению |
|---|---|
| 1 и 2 | Отдельного порога нет, обучение только добавляет баллы |
| 3 | Не ниже 0,05 с учётом веса. Это значит, что обучение проводится хотя бы «без системного подхода»: эпизодическое не подходит |
| 4 | Полный балл: обучение по утверждённой программе с контролем знаний и умений. Плюс внешний аудит и актуализация |
Целевой уровень каждого направления оператор задаёт сам, а методика рекомендует минимум по классу системы:
| Система | Рекомендуемый целевой уровень направления |
|---|---|
| ГИС К3, ИСПДн УЗУровень защищённости персональных данных — Один из четырёх уровней (УЗ-1…УЗ-4) для ИСПДн по постановлению Правительства №1119; определяет состав мер.-3 и УЗ-4, значимый объект КИИ 3 категории | Не ниже 1 |
| ГИС К2, ИСПДн УЗ-2, значимый объект КИИ 2 категории | Не ниже 2 |
| ГИС К1, ИСПДн УЗ-1, значимый объект КИИ 1 категории | Не ниже 3 |
Вывод для систем К1, УЗ-1 и объектов КИИ 1 категории: если по каждому оцениваемому направлению обучение оценено в 0 или 0,3, то есть не проводится или проводится эпизодически, ни одно направление не достигнет рекомендуемого уровня 3. Сами тренировки в методике зрелости отдельно не названы, и форму контроля знаний и умений она не задаёт. Подтвердить такой контроль могут результаты тестов, практические задания и протоколы тренировок. Если обязательные по приказу № 117 тренировки не проводятся, это снижает оценку выполнения направления «повышение уровня знаний», хотя конкретного размера снижения методика не устанавливает.
Показатель защищённости Кзи тоже зависит от людей. По методике оценки показателя Кзи отчёты об учениях и тренировках служат исходными данными. Если в ходе испытаний, учений или тренировок получен первоначальный доступ к информационной системе с использованием учётных записей пользователей, вес группы показателей «Защита пользователей» становится нулевым. Сам по себе переход по ссылке в учебном письме к этому не приводит. Но если сотрудник ввёл пароль и с ним удалось войти в систему, Кзи снизится заметно. Подробнее о показателе — в статье «Что такое Кзи».
Операторы ИСПДн: что сейчас и что готовится
Сейчас. В действующем приказе ФСТЭК России от 18.02.2013 № 21 нет ни отдельной меры по обучению пользователей, ни тренировок. Если ИСПДн подпадает также под приказ № 117 или под требования к значимым объектам КИИ, действуют специальные требования этих режимов, описанные выше и ниже. Для остальных операторов об обучении говорит закон. Пункт 6 части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ называет среди мер оператора ознакомление работников, которые обрабатывают ПДнПерсональные данные — Любая информация, относящаяся к прямо или косвенно определённому физическому лицу (субъекту ПДн)., с законодательством, требованиями к защите и документами оператора и (или) их обучение. Состав мер оператор выбирает сам, поэтому формы и сроки обучения закон не задаёт.
Что готовится. ФСТЭК России подготовила проект приказа на замену приказа № 21 (regulation.gov.ru, проект № 169583, размещён 24 июля 2026 года). Публичное обсуждение завершено, в проекте указана дата вступления в силу 1 сентября 2026 года. На 13 октября 2026 года приказ не принят и не зарегистрирован, действует приказ № 21. Что меняет проект:
- «повышение уровня знаний и информированности пользователей по вопросам защиты информации» появляется в перечне мероприятий, которые реализует оператор (п. 11). В приказе № 21 такого отдельного мероприятия нет;
- содержание мер оператор определяет с использованием методических документов ФСТЭК России (п. 12). Сейчас таким документом служит документ от 12.04.2026: он сам называет приказ № 21 среди актов, меры которых раскрывает. Если так и останется, базовый набор обучения будет как у ГИС, а учебные рассылки и тренировки — усилением по решению оператора. Точный состав требований станет ясен после принятия приказа;
- эффективность мер оценивают по показателю уровня зрелости Узи перед началом обработки, затем не реже раза в три года и после инцидента (п. 9);
- оператор задаёт требование к Узи для того, кто обрабатывает ПДн по его поручению (п. 10).
Сроков проверки знаний и обязательных тренировок, как в приказе № 117, в проекте нет. Если проект примут в этой редакции, обучение станет отдельным мероприятием и будет учитываться в Узи: при УЗ-1 рекомендуемый уровень 3 по направлениям без обучения не получить. Окончательный текст может отличаться от проекта.
