Из каких этапов складывается срок
Аттестация по информационной безопасности — процедура подтверждения соответствия системы требованиям защиты информации. Общий календарь состоит из трёх блоков, и растянуть может любой из них:
- Обследование и подготовка пакета. Акт классификации, модель угроз, техпаспорт, программа и методики испытаний. Здесь чаще всего теряют время: сведения о системе собирают по разрозненным источникам, ответственные меняются.
- Испытания. Комиссия лицензиата ФСТЭК проверяет систему по методикам: технические тесты средств защиты, анализ организационных мер.
- Оформление результатов. Протоколы, заключение, аттестат соответствия.
Состав аттестационного пакета и требования к нему подробно разобраны на странице аттестация ИСПДн.
Ориентиры по длительности
| Тип системы | Ориентир практики | Цена (сентябрь 2026) |
|---|---|---|
| ИСПДн типового класса | от нескольких недель | 60–350 тыс. ₽ |
| ГИС | месяцы — сложнее пакет и испытания | от 500 тыс. до 1+ млн ₽ |
| Комплексные лоты (аудит + аттестация) | по ТЗ закупки | 0,58–1,45 млн ₽ |
Это ориентиры рыночной практики, а не нормативные сроки: точный календарь зависит от класса системы, готовности документации и числа доработок по итогам испытаний. Именно его и стоит запрашивать до старта — график фиксируется в КП.
Что растягивает сроки
- Документация не соответствует реальной системе — после обновлений её никто не актуализировал.
- Средства защиты заявлены, но не настроены или не охватывают все сегменты.
- Нет ответственных за организационные меры: приказы есть, людей за ними нет.
- Модель угроз скопирована из чужого проекта и не проходит анализ комиссии.
Как сократить срок
Практика показывает: быстрее всех проходят аттестацию те системы, где до старта наведён порядок — актуальное описание, настроенные средства защиты, назначенные ответственные. Помогает и предварительный аудит: он выявляет пробелы до того, как их найдёт комиссия. Аудит ИСПДн у ООО «НЬЮ-ССТ» — от 300 000 ₽, работа идёт по партнёрской модели с лицензиатом ФСТЭК. Подробности — на страницах ИСПДн 152-ФЗ и аттестация ИСПДн; для госсектора актуален материал аттестация ГИС к 2027 году.
Срок действия и переаттестация
Аттестат соответствия выдаётся на ограниченный срок, а при существенных изменениях системы требуется повторная процедура — в том числе по процессной модели приказа ФСТЭК № 117. Планируйте её заранее, а не по факту отказа: о порядке — в материале нужна ли переаттестация по приказу 117. Ценовые ориентиры — в ответе сколько стоит аттестация по информационной безопасности.
Календарь: как не сорвать сроки
Опыт аттестаций подсказывает простое правило: срок процедуры почти всегда определяется не регулятором и не комиссией, а готовностью самой организации. Полезно заложить в план четыре контрольные точки:
- Старт. Назначен руководитель проекта со стороны заказчика и ответственные по разделам документации; у каждого есть время на эту работу.
- Середина подготовки. Черновики пакета собраны и сверены с фактическим состоянием системы — не с «как было три года назад», а с текущим.
- До испытаний. Средства защиты настроены и работают, журналы ведутся, персонал проинструктирован — комиссии показывают работающую систему, а не презентацию.
- После. Устранение замечаний идёт по графику с датами, а не «когда-нибудь»: затянутое замечание обнуляет сроки не хуже крупной доработки.
Организации, которые проходят этот маршрут регулярно, заводят практику «поддержания аттестационной готовности»: документация актуализируется при каждом изменении системы, а не собирается заново к очередной аттестации. Это дешевле и спокойнее — в том числе психологически: аттестация перестаёт быть чрезвычайным событием и становится плановой процедурой с предсказуемым календарём.
Итог
Календарь аттестации по ИБ складывается из трёх блоков — подготовка пакета, испытания комиссии лицензиата ФСТЭК, оформление результатов — и по рыночной практике занимает от нескольких недель для ИСПДн до 2–3 месяцев для ГИС. Управляемые рычаги срока: актуальность документации, настроенность средств защиты, назначенные ответственные и предварительный аудит. Если дедлайн задан регулятором или планом развития, начинайте подготовку заранее — аттестация прощает многое, но не аврал в последнюю неделю перед испытаниями. И помните про переаттестацию: системы меняются, и заранее спланированная повторная процедура всегда дешевле экстренной. Так календарь становится управляемым, а аттестация — плановой работой, а не проектом-авралом.