Ранее мы рассказывали о том, что с 1.09.2026 вступили в силу значимые изменения в 77 Приказ ФСТЭК России.

Но это не всё, что меняется в ИБ-законодательстве с сентября. Собрали в единый пост ключевые изменения в сфере информационной безопасности с кратким содержанием каждого нормативного акта.

Сохраняйте себе и делитесь с коллегами!

1. ГИС и госучреждения: обязательное подключение к ГосСОПКА

Что изменилось: Операторы федеральных и региональных ГИС, а также иных информационных систем госорганов, ГУП и госучреждений обязаны взаимодействовать с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА) через НКЦКИ.

Суть требований:

• • Подключение к личному кабинету НКЦКИ для обмена информацией об инцидентах.
  • Уведомление НКЦКИ о компьютерных инцидентах в течение 24 часов с момента обнаружения.
  • Передача сведений об инцидентах по утверждённой форме.

Кого касается: Все операторы федеральных и региональных ГИС, информационных систем госорганов, государственных и муниципальных унитарных предприятий, государственных учреждений.

Нормативные акты: Федеральный закон от 29.12.2025 № 568-ФЗ, Приказ ФСБ России от 06.08.2026 № 297

2. Аттестация объектов информатизации: пентест при аттестационных испытаниях и периодическом контроле

Что изменилось: Приказ ФСТЭК № 60 внёс изменения в Порядок аттестации объектов информатизации (приказ № 77).

Суть требований:

• • Периодический контроль включает анализ уязвимостей и тестирование на проникновение (пентест) по утверждённым ФСТЭК методикам.
  • Пентест можно не проводить, если связь организована через шифрованную сеть или VPN с сертифицированными СКЗИ и класс защищенности ниже второго.
  • Обязательная аттестация по-прежнему требуется только для ГИС и муниципальных информационных систем.
  • Для остальных систем решение об аттестации принимает владелец самостоятельно.
  • Повторная аттестация требуется только при повышении класса/уровня защищённости или категории значимости объекта.
  • Владельцы аттестованных объектов обязаны поддерживать их безопасность в течение всего срока эксплуатации.

Нормативный акт: Приказ ФСТЭК России от 27.02.2026 № 60

3. Защита ГИС: уточнённые требования ФСТЭК

Что изменилось: ФСТЭК уточнила требования по защите информации в государственных информационных системах. В частности ПЗИ заменено на УЗИ, строгая аутентификация на усиленную многофакторную. Изменения в части УЗИ вступят в силу с 1 марта 2027 года, но некоторые положения уже сейчас необходимо реализовать.

Суть требований:

• • Закреплена необходимость защищать информационно-телекоммуникационную инфраструктуру при использовании технических средств, программ для ЭВМ и баз данных.
  • Требования распространяются на все компоненты ГИС, включая сетевую инфраструктуру.

Нормативный акт: Приказ ФСТЭК России от 08.05.2026 № 137

4. Искусственный интеллект: старт регулирования

Что изменилось: С 1 сентября вступили в силу отдельные положения Федерального закона № 243-ФЗ «О поддержке развития технологий искусственного интеллекта в РФ».

Суть закона:

• • Впервые в российском законодательстве определены понятия «искусственный интеллект» и «большая языковая модель».
  • Установлены правовые основы для разработки и применения технологий ИИ.
  • Предусмотрены меры поддержки разработчиков ИИ-решений.

Важно: Ключевые нормы (статусы моделей, обязательность применения, маркировка ИИ-контента, обязанности разработчиков) вступят в силу позже — с 1 марта 2027 года

Нормативный акт: Федеральный закон от 26.07.2026 № 243-ФЗ

5. Криптозащита ГИС: требования распространены на внешние облачные сервисы и инфраструктуру (вступает в силу с 11 сентября)

Что изменилось: ФСБ распространила требования по криптографической защите на внешние облачные сервисы и аппаратную инфраструктуру, которые обеспечивают работу ГИС, но напрямую не входят в их состав.

Суть требований:

• • Сертифицированное шифрование (СКЗИ) теперь требуется не только для самой ГИС, но и для внешних подключаемых сервисов, баз данных и каналов связи внутри защищаемого контура — в том числе между серверами в одном дата-центре.
  • Базы данных ГИС и вычислительные мощности не смогут размещаться в облаках без криптографической защиты ФСБ (Google Cloud, AWS, Microsoft Azure и аналоги).
  • Требования распространяются на технические средства, программы для ЭВМ и базы данных, используемые при создании и эксплуатации ГИС.
  • Приказ № 321 заменяет приказ ФСБ № 117 от 18.03.2025.

Кого касается: Операторы ГИС, информационных систем госорганов, ГУП и госучреждений, использующие внешние облачные сервисы и инфраструктуру.

Нормативный акт: Приказ ФСБ России от 22.08.2026 № 321