❗️ФСБ обновила требования к защите информации в госсекторе с использованием СКЗИ

Опубликован приказ ФСБ России № 321 от 22.08.2026 — он приходит на смену приказу № 117 от 18.03.2025. Новые требования вступают в силу с 11 сентября 2026 года. Ниже — о ключевых изменениях.

Кого это касается

Сфера действия документа расширилась. Теперь требования распространяются не только на ГИС, иные информационные системы госорганов, ГУП и госучреждения. Под приказ подпадает использование техсредств, программ и баз данных, доступ к которым предоставляется через информационно-телекоммуникационные сети в соответствии с ч. 5.1 ст. 13 149-ФЗ.

Что изменилось

— Ввод СКЗИ в эксплуатацию теперь сопровождается актом.
Просто запустить криптографические средства защиты не получится: нужен акт, подтверждающий выполнение требований технической документации и НПА.

— Стала обязательной схема криптографической защиты.
Ранее требования к режиму безопасности помещений с СКЗИ ограничивались порядком доступа и перечнем допущенных лиц. Теперь дополнительно вводится схема, разработанная на основе модели угроз. В ней придётся детально прописать всё — от защищаемых каналов связи до конкретных помещений, где размещены СКЗИ.

— Усилены требования к физической защите.
Если в помещение могут попасть сотрудники, не допущенные к работе с СКЗИ, их неконтролируемый доступ к средствам защиты необходимо исключить. Для этого предусмотрено опечатывание или опломбирование стоек. Каждое вскрытие и повторное опечатывание фиксируется документально.

— Регулярные проверки.
Внутренний аудит или привлечение лицензиатов ФСБ для контроля выполнения требований — теперь минимум раз в три года.

Резюме

Новый приказ повышает планку контроля за СКЗИ. Акцент смещается с простого соблюдения требований на прослеживаемость всего процесса: где и как используются средства защиты, кто имеет к ним доступ и насколько регулярно это проверяется. По сути, регулятор просит не декларацию соответствия, а восстановимую историю обращения с криптографией — и это логичное продолжение общего тренда последних лет.

Что проверить у себя уже сейчас

Имеет смысл провести внутренний анализ требований № 321 и посмотреть:

— порядок ввода СКЗИ в эксплуатацию,
— наличие и содержание схемы криптографической защиты,
— правила доступа к помещениям с СКЗИ,
— физическую защиту оборудования,
— порядок учёта вскрытия опечатанных стоек,
— периодичность внутреннего контроля.

До вступления в силу остаётся меньше недели, поэтому начинать разбор лучше с тех систем, которые попали под расширенную сферу действия впервые.

@finance_ciso