Приказ ФСТЭК № 117: что меняется в защите государственных информационных систем
Что такое приказ ФСТЭК России № 117, который с 1 марта 2026 года пришёл на смену приказу № 17: к кому применяется, как определяется класс защищённости ГИС (К1–К3), роль модели угроз и аттестации, и что учесть операторам государственных информационных систем при переходе.
Защита государственных информационных систем (ГИСГосударственная информационная система — Информационная система, созданная на основании закона или НПА госоргана; меры защиты — по приказу ФСТЭК.) регулируется отдельно от обычных ИСПДнИнформационная система персональных данных — Совокупность персональных данных в базах данных и обеспечивающих их обработку информационных технологий и технических средств.. С 1 марта 2026 года прежний приказ ФСТЭКФедеральная служба по техническому и экспортному контролю — Регулятор технической защиты информации (ИСПДн, ГИС, КИИ); ведёт реестр сертифицированных СЗИ. России № 17 заменён приказом № 117. Разберём, к кому он применяется и что важно учесть.
К кому применяется
Приказ № 117 устанавливает требования к защите информации, не составляющей государственную тайну, в государственных и муниципальных информационных системах. Это касается государственных органов, органов местного самоуправления и организаций, которые являются операторами таких систем. Для негосударственных ИСПДн действует другой документ — приказ ФСТЭК № 21.
Класс защищённости и модель угроз
Для ГИС определяется класс защищённости — К1, К2 или К3 — по уровню значимости информации и масштабу системы; как он считается, разобрано в статье «Класс защищённости ГИС». Состав мер защиты выбирается под класс и уточняется по модели угроз, разрабатываемой по методике ФСТЭК 2021.
Аттестация
Ключевое отличие ГИС от обычной ИСПДн — обязательная аттестация системы защиты на соответствие требованиям безопасности до ввода в эксплуатацию. Это сохраняется и в новом регулировании: для ГИС нужны проектная документация, аттестационные испытания и аттестат соответствия.
Что учесть при переходе
- Свериться с актуальными требованиями приказа № 117 (пришёл на смену № 17).
- Проверить класс защищённости и актуальность модели угроз по методике 2021.
- Привести проектную и эксплуатационную документацию и аттестацию в соответствие.
Главное
Приказ ФСТЭК от 11.04.2025 № 117 с 1 марта 2026 года заменил приказ № 17 и задаёт требования к защите информации в государственных и муниципальных системах: класс защищённости К1–К3, меры под класс и модель угроз, обязательная аттестация. Для негосударственных ИСПДн по-прежнему действует приказ ФСТЭК России от 18.02.2013 № 21.