Что именно изменилось
Прежний приказ № 17 задавал статичный набор мер защиты: выбрал класс системы, применил меры, аттестовался — и живёшь до следующей реорганизации. Приказ № 117 переводит защиту в режим непрерывного процесса по циклу «план — внедрение — проверка — совершенствование»: мероприятия определены, их выполнение организационно оформлено, результативность проверяется, неувязки исправляются.
Главные новации:
| Элемент | Суть по приказу № 117 |
|---|---|
| Процессная модель | Цикл управления защитой вместо разового соответствия |
| 21 мероприятие | Расширенный состав, включая анализ защищённости и управление уязвимостями |
| Современные классы мер | EDR-средства, управление привилегированным доступом (PAM) |
| Отчётность | Сообщения об инцидентах и результатах — в короткие сроки, до 5 рабочих дней |
| Преемственность | Ранее выданные аттестаты действуют, повторная аттестация не требуется |
Кого касается
Прямо — государственные информационные системы и иные информационные системы госорганов. Если вы оператор ГИС или обслуживающая организация — требования уже в силе. Операторы коммерческих систем с персональными данными остаются на своём треке (приказ № 21 для ИСПДн), но логика процесса № 117 — ориентир, куда движется вся нормативка: от чек-листов к управлению.
Приказ № 137: что уже действует и что начнётся 1 марта 2027 года
Приказ ФСТЭК России от 08.05.2026 № 137 (опубликован 11.08.2026) вносит изменения в требования по защите информации, утверждённые приказом ФСТЭК № 117. Главное для планирования: изменения входят в силу двумя разными датами, и смешивать их в один график — типичная ошибка первого года применения.
Актуально по проверенным источникам на 01.10.2026.
Две даты вступления в силу — таблица
| Что меняет № 137 | Дата вступления в силу | Статус на октябрь 2026 |
|---|---|---|
| Основная часть изменений в требования № 117 | 01.09.2026 | Действует |
| Пункт 7 приложения, изменяющий пункт 32 требований № 117 (периодичность оценки защищённости) | 01.03.2027 | Принято, но ещё не действует |
Основная часть приказа № 137 действует с 01.09.2026; пункт 7 приложения, меняющий пункт 32 требований № 117, вступит в силу с 01.03.2027 Приказ ФСТЭК от 08.05.2026 № 137, пункт 2, PDF с.1.
Будущая периодичность с 01.03.2027: оператор и подрядчик
Будущая редакция пункта 32 разделяет обязанности по роли: Кзи проводит оператор, Узи — указанный подрядчик, причём для подрядчика первая оценка привязана к моменту доступа или передачи информации, а не к календарю Приказ № 137, приложение, пункт 7, PDF с.2.
| Кто | Что проводит | Периодичность по будущей редакции п. 32 |
|---|---|---|
| Оператор (организация, эксплуатирующая ГИС / иную ИС из области № 117) | Оценка защищённости информации (Кзи) | Не реже одного раза в 6 месяцев |
| Подрядчик с указанным доступом / передачей информации | Расчёт и оценка показателя уровня зрелости (Узи) | До доступа или передачи информации, далее не реже одного раза в 2 года |
Это правило ещё не действует: оно начнёт применяться с 01.03.2027 и не является требованием октября 2026 года. Численные пороги и методики проведения таких оценок этим приказом в проверенном объёме не установлены — для них нужны отдельные первичные документы, и здесь они не пересказываются.
Что оператору собрать заранее (практическая рекомендация, не нормативная форма)
Чтобы после 01.03.2027 не собирать доказательства задним числом, уже сейчас полезно зафиксировать:
- перечень своих систем, подпадающих под требования № 117, с границами каждой системы;
- договоры и условия допуска подрядчиков: у кого есть доступ к информации или кому она передаётся — именно это включает «указанного подрядчика» в будущую норму;
- факты доступа: журналы, приказы о допуске, технические задания — подтверждение момента «до доступа», от которого отсчитывается первая оценка подрядчика;
- ответственных за Кзи и за контроль подрядных Узи внутри организации.
