Приказ ФСБ России от 22.08.2026 № 321 утвердил Требования о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений, а также при использовании технических средств и программ по части 5.1 статьи 13 Федерального закона от 27.07.2006 № 149-ФЗ, с использованием шифровальных (криптографических) средств. Приказ зарегистрирован Минюстом России 31.08.2026 № 88073. Прежний приказ ФСБ России от 18.03.2025 № 117 утратил силу (пункт 3 приказа).
Приказ не распространяется на системы Администрации Президента, Совета Безопасности, Федерального Собрания, Правительства, Конституционного и Верховного судов, ФСБ России и на системы со сведениями, составляющими государственную тайну (пункт 2 приказа).
Когда нужны СКЗИ
Информацию защищают шифровальными средствами (СКЗИ) в четырёх случаях (пункт 1 Требований):
- это прямо требует закон или другой нормативный акт;
- информация идёт по каналам связи за пределами контролируемой зоны — охраняемой территории, здания или помещения;
- электронные документы с электронной подписью должны иметь ту же силу, что бумажные с собственноручной подписью;
- информация идёт по каналам внутри контролируемой зоны или хранится на носителях, а защитить её от посторонних без криптографии нельзя.
Что обязан сделать оператор
- обосновать необходимость СКЗИ в модели угроз и (или) техническом задании на создание (развитие) системы. Модель угроз и ТЗ государственной системы согласуют с ФСБ России в части криптографической защиты (пункт 2);
- применять только СКЗИ, сертифицированные ФСБ России. Средство вводят в эксплуатацию по акту, ключи меняют по документации на СКЗИ (пункт 3);
- определить класс СКЗИ по пунктам 7–17 и обосновать его в модели угроз (пункт 4);
- если этого требует документация на СКЗИ, заказать оценку влияния оборудования и программ, с которыми работает средство. Её проводит организация, уполномоченная на исследования СКЗИ (пункт 5);
- закрыть помещения со СКЗИ и ключевыми носителями от посторонних. Для этого утверждают схему криптографической защиты (помещения, защищаемые каналы, наименования и классы СКЗИ), правила доступа в помещения в рабочее и нерабочее время и в нештатных ситуациях и перечень лиц с правом доступа. Если система работает на всю страну или на два и более субъекта и в ней информация высокого уровня значимости, окна уязвимых помещений и окна и двери серверных оборудуют решётками, сигнализацией или другими средствами от проникновения (пункт 6).
Как определить класс СКЗИ
Класс определяют для системы в целом или для каждого её сегмента (пункт 7). Минимальный класс берут из таблицы приложения по двум признакам: уровню значимости информации и масштабу системы (пункт 8).
| Уровень значимости | Вся Россия или два и более субъекта | Один субъект | Муниципальное образование или объекты одной организации |
|---|---|---|---|
| Высокий | КВ | КС3 | КС2 |
| Средний | КС3 | КС3 | КС1 |
| Низкий | КС2 | КС1 | КС1 |
Уровень значимости определяет обладатель информации или оператор. Высокий — если после нарушения конфиденциальности, целостности или доступности информации система или организация не могут выполнять свои функции. Средний — не могут выполнять хотя бы одну функцию. Низкий — справляются только с дополнительными силами и средствами (пункт 8).
Дальше класс может вырасти:
- при обмене с другими системами берут наибольший класс из взаимодействующих систем (пункт 9);
- если модель угроз признаёт, что нарушитель может действовать внутри контролируемой зоны, нужен КС2, а с физическим доступом к оборудованию — КС3 (пункты 12 и 13);
- если нарушитель может привлечь специалистов по анализу СКЗИ, нужен КВ, а если они умеют использовать недокументированные возможности среды функционирования СКЗИ, — КА (пункты 14 и 15);
- если другой нормативный акт требует класс выше, применяют его (пункт 17).
Для обмена с гражданами класс может быть ниже, если это обосновано актуальными угрозами (пункт 16). Посчитать класс по таблице и поправкам можно в калькуляторе класса СКЗИ для ГИС.
Проверка
Выполнение требований проверяют при внутреннем контроле не реже одного раза в три года. Контроль проводит сам оператор или организация с лицензией ФСБ России на работу с шифровальными средствами (пункт 18).
Связанные акты
Остальные требования к защите информации в ГИС — приказ ФСТЭК России от 11.04.2025 № 117. Его пункт 7 отсылает к требованиям ФСБ России, когда применяются СКЗИ. Для информационных систем персональных данных, которые не относятся к таким системам, класс СКЗИ определяют по приказу ФСБ России от 10.07.2014 № 378. Учёт и хранение СКЗИ — Инструкция, утверждённая приказом ФАПСИ от 13.06.2001 № 152.
Зачем Положению о ГИС раздел о защите информации — в статье «Положение о ГИС по постановлению № 712: что в нём должно быть о защите информации».