Приказ Федеральной службы по техническому и экспортному контролю от 27.02.2026 № 60 «О внесении изменений в Порядок организации и проведения работ по аттестации объектов информатизации на соответствие требованиям о защите информации ограниченного доступа, не составляющей государственную тайну, утвержденный приказом ФСТЭК России от 29 апреля 2021 г. № 77»
Ссылки
- Публикация на Официальном интернет-портале правовой информации (PDF-файл)
- Сохранённый текст в формате PDF
- Гарант
Изменяемые документы
- Приказ ФСТЭК России №77 от 29.04.2021 «Об утверждении Порядка организации и проведения работ по аттестации объектов информатизации на соответствие требованиям о ЗИ ограниченного доступа, не составляющей гостайну»
- Установлен порядок аттестации ГИС, МИС, ИС ОПК (включая АС станков с ЧПУ), помещений, ЗО КИИ, ИСПДн, АСУ ТП.
Обзоры документа
Аналитический центр УЦСБ
25 июня официально опубликован приказ ФСТЭК России от 27.02.2026 № 60 «О внесении изменений в Порядок организации и проведения работ по аттестации объектов информатизации на соответствие требованиям о защите информации ограниченного доступа, не составляющей государственную тайну, утвержденный приказом ФСТЭК России от 29.04.2021 № 77».
Ключевые отличия официально опубликованной версии документа от проекта:
- исключено требование о мониторинге безопасности на конечных устройствах с применением сертифицированных СрЗИ при аттестации объекта информатизации на основе результатов испытаний выделенного набора сегментов;
- любая инфраструктура, а не только центров обработки данных, используемая для цифровой трансформации государственного управления, будет подлежать обязательной аттестации на соответствие требованиям по защите информации по классу защищенности не ниже класса защищенности объекта информатизации;
- определены обязательные методы (функциональное тестирование и анализ уязвимостей) для дополнительных аттестационных испытаний при развитии (модернизации) объекта информатизации и установлены требования к отчету (протоколу) по результатам таких испытаний;
- в случае повышения класса защищенности (уровня защищенности, категории значимости) объекта информатизации будет необходима его повторная аттестация.
Начало действия документа – 1 сентября 2026 года.
26 января Федеральная служба по техническому и экспортному контролю РФ (далее – ФСТЭК России) опубликовала проект приказа «О внесении изменений в порядок организации и проведения работ по аттестации объектов информатизации на соответствие требованиям о защите информации ограниченного доступа, не составляющей государственную тайну (далее – порядок аттестации), утвержденный приказом ФСТЭК России от 29.04.2021 № 77».
Проект разработан для приведения порядка аттестации в соответствие с Требованиями, утвержденными приказом ФСТЭК России от 11.04.2025 № 117. Изменения направлены на уточнение требований к аттестационным испытаниям, периодическому контролю и содержанию отчетной документации.
Требования порядка аттестации дополнительно распространятся на ИС государственных органов, государственных унитарных предприятий, государственных учреждений.
Периодический контроль уровня защиты информации принадлежащих этому органу объектов информатизации можно будет проводить силами собственных структурных подразделений по защите информации (после информирования об этом ФСТЭК России).
Проектом приказа изменено проведение аттестационных испытаний при проведении работ по оценке соответствия принятых на объекте информатизации технических мер по защите информации от несанкционированного доступа (далее – НСД), приведены новые способы испытаний, в том числе путем моделирования реализации актуальных угроз с целью оценки возможностей НСД.
Тестирование на проникновение будет обязательным для ГИС и иных ИС государственных органов и унитарных предприятий 1 и 2 классов защищенности, имеющих подключение к сети «Интернет» или взаимодействующих с внешними системами (есть исключения для систем, взаимодействующих только через сети шифрованной связи или виртуальных частных сетей).
Инфраструктура центров обработки данных, используемая для цифровой трансформации государственного управления, будет подлежать обязательной аттестации на соответствие требованиям по защите информации.
Проект допускает аттестацию объекта информатизации на основе испытаний выделенного набора сегментов по аналогии с пунктом 17.3 приказа ФСТЭК России от 11.02.2013 № 17 «Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в ГИС».
Контроль уровня защищенности информации на аттестованном объекте информатизации должен будет проводиться методами анализа уязвимостей и тестирования на проникновение в соответствии с методикой анализа защищенности ИС, утвержденной ФСТЭК России 25.11.2025. Подробнее с методикой можно ознакомиться в обзоре за декабрь 2025 года Аналитического центра УЦСБ.
По результатам проведения контроля уровня защищенности информации на аттестованном объекте информатизации будет нужно оформить отчет (протокол) с указанием перечня сведений, который предоставляется в ФСТЭК России не реже 1 раза в 3 года.
Гарант ПРАЙМ
Скорректированы правила аттестации объектов информатизации на соответствие требованиям к защите информации ограниченного доступа, не составляющей гостайны. Уточнен порядок проведения аттестационных испытаний и периодического контроля уровня защищенности информации, а также содержание отчета (протокола) по результатам контроля.
Приказ вступает в силу с 1 сентября 2026 г.
Текст документа
Быстрый просмотр сохранённой копии