Обеспечение безопасности объектов КИИ: требования к значимым объектам в 2026 году в

Безопасность КИИ складывается из двух слоёв. Первый обязателен для любого субъекта: выявить свои системы, оценить их значимость, подать сведения и сообщать об инцидентах. Второй относится к владельцам значимых объектов: у них появляются система безопасности, меры защиты, план реагирования, непрерывное взаимодействие с ГосСОПКА и ограничения на программное и аппаратное обеспечение. Именно во втором слое сейчас происходят главные изменения 2026 года.

Разберём, что и когда нужно сделать, какие приказы за что отвечают, что появится с 01.03.2027 и как организации в или другом регионе построить работу на год вперёд. Информация актуальна на октябрь 2026 года, спорные и находящиеся в проекте нормы отмечены отдельно.

Безопасность КИИ: что обязаны все субъекты, а что только владельцы значимых объектов

Путаница начинается там, где «безопасность КИИ» понимают как единую обязанность поставить систему защиты на всё. Закон устроен иначе: объём требований зависит от того, получили ли объекты категорию.

Для государственного сектора есть отдельная норма: госорганы, госучреждения, ГУП, госкорпорации и компании с государственной долей свыше 50% обязаны информировать НКЦКИ об атаках и взаимодействовать с ГосСОПКА независимо от статуса КИИ (ст. 9 ч. 4–6 187-ФЗ, с 01.09.2025).

Приказ ФСТЭК № 235: как создать систему безопасности значимого объекта

Приказ № 235 от 21.12.2017 определяет требования к созданию систем безопасности значимых объектов. Главная идея: безопасность не сводится к купленным средствам защиты. Субъект создаёт систему, в которую входят подразделение или ответственные специалисты, порядок работы и документы, и ведёт её по собственным организационно-распорядительным документам (ОРД).

• ОРД определяет субъект. Приказ требует утвердить документы по безопасности значимых объектов, а их состав и формы субъект выбирает сам. Положения можно включать в общие документы организации по ИБ.
• Что должно быть в документах: цели и задачи, основные угрозы и категории нарушителей, состав и структура системы безопасности, планы мероприятий, модель угроз, порядок реагирования на инциденты, информирования и обучения работников, взаимодействия с госорганами, в том числе с ГосСОПКА, а также правила безопасной работы пользователей.
• Ознакомление. Документы доводятся до работников в части, которой они касаются, и до представителей подрядчиков.
• Ежегодный план и отчёт. Субъект планирует мероприятия по безопасности на год и отчитывается об их выполнении.
• Внутренний контроль проводится не реже раза в три года комиссией с оформлением акта. Если выполнен внешний аудит, внутренний контроль можно не проводить.

Этот набор и есть юридическая основа вашего «защищённого периметра». Проверка ФСТЭК начинается именно с вопроса «покажите, как у вас устроена система безопасности», и ответом должны быть утверждённые документы, а не сертификаты на межсетевые экраны.

Приказ ФСТЭК № 239: меры защиты и документирование

Приказ № 239 от 25.12.2017 — это каталог мер обеспечения безопасности значимых объектов. Он не содержит показателей значимости и не описывает категорирование: это вопрос Правил № 127. Здесь речь идёт о том, как защищать то, что уже получило категорию.

• Выбор и внедрение мер зависят от категории объекта и модели угроз. Модель угроз нужна значимому объекту при создании системы безопасности (не при категорировании), и её разрабатывают по методическим документам ФСТЭК.
• При внедрении мер разрабатываются ОРД: правила и процедуры реализации отдельных мер, правила работы пользователей и администраторов, действия при нештатных ситуациях.
• В приложении к приказу для каждой из 17 групп мер (идентификация и аутентификация, управление доступом, антивирусная защита, обнаружение вторжений, управление инцидентами и т. д.) предусмотрена «нулевая» мера — регламентация правил и процедур. На практике по каждой группе нужен свой регламент или инструкция.
• Перед вводом в эксплуатацию проводятся приёмочные испытания. Они проверяют в том числе полноту описания действий пользователей и администраторов в ОРД.
• При выводе из эксплуатации документацию архивируют или уничтожают, а уничтожение данных документируют.

Что с изменениями. Проект поправок к № 239 был опубликован 07.04.2026, но принятого акта на официальном портале правовой информации на 10.10.2026 нет. Поэтому действующей остаётся редакция, которая размещена на сайте ФСТЭК, и на проект ссылаться как на норму не нужно.

Кзи и Узи с 01.03.2027: новый контур оценки защищённости

Приказ ФСТЭК № 220 от 16.07.2026 (зарегистрирован Минюстом под № 88168) вносит изменения в приказ № 235. Они вступают в силу 01.03.2027, то есть у владельцев значимых объектов есть время на подготовку. Вводятся два показателя.

Два замечания. Во-первых, в апрельском проекте фигурировал показатель «раз в 2 года», в принятом тексте периодичность Узи — раз в 3 года. Во-вторых, методика расчёта Кзи, по сообщениям отраслевых изданий, утверждена ФСТЭК 11.11.2025, поэтому её стоит изучить заранее.

