Проект изменений в Указ Президента №250 и Постановление Правительства «О порядке расчета...» имеет смысл рассматривать только вместе

Эти НПА вводят новую процедуру контроля со стороны государства

🔻 Для субъектов КИИ:

➡️ 1. Заместитель руководителя, отвечающий за ИБ, организует расчет показателя Кзи

➡️ 2. Результаты расчета Кзи направляются во ФСТЭК

➡️ 3. ФСТЭК в течение 30 дней проверяет и уведомляет о присвоенном значении
(Проще: согласны с расчетом — всё в порядке; не согласны — присваивается меньшее значение)

➡️ 4. После ФСТЭК рассчитывает показатель «уровень защищенности объектов в каждой отрасли по ФЗ № 187» по следующей формуле:

☑️ УЗ = (общее количество субъектов КИИ в отрасли / количество субъектов КИИ в отрасли, рассчитавших Кзи) × 100%

➡️ 5. Не реже одного раза в 6 месяцев ФСТЭК направляет в органы и организации, регулирующие соответствующие отрасли (Минздрав, Минпромторг, ЦБ и т.д.), сведения о рассчитанном значении показателя

🔻 Для ГИС и ИС органов исполнительной власти
(логика такая же: пункты 1, 2 и 3 без изменений, меняются пункты 4 и 5)

➡️ 4. ФСТЭК рассчитывает показатель «уровень защищенности объектов в субъекте РФ» по формуле:

☑️ УЗ = (общее количество органов в субъекте, защитивших ГИС, ИС / количество органов в субъекте, защитивших ГИС, ИС + рассчитавших Кзи) × 100%

➡️ 5. Не реже одного раза в 6 месяцев ФСТЭК направляет сведения о рассчитанном значении показателя в высшие органы исполнительной власти субъектов РФ (Правительство региона)

🔻 Финал у процессов одинаковый:
рассчитанный уровень защищенности должен быть не ниже 80%

Сведения о достижении целевых значений направляются в Совет Безопасности РФ и включаются в доклад Президенту с указанием отраслей, сфер деятельности и субъектов РФ, которые этих значений не достигли

🔻 Что это означает на практике

➡️ 1. Думаю в ближайшее время можно ожидать усиления контроля со стороны региональных властей и отраслевых регуляторов
Причина очевидна: никто не хочет оказаться в числе тех, кто не достиг целевых показателей и, по сути, не выполнил указ Президента

➡️ 2. Расчет Кзи превращается в главный ориентир, по которому будут смотреть на реальный уровень защищенности. И это уже не просто формальность, а источник данных для государственного контроля

🔻 Поэтому совет здесь очень простой: не тяните с расчетом Кзи. Там есть меры, которые быстро не делаются. Если начать в последний момент, велика вероятность, что потом придётся либо спешно закрывать хвосты, либо пытаться оформлять всё задним числом — а это плохой сценарий.

➡️ 3. И ещё один момент. Вопросы ИБ явно поднялись на самый высокий уровень — если они уже доходят до Совета Безопасности, значит рассчитывать, что “нас это не коснётся”, уже точно не стоит. Особенно если речь о госучреждении или субъекте КИИ

Тактика “потом разберёмся” здесь, скорее всего, закончится одинаково плохо: штрафами, инцидентами, взломами и персональной ответственностью

З.Ы. Данные НПА ещё не утверждены, но я продолжу следить за развитием событий. Оповещу, когда они вступят в силу и разберу финальные положения, если (когда) будут внесены изменения

З.ы.ы.
Разработчик сначала удалил проекты, а после загрузил повторно:
⏺️изменения в указ 250: https://regulation.gov.ru/projects/167660/
⏺️ Постановление Правительства: https://regulation.gov.ru/projects/167663/

З.ы.ы.ы.
Друзья, ещё раз приложу ссылку на методический документ по расчёту Кзи - ссылка

#НПАиИБ@seclifebalance