8 сентября 2026 года был опубликован приказ ФСТЭК России от 16.07.2026 № 220. Он вносит изменения в приказ № 235 от 21.12.2017 «Требования к созданию систем безопасности значимых объектов критической информационной инфраструктуры Российской Федерации и обеспечению их функционирования». Документ вступает в силу с 1 марта 2027 года.
Изменения затрагивают порядок контроля состояния безопасности значимых объектов КИИ, и они довольно конкретные, с цифрами и сроками.
Разбираем, что нужно закладывать в планы уже сейчас.
Два новых показателя для контроля безопасности КИИ
Приказ вводит два обязательных показателя для контроля состояния безопасности значимых объектов КИИ:
-
- показатель защищённости (К_зи) – отражает текущее состояние безопасности объекта и то, насколько оно соответствует минимально необходимому уровню защиты от типовых актуальных угроз;
- показатель уровня зрелости (У_зи) – оценивает достаточность и эффективность уже проведённых мероприятий по обеспечению безопасности.
Обе методики расчёта уже утверждены ФСТЭК России. Методика оценки К_зи (показателя состояния технической защиты информации в информационных системах и обеспечения безопасности значимых объектов КИИ) действует с 11.11.2025. Методика оценки У_зи (уровня зрелости деятельности в области технической защиты информации в информационных системах и обеспечения безопасности значимых объектов КИИ) утверждена 07.08.2026. Так что формулы и критерии уже есть, и субъектам КИИ можно начинать считать оба показателя, не дожидаясь марта 2027 года.
К_зи: расчет показателя раз в полгода
Показатель защищённости субъект КИИ обязан рассчитывать не реже одного раза в шесть месяцев. Результаты каждого расчета, независимо от значения показателя, в течение 5 рабочих дней направляются в ФСТЭК России.
Если по итогам оценки показатель К_зи не достигает нормированных значений, то для этого есть строгий порядок реагирования: в течение 3 календарных дней с момента завершения оценки об этом нужно проинформировать руководителя субъекта КИИ для принятия решения о дополнительных мерах защиты.
Здесь стоит заранее закрепить внутри организации, кто в течение трёх дней после оценки готовит информацию для руководителя, и кто отвечает за отправку отчёта в ФСТЭК в течение пяти дней. Иначе сроки легко упустить.
У_зи: расчет показателя раз в три года
- субъект КИИ обязан установить для такой подрядной организации требование по расчёту и оценке У_зи;
- подрядчик обязан рассчитать показатель до получения доступа к значимому объекту, а затем не реже раза в три года;
- при несоответствии нормированным значениям действует та же логика: 3 календарных дня на информирование руководителя субъекта КИИ о необходимости дополнительных мер.
Это значит, что перед допуском новых подрядчиков к значимым объектам КИИ придётся закладывать время и процедуру на подтверждение их «зрелости» по безопасности. Методика оценки У_зи прямо предусматривает такой сценарий: она применяется в том числе подрядными организациями для подтверждения уровня зрелости при оказании услуг, доступе к системам заказчика или выполнении работ по защите информации.
Что делать уже сейчас
Формально требования вступают в силу с 1 марта 2027 года, но методики по К_зи и У_зи уже утверждены и действуют, поэтому готовиться стоит заранее:
-
- изучить уже утверждённые методики ФСТЭК по К_зи и У_зи, чтобы точно понимать порядок расчёта показателей;
- заложить в бюджет и график регулярный расчёт К_зи (раз в полгода) и У_зи (раз в три года);
- пересмотреть договоры с подрядчиками, имеющими доступ к значимым объектам КИИ, и добавить в них обязанность считать У_зи и предоставлять результаты до получения доступа.
С более подробной информацией и экспертным мнением вы можете познакомиться, посмотрев записи наших вебинаров по теме:
