Три разных строки календаря
В будущих пунктах 36³–36⁴ предусмотрены разные действия и адресаты. Их полезно вести раздельно, чтобы трёхлетнюю оценку подрядчика не принять за полугодовой контроль самого субъекта.
| Что предусмотрено с 01.03.2027 | Кто выполняет действие | Периодичность или условие | Что подготовить для рабочей карты |
|---|---|---|---|
| Расчёт и оценка показателя защищённости Кзи | Субъект КИИ | Не реже одного раза в шесть месяцев | Значимый объект, ответственный, материалы расчёта, дата завершения и место хранения результата |
| Расчёт показателя уровня зрелости Узи | Субъект КИИ | Не реже одного раза в три года | Границы оценки, ответственная функция, исходные материалы и версия применяемых документов |
| Расчёт и оценка Узи привлечённой организации в предусмотренном приказом случае | Подрядная организация; требование устанавливает субъект КИИ | До получения доступа к значимому объекту и далее не реже одного раза в три года | Организация, состав работ, основание доступа, согласованное требование и подтверждение оценки |
Нормативная часть таблицы следует из приложения к № 220, будущих пунктов 36³–36⁴, страницы PDF 2–3. Последняя колонка — рекомендация по организации материалов, а не установленная приказом форма отчёта. Приложение к приказу № 220.
Условие для подрядчика важно читать целиком: речь идёт о привлечении организаций, которым предоставляется доступ к значимому объекту для перечисленных работ и услуг, включая обработку и хранение информации, создание или развитие объекта, обеспечение его эксплуатации и безопасности. По одному названию поставщика нельзя решить, что он относится к этой группе. Нужно сопоставить фактические работы и доступ с формулировкой пункта 36⁴.
Помимо периодичности расчётов, включите в календарь события после оценки. Будущий пункт 36³ предусматривает направление субъектом КИИ результатов оценки Кзи в ФСТЭК России не позднее пяти рабочих дней после дня их расчёта. При несоответствии Кзи нормированным значениям в методических документах руководитель субъекта КИИ информируется в течение трёх календарных дней со дня завершения оценки. Аналогичное трёхдневное событие при несоответствии Узи предусмотрено в пункте 36⁴. Эти положения начнут действовать с 1 марта 2027 года; конкретные календарные даты рассчитывают от фактического события, различая рабочие и календарные дни. Приложение к приказу № 220, пункты 36³–36⁴, страницы PDF 2–3.
Начните с одного объекта и одного доступа
Практический способ подготовки — выбрать один уже значимый объект и одну привлечённую организацию, а затем проверить, можно ли восстановить всю цепочку без устных пояснений. Название проекта или договора обычно недостаточно: в одном договоре могут быть поставка, сопровождение и отдельный удалённый доступ.
Заполните следующие поля:
| Поле | Какой ответ нужен | Если ответа пока нет |
|---|---|---|
| Объект | Точное наименование и внутренний идентификатор значимого объекта | Уточнить у владельца реестра объектов; не подставлять категорию по аналогии |
| Ответственная функция | Кто организует контроль и кто предоставляет исходные материалы | Согласовать роли между владельцем объекта и службой ИБ |
| Подрядчик и работы | Юридическое лицо, договор, конкретные операции | Разделить поставку и операции с доступом |
| Доступ | К чему, на какой период и по какому основанию его планируют выдать | Зафиксировать вопрос до решения о допуске |
| Оценка | Вид показателя, версия методических документов, результат и дата | Получить точное основание расчёта; не заменять его произвольным процентом |
| Следующее событие | Плановая оценка, выдача доступа или изменение состава работ | Определить владельца события и способ его регистрации |
Это заготовка для внутренней сверки. В неё не нужно включать пароли, ключи доступа или детальные сведения о защищаемой архитектуре, если документ предназначен для широкой рабочей группы.
Как превратить карту в работающий календарь
Сначала отделите периодические события от событий допуска. У каждого события должны быть объект, исполнитель, ожидаемый материал и человек, принимающий результат. Для подрядчика добавьте связь с решением о предоставлении доступа: самостоятельная запись «оценка есть» без организации, работ и даты не показывает, к какому доступу она относится.
Затем назначьте внутренние даты подготовки материалов и проверки их полноты. Это организационные даты вашей команды. Их нельзя выдавать за одинаковый первый нормативный срок для всех субъектов: исходные обстоятельства, применимые документы и календарь конкретного объекта нужно устанавливать отдельно.
Наконец, предусмотрите пересмотр карты при изменении объекта, состава работ или доступа. Например, предложение подрядчику выполнять новые операции следует сверять с уже описанными границами, а не считать автоматически покрытым прежним названием договора.
Что нельзя заполнить по этой статье
Здесь нет формулы Кзи или Узи, числовых порогов и заключения о выполнении требований конкретным объектом. Для такого расчёта нужны точные применимые методические документы и исходные сведения. Не следует переносить двухлетнюю периодичность из другого режима № 117 в рассмотренную трёхлетнюю строку № 235/220.
Календарь контроля также отвечает на другую задачу, чем замена программного обеспечения или оборудования. Для отдельного плана изменения технологического состава на сайте есть материал о подготовке значимых объектов КИИ к 2028 году. Его сроки и условия следует проверять по собственной нормативной базе; они не заменяют строки контроля из № 220.
Результат подготовки — карта объекта, перечень привлечённых организаций с описанием доступа и календарь получения подтверждающих материалов. Перед использованием после 1 марта 2027 года или при появлении новой редакции сверяйте официальный текст и применимость к конкретному объекту.
Редакционная подготовка: 2 октября 2026 года. Проверенный источник: официальный оригинал № 220, принят существующим владельцем источников 1 октября 2026 года; индивидуальная применимость и методика расчёта здесь не устанавливаются.