Кибербезопасность важнейших информационных систем будут оценивать не только при создании защиты, но и регулярно во время их эксплуатации. ФСТЭК России установила периодичность таких проверок и отдельные требования для подрядчиков, получающих доступ к критической инфраструктуре.
Изменения утверждены приказом от 16 июля 2026 года № 220 и зарегистрированы Минюстом 7 сентября. Новые положения начнут действовать 1 марта 2027 года, поэтому у организаций остается время для подготовки внутренних процедур.
Документ касается значимых объектов критической информационной инфраструктуры. К ним могут относиться системы, используемые в энергетике, транспорте, связи, банковской сфере, здравоохранении, промышленности и других стратегически важных отраслях. Обычных сайтов и информационных ресурсов поправки напрямую не затрагивают.
Организации должны будут рассчитывать два показателя. Первый характеризует текущую защищенность системы и ее соответствие минимально необходимому уровню безопасности с учетом актуальных угроз. Такая оценка проводится не реже одного раза в шесть месяцев.
Второй показатель отражает зрелость применяемых мер: насколько последовательно и эффективно в организации выстроено управление информационной безопасностью. Его потребуется рассчитывать как минимум раз в три года. Методики определения обоих значений должна установить ФСТЭК.
Если показатель защищенности окажется ниже нормативного уровня, ответственное подразделение обязано в течение трех календарных дней сообщить об этом руководителю организации. Это необходимо для принятия решения о дополнительных мерах безопасности. Результаты расчета также будут направляться в подразделение ФСТЭК, которое контролирует состояние защищенности критической инфраструктуры, не позднее пяти рабочих дней.
Особое внимание уделено подрядчикам. Если сторонняя организация получает доступ к значимому объекту для разработки, обслуживания, хранения информации или обеспечения безопасности, она должна оценить собственный уровень зрелости до начала работы. В дальнейшем проверку потребуется проводить не реже одного раза в год.
Поправки переводят контроль из разовой процедуры в постоянный цикл наблюдения. Организациям придется подтверждать не только наличие средств защиты, но и их реальную эффективность. Для крупных предприятий это означает дополнительные расходы на оценку, документирование и устранение недостатков.
Одновременно новые требования способны снизить риски, связанные с поставщиками и сервисными компаниями. Именно внешний доступ нередко расширяет возможные пути проникновения в корпоративные системы. К марту 2027 года владельцам значимых объектов предстоит определить ответственных, пересмотреть договоры с подрядчиками и наладить регулярный сбор показателей безопасности.
У новости пока нет комментариев, станьте первыми кто оставит свой комментарий