ФСТЭК России продолжает системную работу по актуализации требований к защите информации. Очередной этап — поправки к Приказу № 117. Рассказываем, что меняется в терминологии, порядке расчетов, отчетности и требованиях к исполнителям, а также кому и к чему следует готовиться.
Ключевые поправки к Приказу ФСТЭК №117 с 1 сентября 2026 года
-
Показатель Пзи переименован на Узи (в соответствии с Методикой оценки уровня зрелости от 7 августа 2026 г.).
-
Понятие «конечные устройства» уточнено. Требование о постоянном доступе в сеть Интернет для физических и виртуальных хостов исключено. Теперь под требования попадают устройства с любым доступом к сети «Интернет», а не только с постоянным.
-
Введена обязанность оператора (обладателя информации) устанавливать для подрядных организаций требования по расчету и оценке Узи.
-
Удаленный доступ пользователей к информационным системам и доступ с мобильных устройств теперь разрешен с применением не только строгой, но и усиленной многофакторной аутентификации.
Ключевые поправки к Приказу ФСТЭК №117 с 1 марта 2027 года
-
Оценка уровня зрелости проводится подрядной организацией, причем до получения доступа к информационным системам, содержащейся в них информации и (или) передачи им информации, далее не реже одного раза в два года.
-
Направлять результаты оценки Узи во ФСТЭК России больше не нужно. Теперь ведомство отчитывается только о результатах оценки показателя защищённости Кзи.
Требование об обязательном улучшении системы защиты при недостижении нужного уровня Узи исключено. Однако такие меры сохраняются — они детально прописаны в Методике оценки зрелости.
Итог
Поправки направлены на оптимизацию процесса оценки защищённости. С одной стороны, они расширяют область применения мер защиты, с другой — снижают административную нагрузку на организации. Одновременно вводится механизм управления качеством через подрядные организации, что смещает акцент с формального отчёта перед регулятором на компетентность исполнителей и результативность защиты. Цель данных поправок — сделать систему более гибкой, практико-ориентированной и менее бюрократичной, сохранив при этом усиление требований в ключевых зонах контроля.