К чему готовиться. Если обучение сейчас — это подпись в листе ознакомления, его стоит превратить в программу: кого учим, чему, как часто и как проверяем. Такую программу можно ввести уже сейчас в рамках статьи 18.1 152-ФЗ. После принятия нового приказа её останется сверить с окончательными требованиями. Подробнее о проекте — в статье «Единые меры защиты ФСТЭК».
Субъекты КИИ: что уже действует
Для значимых объектов КИИ требования к обучению действуют давно, и они ближе к приказу № 117, чем к приказу № 21.
- Ежегодные мероприятия по повышению знаний. По пункту 15 Требований, утверждённых приказом ФСТЭК России от 21.12.2017 № 235, субъект КИИ не реже одного раза в год проводит мероприятия по повышению знаний работников о безопасности КИИ и возможных угрозах.
- Квалификация специалистов. По пункту 12 тех же Требований работники подразделения по безопасности и специалисты по безопасности проходят повышение квалификации по информационной безопасности не реже раза в три года.
- Информирование и обучение персонала. По пункту 13.7 Требований, утверждённых приказом ФСТЭК России от 25.12.2017 № 239, персонал информируют об угрозах, доводят до него требования и документы, учат работать со средствами защиты, в том числе на практических занятиях, и контролируют осведомлённость. Периодичность задаёт субъект с учётом категории значимости.
- Меры ИПО. Регламентация, информирование, обучение и контроль осведомлённости (ИПО.0, ИПО.1, ИПО.2, ИПО.4) входят в базовый набор для всех категорий. Практические занятия с персоналом (ИПО.3) входят в базовый набор для 1 и 2 категорий. Для 3 категории они не базовые: их применение решают при адаптации и дополнении набора мер. При этом пункт 13.7 сам называет практические занятия по эксплуатации средств защиты.
- Нештатные ситуации. Обучение и отработка действий персонала при нештатных ситуациях (п. 13.6, мера ДНС.2) входит в базовый набор для всех категорий.
При реализации мер субъект КИИ применяет методические документы ФСТЭК России (п. 22.1 приказа № 239). Поэтому раздел 3.15 документа от 12.04.2026 о регламенте обучения и тестировании знаний касается и КИИ.
Что меняется с 1 марта 2027 года. Приказ ФСТЭК России от 16.07.2026 № 220 дополнил приказ № 235 пунктами 36¹–36⁴. Субъект КИИ будет рассчитывать показатель Кзи не реже раза в шесть месяцев и показатель уровня зрелости Узи не реже раза в три года. Узи считают и подрядчики, которым дают доступ к значимому объекту: до получения доступа и затем раз в три года. Обучение войдёт в Узи так же, как у ГИС. Подробнее — в статье о приказе № 220.
Вопросы и ответы
Можно ли заменить тренировки онлайн-курсом? Обычный курс с тестом тренировку не заменяет. Пункт 56 приказа № 117 называет лекции и тренировки отдельными формами, и мероприятия должны включать обе. Курс закрывает обучение и проверку знаний, но не практическую отработку мер из регламентов. Дистанционный формат сам по себе не запрещён, если в нём действительно отрабатывают действия.
Как часто проводить учебные рассылки и тренировки? Приказ периодичность не устанавливает. Её задаёт внутренний регламент. Жёстко заданы только оценка знаний — не реже раза в три года или после инцидента — и проверка восстановления из резервных копий — не реже раза в два года.
Нужно ли обучать подрядчиков? Приказ № 117 говорит о пользователях информационных систем. Если работник подрядчика работает в системе как пользователь, мероприятия на него распространяются. Требования к самому подрядчику оператор устанавливает отдельно. По пункту 58 в редакции приказа № 137 это требования по защите информации, к которой подрядчик получил доступ, а также по расчёту и оценке Узи. Обучение сотрудников подрядчика войдёт в его показатель зрелости.
Главное
Для операторов ГИС обучение сотрудников стало конкретной обязанностью: памятки, лекции, учебные фишинговые рассылки и тренировки, оценка знаний не реже раза в три года или после инцидента, повторный курс для не сдавших. Методический документ от 12.04.2026 относит рассылки и тренировки к усилениям, но приказ № 117 требует их прямо. В показателе зрелости Узи обучение учитывается в каждом направлении: без обучения или при эпизодическом обучении направление не поднимется выше второго уровня, а без программы с контролем знаний — выше третьего. Для ГИС с марта 2027 года Узи обязательно считают подрядчики. Операторов ИСПДн похожие требования ждут, если проект приказа взамен № 21 примут. Субъекты КИИ уже обязаны ежегодно проводить мероприятия по повышению знаний работников и с 1 марта 2027 года будут считать Узи.