Чего эта таблица не означает
- № 117 действует с 01.03.2026 и заменил приказ № 17; сохранение ранее выданных аттестатов не устанавливает текущий статус конкретной системы — его проверяют отдельно.
- Смена приказа сама по себе не создаёт обязанность повторной аттестации у каждого оператора — разбор этой путаницы: Нужна ли переаттестация после приказа 117.
- Отчётность по № 117 — отдельная задача со своими сроками: Отчётность по приказу ФСТЭК № 117 в 2027 году.
- Для значимых объектов КИИ предусмотрен отдельный будущий календарь контроля по приказу № 220 с 01.03.2027. Он разобран в материале Значимый объект КИИ: как подготовить календарь контроля к 1 марта 2027 года.
Типовые затыки первого года
Процесс существует на бумаге. У организации есть положение о защите, но цикл не крутится: мероприятия не привязаны к владельцам, результативность не измеряется. Лечение: карта мероприятий → роли → сроки → доказательства (журналы, протоколы, отчёты).
EDR и PAM закуплены, не внедрены. Средства есть, покрытие endpoints частичное, привилегированные учётки вне контроля. Лечение: план покрытия до целевого состояния с метрикой «доля защищённых узлов».
Инцидентная готовность. Пять рабочих дней на сообщение — срок, в который укладываются только организации с заранее назначенными ролями и готовыми шаблонами. Лечение: записная карточка «что делать при инциденте» на стене дежурного.
Доказательная база. При проверке спрашивают не «есть ли у вас процесс», а «покажите». Лечение: папка доказательств по каждому мероприятию — протоколы, журналы, акты.
План приведения в порядок на 2027 год
- Ревизия соответствия (1 месяц). По каждому из мероприятий: статус, доказательство, владелец. Список пробелов с приоритетами.
- Процессный контур (1–2 месяца). Приказом закреплены роли, цикл пересмотра, каналы отчётности; инцидентные сценарии отрепетированы.
- Технические пробелы (2–4 месяца). Покрытие EDR, PAM для критичных учёток, управление уязвимостями с реальными сроками устранения.
- Доказательства (постоянно). Единый накопитель артефактов; правило: нет артефакта — нет мероприятия.
- Внутренний аудит (ежеквартально). Выборочная проверка мероприятий по циклу; результаты — в план совершенствования.
Связь с другими требованиями
Приказ № 117 — не единственный слой защиты ГИС. При использовании СКЗИ применяются требования приказов ФСБ России, включая приказ ФСБ России № 117 от 18.03.2025 о защите информации в ГИС с использованием СКЗИ и новый приказ ФСБ № 321 от 22.08.2026 о криптозащите внешних и облачных сервисов ГИС — разбор в соответствующем материале. Базовые рамки задаёт 568-ФЗ от 29.12.2025 с порядком внешних сервисов по ПП № 1024. ИИ-компоненты систем попадают в ту же орбиту — границы их применения разобраны в материале о LLM в ГИС.
Практика обновления систем
Изменения ГИС — доработки, новые модули, подключение ИИ-компонентов — оформляются в общем процессе защиты: оценка влияния изменения на защищённость, корректировка мер, фиксация в документации. Приказ № 117 снял прежнюю тревогу вокруг аттестатов: замена приказов сама по себе не требует повторной аттестации, но существенные изменения системы остаются основанием для оценки — планируйте доработки с этим расчётом.
Быстрая самопроверка
- [ ] По каждому мероприятию есть владелец и доказательство.
- [ ] EDR покрывает критичные узлы; PAM охватывает привилегированные учётки.
- [ ] Сроки сообщений об инцидентах соблюдаются, шаблоны готовы.
- [ ] Цикл «проверка — совершенствование» запланирован, а не виртуален.
- [ ] Документация соответствует фактической архитектуре системы.
Привести защиту ГИС в рабочий процесс — заявка: НЬЮ-ССТ сопровождает операторов: от ревизии до выстраивания процессного контура и подготовки к проверкам.