Практический вывод: уже сейчас собирайте исходные данные для расчёта (инвентаризация активов, состояние СЗИ, журнал уязвимостей) и заранее проверяйте, кто из ваших подрядчиков имеет доступ к значимым объектам, потому что Узи считают и по ним.

Защита объектов КИИ и ГосСОПКА: инциденты, сроки, план реагирования

Порядок взаимодействия с ФСБ задан приказом № 547 от 25.12.2025 (действует с 30.01.2026). Он заменил приказы № 282 и № 348, поэтому все инструкции, где они упомянуты, нужно переписать.

• Инцидент на значимом объекте: сообщить в НКЦКИ не позднее 3 часов с момента обнаружения.
• Инцидент на иных объектах КИИ и компьютерная атака: не позднее 24 часов.
• Финансовые организации в те же сроки дублируют информацию в Банк России.
• План реагирования для значимого объекта разрабатывается в течение 90 календарных дней с момента включения в реестр, копия направляется в НКЦКИ в течение 7 дней после утверждения.
• Если план предусматривает участие ФСБ, он согласуется с ЦЗИиСС ФСБ (до 30 дней), в финансовой сфере — с Банком России.

Дополняют картину приказы ФСБ № 548 (порядок непрерывного взаимодействия владельцев значимых объектов с ГосСОПКА), № 539 (получение сведений о способах атак), № 553 и № 554 (установка и требования к средствам ГосСОПКА). Для реальной работы вам нужна не папка приказов, а ответственный дежурный, шаблон извещения и тренировка, которая показывает, что три часа реально выдерживаются, в том числе ночью и в выходные.

Доверенные ПАК и российское ПО: что уже обязательно, а что только в проекте

Критерии доверенного ПАК: он включён в единый реестр российской радиоэлектронной продукции, его ПО соответствует требованиям ПП № 1478, а функции защиты информации (если есть) сертифицированы ФСТЭК или ФСБ. Исключение из запрета — отсутствие российских аналогов с заключением Минпромторга. Отраслевые министерства утверждают планы перехода и ежегодно до 1 мая актуализируют их.

Для организаций в , которые закупают оборудование на ближайший год, правило простое: любая закупка для значимого объекта проверяется на доверенность ПАК до подписания договора, иначе вы создаёте будущее нарушение.

Указ № 250: почему при защите объектов КИИ нужен лицензиат

Указ Президента № 250 от 01.05.2022 адресован федеральным органам исполнительной власти, госкорпорациям, стратегическим и системообразующим организациям и юрлицам, являющимся субъектами КИИ. Он требует назначить заместителя руководителя, отвечающего за информационную безопасность, создать подразделение ИБ, обеспечить доступ ФСБ и привлекать для работ по ИБ только организации с лицензией ФСТЭК на техническую защиту конфиденциальной информации и аккредитованные центры ГосСОПКА.

Это означает, что подрядчики, не имеющие такой лицензии, не могут выполнять эти работы для названных заказчиков. Наша позиция честная: МелданаСБ ведёт документальную и организационную часть, а лицензируемые работы по категорированию и защите выполняет партнёр-лицензиат ФСТЭК. Типовые положения о заместителе руководителя по ИБ и о подразделении ИБ утверждены постановлением Правительства № 1272 от 15.07.2022, и именно они лежат в основе соответствующих приказов.

Проверки ФСТЭК и ответственность: к чему готовиться

Плановая проверка проходит через три года после внесения объекта в реестр или окончания предыдущей плановой проверки. Внеплановая назначается, если истёк срок выполнения предписания, после инцидента с негативными последствиями на значимом объекте или по приказу руководителя ФСТЭК. Результат — акт и предписание.

По данным ФСТЭК на «Инфофоруме-2026», из 700 проверенных объектов надлежащий уровень защиты зафиксирован у 36%. Типовые проблемы: разрыв между ИБ и бизнес-процессами, неполный учёт ИТ-активов, отсутствие централизованного управления средствами защиты, эпизодический мониторинг и резервные копии, которые лежат в той же среде, что и рабочие системы.

Дорожная карта безопасности КИИ на год

Эта карта подходит и тем, кто только начинает, и тем, у кого процессы выстроены: меняется лишь глубина проработки на каждом шаге. Если категорирование ещё не проведено, оно предшествует всем остальным шагам.

Чем поможет МелданаСБ

Подготовим документальную и организационную основу безопасности КИИ для организаций в и по всей России: оценка и категорирование систем, комплект ОРД, регламенты, подготовка к ГосСОПКА. Работы, для которых закон требует лицензию ФСТЭК, выполняет партнёр-лицензиат, мы сопровождаем проект целиком и согласуем порядок работ.

Частые вопросы

Следующий шаг — определиться с границами: посмотрите, как устроено категорирование объектов КИИ, какие документы входят в комплект по информационной безопасности, и сверьтесь с нормативной базой. Задать вопрос можно на странице контактов.