Федеральная служба по техническому и экспортному контролю (ФСТЭК России) утвердила изменения в своих приказах № 235 и № 239, которые вступят в силу с 1 сентября 2026 года. Обновления касаются контроля безопасности значимых объектов критической информационной инфраструктуры (КИИ) и требований к средствам защиты информации.
Согласно новым положениям, субъекты КИИ теперь обязаны регулярно рассчитывать два ключевых показателя:
- Кзи – показатель защищённости значимых объектов КИИ;
- Пзи – показатель уровня зрелости мер безопасности.
Показатель Кзи будет оцениваться не реже одного раза в шесть месяцев, а Пзи — каждые два года. Результаты этих расчётов направляются в ФСТЭК для мониторинга и анализа эффективности мер защиты.
Ужесточение требований к средствам защиты информации
Все применяемые на значимых объектах системы должны иметь техническую поддержку от разработчиков. Любой удалённый или бесконтрольный локальный доступ посторонних к программным и программно-аппаратным средствам строго запрещён. Передача информации производителям или третьим лицам возможна только под контролем субъекта КИИ. В случаях, когда удалённый доступ технически необходим, допускается его использование при строгом контроле действий, ограничении полномочий пользователей и защите данных при передаче по каналам связи.
Требования к размещению ПО критической значимости
Для программных средств 1 и 2 категорий значимости установлено требование размещения на территории России, за исключением зарубежных подразделений субъектов КИИ и случаев, предусмотренных законодательством или международными договорами.
Дополнительно, новые меры безопасности могут быть расширены ФСТЭК на основании решения о необходимости дополнительных организационных и технических мероприятий, согласно Указу Президента № 250 от 1 мая 2022 года.
Эти изменения направлены на усиление контроля за безопасностью КИИ и повышение устойчивости к возможным угрозам.
Список рекомендаций можно скачать здесь.