Приказ ФСТЭК № 220: показатели Кзи и Узи для значимых объектов КИИ с 1 марта 2027 года

16 июля 2026 года ФСТЭКФедеральная служба по техническому и экспортному контролю — Регулятор технической защиты информации (ИСПДн, ГИС, КИИ); ведёт реестр сертифицированных СЗИ. России издала приказ № 220. Он дополняет Требования к созданию систем безопасности значимых объектов критической информационной инфраструктуры, утверждённые приказом ФСТЭК России от 21.12.2017 № 235, четырьмя новыми пунктами — 36.1–36.4. Приказ зарегистрирован Минюстом России 7 сентября 2026 года, опубликован 8 сентября и вступает в силу 1 марта 2027 года.

Суть изменений в одной фразе: расчёт двух показателей — защищённости Кзи и зрелости Узи — закреплён в самих Требованиях как часть контроля состояния безопасности значимых объектов, а для направления результатов Кзи во ФСТЭК России и доклада руководителю установлены сроки.

Кого касается

Требования № 235 адресованы субъектам КИИКритическая информационная инфраструктура — Информационные системы и сети госорганов и организаций ключевых отраслей; режим защиты установлен 187-ФЗ., у которых есть значимые объекты, то есть объекты с присвоенной категорией значимости. Если категорирование проведено и значимых объектов не оказалось, обязанностей по собственным объектам новые пункты не создают. Но такая организация всё равно может стать адресатом пункта 36.4 — как подрядчик, которому открыт доступ к чужому значимому объекту.

Второй адресат — подрядчики. Так приказ называет организации, которым открывают доступ к значимому объекту: для обработки и хранения информации, создания и развития объекта, его эксплуатации или защиты. На них распространяется требование о показателе Узи.

Что было до приказа

Пункт 36 Требований и раньше обязывал проводить контроль состояния безопасности значимых объектов не реже раза в три года. Методики расчёта показателей ФСТЭК России тоже уже утвердила: методику оценки показателя КЗИ от 11.11.2025 и методику оценки уровня зрелости от 07.08.2026. Методика КЗИПоказатель состояния защищённости информации — Числовой показатель технической защиты от типовых актуальных угроз по методике ФСТЭК (2025, приказ №117); нормированное значение КЗИ = 1 — минимальный уровень обеспечен. уже предусматривала оценку не реже раза в шесть месяцев и направление результатов во ФСТЭК России, но срока направления не называла. Приказ № 220 закрепляет расчёт обоих показателей в самих Требованиях № 235 — нормативном акте, зарегистрированном Минюстом России, — и добавляет конкретные сроки, периодичность Узи и требование к подрядчикам.

Показатель защищённости Кзи

Кзи показывает, насколько текущее состояние защиты значимых объектов соответствует минимально необходимому уровню защиты от типовых актуальных угроз (пункт 36.1). Считается он по методике от 11.11.2025: из частных показателей по группам мер складывается общий. Нормированное значение — ровно 1, это «зелёная» зона. Всё, что ниже, — «оранжевая» или «красная» зона. Как считать на практике, мы разбирали в статье «Оценка показателя защищённости КЗИ».

Что требует пункт 36.3:

• рассчитывать и оценивать Кзи не реже одного раза в шесть месяцев;
• направлять результаты во ФСТЭК России не позднее пяти рабочих дней после дня расчёта;
• если Кзи не соответствует нормированному значению, в течение трёх календарных дней со дня завершения оценки сообщить руководителю субъекта КИИ. Руководитель решает, какие дополнительные мероприятия провести.

Пять рабочих дней считаются по производственному календарю: выходные и праздники в срок не входят. Три дня для доклада руководителю — календарные, их выходные не продлевают.

Методика от 11.11.2025 при этом продолжает действовать. При «оранжевой» и «красной» зоне по её пункту 37 разрабатывается план мероприятий, и выполнить его нужно до следующей плановой оценки. Основание для плана — сам результат оценки. Доклад руководителю по приказу № 220 — отдельная обязанность, и она не заменяет план.

Показатель уровня зрелости Узи

Узи отвечает на другой вопрос: не «насколько защищён объект сегодня», а «насколько достаточны и эффективны мероприятия по его защите». Иначе говоря, как устроены процессы: есть ли документы, выполняются ли они, контролируются ли и улучшаются. Методика от 07.08.2026 оценивает зрелость по направлениям деятельности и уровням. Подробнее — в статье «Уровень зрелости по методике ФСТЭК».

