Приказ ФСТЭК России № 117: к кому применяется и нужна ли аттестация государственной системы

Текст приказа и официальные источники — в карточке приказа ФСТЭК России от 11.04.2025 № 117. Что именно изменилось против приказа № 17 — в разборе «Приказ № 117 вместо № 17».

Защита государственных информационных систем (ГИСГосударственная информационная система — Информационная система, созданная на основании закона или НПА госоргана; меры защиты — по приказу ФСТЭК.) регулируется отдельно от обычных ИСПДнИнформационная система персональных данных — Совокупность персональных данных в базах данных и обеспечивающих их обработку информационных технологий и технических средств.. С 1 марта 2026 года прежний приказ ФСТЭКФедеральная служба по техническому и экспортному контролю — Регулятор технической защиты информации (ИСПДн, ГИС, КИИ); ведёт реестр сертифицированных СЗИ. России № 17 заменён приказом № 117. Разберём, к кому он применяется и что важно учесть.

К кому применяется

Приказ № 117 устанавливает требования к защите информации, не составляющей государственную тайну, в государственных и муниципальных информационных системах. Это касается государственных органов, органов местного самоуправления и организаций, которые являются операторами таких систем. Для негосударственных ИСПДн действует другой документ — приказ ФСТЭК № 21.

Класс защищённости и модель угроз

Для ГИС определяется класс защищённости — К1, К2 или К3 — по уровню значимости информации и масштабу системы; как он считается, разобрано в статье «Класс защищённости ГИС». Состав мер защиты выбирается под класс и уточняется по модели угроз, разрабатываемой по методике ФСТЭК 2021.

Аттестация

Ключевое отличие ГИС от обычной ИСПДн — обязательная аттестация системы защиты на соответствие требованиям безопасности до ввода в эксплуатацию. Это сохраняется и в новом регулировании: для ГИС нужны проектная документация, аттестационные испытания и аттестат соответствия.

Что учесть при переходе

• Свериться с актуальными требованиями приказа № 117 (пришёл на смену № 17).
• Проверить класс защищённости и актуальность модели угроз по методике 2021.
• Привести проектную и эксплуатационную документацию и аттестацию в соответствие.

Главное

Приказ ФСТЭК от 11.04.2025 № 117 с 1 марта 2026 года заменил приказ № 17 и задаёт требования к защите информации в государственных и муниципальных системах: класс защищённости К1–К3, меры под класс и модель угроз, обязательная аттестация. Для негосударственных ИСПДн по-прежнему действует приказ ФСТЭК России от 18.02.2013 № 21.