⚡️ К чему готовиться ИБ‑подразделениям: главные изменения в 2026 году

С 1 марта 2026 года вступил в силу приказ ФСТЭК № 117 и правила игры для государственных информационных систем (ГИС) и смежных сфер серьёзно изменились. Требования к защите информации стали жёстче.

Разберёмся, что ждёт ваши подразделения и как изменить существующую структуру без паники.

🔥 Главные изменения:

👀 Зона ответственности стала шире
Раньше фокус — на ГИС. Теперь требования распространяются на все информационные системы госорганов, госучреждений и подрядных организаций, если они обрабатывают чувствительную информацию.

Что делать: пересмотреть периметр защиты и провести инвентаризацию активов. Подрядчики должны иметь аттестат соответствия по модели угроз заказчика и соблюдать минимальный набор мер защиты.

🧑‍💻 Новые требования к сотрудникам
Не менее 30% специалистов подразделения по защите информации должны иметь профильное образование или сертификаты переподготовки в области ИБ.

💼 Ужесточение требований для ДСП
Системы, работающие с информацией «Для служебного пользования» (ДСП), автоматически получают уровень значимости УЗ‑1 и класс защищённости К1 (наивысший).

Это значит — больше требований к архитектуре, средствам защиты и мониторингу.

🔒От формального соответствия к зрелости защиты
Теперь не просто «поставить галочку», а регулярно отчитываться перед ФСТЭК:
• расчёт уровня зрелости защиты;
• показатели защищённости;
• отчёты по мониторингу;
• годовой отчёт.
Раньше достаточно было протокола контроля защищённости раз в два года.

⚒️ Фокус на современных технологиях
Впервые закреплены требования по защите ИИ‑систем, IoT (интернет вещей), контейнерных сред, систем оркестрации.
Внедрение SIEM, EDR, MDM, Anti‑DDoS, PAM и сервисов повышения осведомлённости становится нормой, а не «лучшей практикой».

✅ Контроль аттестации
Для ГИС аттестация обязательна, для иных ИС — решает руководство. Все аттестаты соответствия, выданные до 1 марта 2026 года, сохраняют силу.

Переаттестация при: модернизации системы, повышении класса защищенности или изменении архитектуры системы защиты информации.

🇷🇺 Импортозамещение
Теперь на объектах критической инфраструктуры запрещено использовать иностранное ПО и СЗИ (антивирусы, межсетевые экраны и т. д.).

Правило: только российские решения из реестра Минцифры, сертифицированные ФСТЭК или ФСБ.

💸 Риски и штрафы
Блокировка систем при нарушении требований. Штрафы до 500 000 рублей. В разработке — оборотные штрафы для компаний, не перешедших на российское ПО до 2028 года.

🛡 Что сделать уже сейчас:
— Проведите аудит информационной безопасности.
— Пересчитайте показатели защищённости под новые требования.
— Актуализируйте политики и внутренние регламенты.
— Запланируйте бюджет на внедрение критичных мер.
— Проработайте условия с подрядчиками — зафиксируйте требования в договорах, SLA, внутренних стандартах.
— Проверьте штат и начните переход на российское ПО.

С какими сложностями вы уже столкнулись при подготовке? ✍️

Подписывайтесь на канал Inventive DLM в MAX.

#Inventive_DLM_edu