Дайджест ИБ-регулирования. Июль–сентябрь 2026

Дмитрий Вощуков, специалист по связям с государственными органами «СёрчИнформ», представил традиционный ежеквартальный дайджест регуляторных инициатив.

В этом выпуске — новое за июль-сентябрь: ФСТЭК готовит замену приказу № 21, вводит правила для ИИ в госсистемах и методику оценки ИБ-зрелости, Минтруд утвердил профстандарт для ИБ-специалистов КИИ, а московский суд впервые признал утечкой передачу данных в ИИ-сервис.

Что уже вступило в силу

1️⃣Приказ ФСБ России от 6 августа 2026 г. № 297 принят и действует. Он регламентирует взаимодействие операторов ГИС и иных систем госсектора с НКЦКИ: процессы работы с ГосСОПКА для госорганизаций и объектов КИИ приводятся к единому формату, а срок «по умолчанию» для направления информации об ИБ-инцидентах составляет 24 часа.

2️⃣Приказ ФСТЭК от 08.05.2026 № 137 принят и частично вступил в силу. Он устанавливает сроки и порядок предоставления ФСТЭК информации по итогам оценки защищенности и зрелости ИС: операторы ИС госсектора будут отчитываться показателями Кзи, их подрядчики — показателями Узи (подробнее о них рассказываем ниже). Эти требования начнут применяться с 1 марта 2027 года. Скорректированные технические требования действуют уже сейчас: исключено положение об обязательном доступе конечных устройств к интернету, а для защиты мобильных устройств допускается многофакторная аутентификация.

3️⃣Приказ ФСТЭК от 16.07.2026 № 220 принят и вступит в силу с марта 2027 года. Он устанавливает периодичность расчета показателей Кзи и Узи субъектами КИИ. Кзи характеризует уровень защищенности информации в текущий момент и рассчитывается раз в полгода. Узи касается работы по ИБ-направлению, взаимодействия компонентов ИБ-системы и ее адаптации к меняющемуся ландшафту угроз — его нужно рассчитывать каждые 3 года.

Ознакомиться с полным дайджестом можно здесь.