Приказ ФСТЭК России № 220 — показатели Кзи и Узи для значимых объектов КИИ
Приказ ФСТЭК России от 16.07.2026 № 220 дополнил Требования к созданию систем безопасности значимых объектов КИИ пунктами 36.1–36.4. С 01.03.2027 субъект КИИ рассчитывает показатель защищённости Кзи не реже раза в шесть месяцев и направляет результаты во ФСТЭК России не позднее пяти рабочих дней после расчёта, а показатель зрелости Узи — не реже раза в три года; подрядчики с доступом к значимому объекту рассчитывают Узи до получения доступа.
Приказ ФСТЭК России от 16.07.2026 № 220 вносит изменения в Требования к созданию систем безопасности значимых объектов критической информационной инфраструктуры Российской Федерации и обеспечению их функционирования, утверждённые приказом ФСТЭК России от 21.12.2017 № 235. Приказ зарегистрирован Минюстом России 07.09.2026 (регистрационный № 88168), опубликован 08.09.2026 и вступает в силу с 1 марта 2027 года.
Что добавлено
Требования дополнены пунктами 36.1–36.4. Они встраивают в контроль состояния безопасности значимых объектов два показателя.
- Показатель защищённости Кзи — характеризует текущее состояние обеспечения безопасности значимых объектов и степень его соответствия минимально необходимому уровню защиты от типовых актуальных угроз.
- Показатель уровня зрелости Узи — определяет достаточность и эффективность проведённых мероприятий по обеспечению безопасности значимых объектов.
Оба показателя рассчитываются по методическим документам ФСТЭК России (пункт 36.2): по методике оценки показателя КЗИ от 11.11.2025 и методике оценки уровня зрелости от 07.08.2026.
Сроки
| Что | Срок | Пункт |
|---|---|---|
| Расчёт и оценка показателя Кзи | не реже одного раза в шесть месяцев | 36.3 |
| Направление результатов оценки Кзи во ФСТЭК России | не позднее пяти рабочих дней после дня расчёта | 36.3 |
| Расчёт показателя Узи | не реже одного раза в три года | 36.4 |
| Расчёт Узи подрядной организацией | до получения доступа к значимому объекту, далее не реже одного раза в три года | 36.4 |
| Информирование руководителя субъекта КИИ о несоответствии Кзи или Узи нормированным значениям | в течение трёх календарных дней со дня завершения оценки | 36.3, 36.4 |
Подрядные организации
Подрядными приказ называет организации, которым предоставляется доступ к значимому объекту для оказания услуг, работ по обработке и хранению информации, создания (развития) и эксплуатации объекта, а также для работ и услуг по обеспечению его безопасности. Субъект КИИ устанавливает подрядчику требование о расчёте и оценке показателя Узи. Подрядчик проводит расчёт до получения доступа и затем не реже раза в три года.
Что это значит для субъекта КИИ
Новые пункты касаются субъектов, у которых есть значимые объекты, то есть объекты с присвоенной категорией значимости, а через пункт 36.4 — и их подрядчиков с доступом к значимому объекту. Они не заменяют контроль состояния безопасности, который по пункту 36 Требований проводится не реже раза в три года, а дополняют его регулярным расчётом показателей. К 1 марта 2027 года стоит назначить ответственных за расчёт, закрепить порядок направления результатов во ФСТЭК России и информирования руководителя, а также установить подрядчикам требование об Узи — например, условием договора.
Подробный разбор — в статье «Приказ ФСТЭК № 220: показатели Кзи и Узи для значимых объектов КИИ».