ГИС — государственная информационная система: созданная на основании закона или акта госоргана система, где обрабатываются государственные данные или данные граждан. Если вы подрядчик такого проекта, аттестация — ваш производственный этап; если руководитель на стороне заказчика — точка приёмки. Общее правило: система вводится в эксплуатацию только после аттестации, порядок аттестации объектов информатизации установлен Правительством (ПП № 1209), а требования к защите ГИС с 1 марта 2026 года определяет приказ ФСТЭК № 117.
Что изменил приказ ФСТЭК № 117
Новый приказ заменил приказ № 17 и вступил в силу 1 марта 2026 года. Три практических следствия. Первое — процессная модель: защита строится как непрерывные процессы, а не разовый набор мер к дате аттестации. Второе — периодичность: показатель защищённости оценивается регулярно (по общему правилу — каждые полгода), то есть ИБ становится операционной функцией. Третье — дифференциация: для ряда систем требования смягчаются, часть согласований упрощается — точный объём зависит от класса системы.
Таблица шагов для руководителя
| Шаг | Результат | Кто отвечает |
|---|---|---|
| 1. Определить статус системы | заключение: ГИС или нет | заказчик + юрист |
| 2. Классификация и модель угроз | акт классификации, уровень защищённости | специалист по ИБ |
| 3. Выбрать исполнителя | договор с лицензиатом ФСТЭК | контрактная служба |
| 4. Привести систему к требованиям | комплект мер защиты, документация | ИТ-подрядчик + ИБ |
| 5. Испытания и аттестат | аттестат соответствия, ввод в эксплуатацию | аттестационный центр |
| 6. Поддержание защиты | полугодовые оценки, актуализация модели угроз | владелец системы |
Бюджет и сроки
Аттестация ГИС у лицензиатов ФСТЭК стоит от 500 000 ₽ за одну систему — дороже ИСПДн (60 000–350 000 ₽), потому что объём требований и испытаний больше. Рыночные комплексные закупки «защита информации + аттестация» закрываются в коридоре 0,58–1,45 млн ₽. По срокам ориентир рыночной практики — от нескольких недель на подготовленную систему до 2–3 месяцев, если мер защиты не хватает и их нужно внедрять. При планировании бюджета закладывайте не только аттестат, но и приведение системы к требованиям: технические средства защиты и доработки обычно дороже самих испытаний.
Ошибки, которые затягивают аттестацию
- Статус системы выясняют в конце. Если ГИС перепутали с ИСПДн, весь комплект документов переделывается — определение статуса это шаг № 1.
- Модель угроз «из шаблона». Формальная модель не выдерживает испытаний и проверок контролирующих органов.
- Экономия на подготовке. Аттестационный центр найдёт разрывы — возвраты на доработку дороже подготовительных работ.
- «Аттестат — и забыли». Приказ № 117 сделал защиту процессом: без полугодовых оценок аттестат быстро теряет смысл.
Чем ГИС отличается от ИСПДн и как аттестуют вторые — в статье аттестация ИСПДн в 2026 году; услуги по аттестации — на странице услуги.
Как мы помогаем
НЬЮ-ССТ сопровождает аттестацию ГИС под ключ через партнёра-лицензиата ФСТЭК: от классификации и модели угроз до аттестата и полугодовых оценок; практическую сторону аттестации систем с ИИ-модулями разбираем в гайде как аттестовать ГИС с ИИ-модулем. Отдельно — аудит соответствия ИИ-компонентов ГИС требованиям приказов ФСТЭК № 17/21 и № 117 — от 300 000 ₽: если в системе работают LLM, их проверяют по тем же правилам. Разбор вашей системы — бесплатно.