По пункту 36.4 Узи рассчитывается не реже одного раза в три года. Если значение не соответствует нормированным значениям методики, руководителя информируют в тот же срок — в течение трёх календарных дней со дня завершения оценки.

Единого числа, как у Кзи, для Узи нет. Методика рекомендует целевой уровень для каждого направления деятельности в зависимости от категории значимости: не ниже 1 для объектов 3 категории, не ниже 2 для 2 категории и не ниже 3 для 1 категории. Это рекомендация, а не порог итогового показателя. Какой результат считать поводом для доклада руководителю, удобно закрепить во внутреннем порядке — например, недостижение целевого уровня хотя бы по одному направлению.

Подрядчики

Это самое заметное новшество. Если субъект КИИ привлекает подрядчиков с доступом к значимому объекту, расчёт Узи проводится и в отношении них. Приказ распределяет обязанности так:

• субъект КИИ устанавливает подрядчику требование о расчёте и оценке Узи — форму приказ не называет, удобнее всего сделать это условием договора;
• подрядчик рассчитывает Узи до получения доступа к значимому объекту и затем не реже раза в три года;
• если результат подрядчика не соответствует нормированным значениям, в течение трёх календарных дней со дня завершения оценки информируется руководитель субъекта КИИ.

Решающий признак — доступ к значимому объекту для перечисленных работ и услуг. Поэтому под определение могут подпадать не только интеграторы и компании по защите информации, но и организация, которая сопровождает прикладную систему, или провайдер инфраструктуры, в которой обрабатывается и хранится информация объекта. Само по себе размещение оборудования в чужом дата-центре подрядчиком эксплуатирующую его организацию не делает — нужно смотреть, какой доступ ей предоставлен.

Особенности, на которые стоит обратить внимание

• Приказ не отменяет контроль не реже раза в три года. Пункт 36 остаётся: контроль проводит комиссия, а по решению руководителя вместо внутреннего контроля может проводиться внешняя оценка. Показатели встраиваются в этот контроль и дополнительно требуют расчёта Кзи не реже раза в полгода.
• Срок направления Кзи теперь конкретный. Методика говорила, что результаты направляются во ФСТЭК России, но срока не называла. Пять рабочих дней после дня расчёта — короткое окно, поэтому отчёт и подтверждающие материалы лучше готовить сразу вместе с расчётом.
• Доклад руководителю — отдельная обязанность. Её легко пропустить, потому что она возникает только при несоответствии показателя нормированным значениям. Стоит заранее решить, кто докладывает и в какой форме, например служебной запиской.
• Специальных переходных положений нет. Кроме даты вступления в силу, приказ не говорит, как быть с подрядчиками, которые получили доступ до 1 марта 2027 года. Прямо этого приказ не требует, но надёжнее к этой дате дополнить действующие договоры и получить от подрядчиков результаты оценки.
• Показатели считаются по методикам ФСТЭК России. Пункт 36.2 прямо отсылает к методическим документам. Собственная шкала или внешний «аудит зрелости» по другой модели требование не закрывают.

Что подготовить до 1 марта 2027 года

1. Провести пробный расчёт Кзи и Узи по методикам, чтобы увидеть, где объект не дотягивает до нормы, пока это не стало отчётностью.
2. Назначить ответственных за расчёт и за направление результатов во ФСТЭК России, закрепить сроки во внутреннем порядке.
3. Обновить Порядок контроля состояния безопасности и Положение о системе безопасности: добавить периодичность Кзи и Узи, пятидневный срок и доклад руководителю.
4. Составить перечень подрядчиков с доступом к значимым объектам и установить им требование об Узи, например в договорах, включая действующие.
5. Внести расчёты в план мероприятий по обеспечению безопасности на 2027 год с учётом периодичности: Кзи — не реже раза в полгода, Узи — не реже раза в три года.

Главное

Приказ ФСТЭК России № 220 закрепляет расчёт показателей Кзи и Узи в Требованиях № 235 и добавляет к нему конкретные сроки. С 1 марта 2027 года субъект КИИ со значимыми объектами считает Кзи не реже раза в полгода и направляет результат во ФСТЭК России не позднее пяти рабочих дней после расчёта, считает Узи не реже раза в три года, в течение трёх календарных дней сообщает руководителю о несоответствии показателя нормированным значениям и устанавливает подрядчикам требование рассчитывать Узи. Текст приказа — в карточке приказа № 220.