Защита КИИ по ФСТЭК №117: кто обязан и что делать
Защита КИИ по ФСТЭК №117 - это обязательные требования к защите информации в государственных информационных системах и значимых объектах критической информационной инфраструктуры, действующие с 1 марта 2026 года. Приказ заменил устаревший №17 и ввёл процессный подход, количественные показатели защищённости (КЗИ - раз в полгода, ПЗИ - раз в два года), жёсткие сроки устранения уязвимостей (критические - 24 часа, высокие - 7 дней) и обязательное взаимодействие с ГосСОПКА. Под требования подпадают госорганы, ГУП, госучреждения, субъекты КИИ, операторы ИСПДн 1–2 уровня защищённости и подрядчики, работающие с государственными системами.
Ключевые выводы
Приказ ФСТЭК №117 действует с 1 марта 2026 года и заменил Приказы №17, №27, №106 и №61. Аттестаты, выданные ранее, сохраняют силу.
Регулятор проверяет не документы, а работоспособность защиты - процессы Plan-Do-Check-Act вместо жёстких таблиц мер.
КЗИ рассчитывается каждые 6 месяцев, ПЗИ - каждые 2 года, результаты направляются в ФСТЭК в течение 5 рабочих дней.
Критические уязвимости устраняются за 24 часа, высокие - за 7 дней. Бесконтрольная установка обновлений запрещена.
Не менее 30% сотрудников ИБ должны иметь профильное образование - это новое кадровое требование.
Штрафы для должностных лиц - до 50 тыс. руб., для юрлиц - до 200 тыс. руб. Уголовная ответственность по ст. 274.1 УК РФ - до 10 лет лишения свободы за тяжкие последствия.
Введение
В первом квартале 2026 года на объекты КИИ пришлось 77% всех кибератак на российские организации - более 9 тысяч инцидентов за три месяца. Одновременно с 1 марта вступил в силу Приказ ФСТЭК №117, который кардинально меняет подход к защите: от «показал папку с документами» - к «докажи, что защита работает». Я, Петухов Олег Анатольевич, руководитель юридической компании «ЛЕГАС», 25 лет работаю на стыке права и информационной безопасности. В этой статье - разбор актуальных угроз, реальные кейсы из практики «ЛЕГАС», пошаговые алгоритмы защиты и подготовки к аудиту по новым требованиям. Статья актуальна на 26 сентября 2026 года.
Угрозы и меры защиты: три взгляда
Взгляд CISO: архитектура защиты и мониторинг
Кибератаки на КИИ стали целевыми и скоординированными. По данным Positive Technologies, на Россию пришлось 14–16% всех успешных кибератак в мире, а доля высококритичных атак в секторе КИИ достигла 27% - против 20% в среднем по другим отраслям. APT-группировка Mythic Likho целенаправленно атакует предприятия машиностроения и энергетики, используя многоступенчатую доставку вредоносного ПО через взломанные сайты реальных российских компаний.
Приказ №117 требует процессного подхода - цикла Деминга-Шухарта (Plan-Do-Check-Act) вместо жёстких таблиц мер по классам защищённости. Меры теперь подбираются под конкретную архитектуру и актуальную модель угроз, основанную на . Введены 17 базовых мер, включая новые: защиту виртуализации, контейнерных сред, веб-технологий, API, конечных устройств и IoT.
Кейс из практики «ЛЕГАС». В 2025 году мы проводили аудит ИБ-инфраструктуры государственного учреждения в Вологодской области. СЗИ были установлены, но не настроены: межсетевой экран пропускал трафик по правилу «allow all», SIEM собирал события, но алерты не назначались на ответственных. При расчёте КЗИ по предварительной оценке мы получили 0,6 - ниже порогового значения 0,9. После настройки правил фильтрации, назначения ответственных и регламентации мониторинга показатель поднялся до 1,0. Регулятор теперь спрашивает именно об этом: «Какие события безопасности зафиксированы за последние три месяца?» - а не «Покажите приказ о назначении ответственного».
Что сделать в первую очередь:
Провести инвентаризацию всех информационных систем и сопоставить с типовыми отраслевыми перечнями КИИ (распоряжение Правительства РФ от 26.02.2026 №360-р).
Рассчитать текущий КЗИ по методике ФСТЭК. Если ниже 1 - составить план достижения базового уровня.
Настроить SIEM-систему для централизованного сбора событий и оповещения о неудачных входах привилегированных учётных записей.
Утвердить SLA для устранения уязвимостей: критические - 24 часа, высокие - 7 дней.
Взгляд бизнес-руководителя: риски, ответственность и бюджет
Уголовная ответственность по ст. 274.1 УК РФ - это не теория. Часть 3 предусматривает до 6 лет лишения свободы за нарушение правил эксплуатации КИИ, повлёкшее уничтожение или блокирование информации. При тяжких последствиях - от 5 до 10 лет. Часть 1 - создание или распространение вредоносного ПО для воздействия на КИИ - до 5 лет, причём для состава не обязательно наступление последствий. Указ Президента №250 прямо возлагает персональную ответственность за обеспечение ИБ на руководителя организации.
С 1 января 2025 года истёк срок запрета на использование средств защиты из недружественных стран. С 1 марта 2026 года ФЗ №325 вводит национальный контроль: на значимых объектах КИИ допустимы только доверенные российские ПАК и ПО, исключительные права на которые принадлежат российским лицам. Зарубежные NGFW (Cisco, Palo Alto, Fortinet) не отвечают этим требованиям по определению.
Кейс из практики «ЛЕГАС». В 2025 году к нам обратился банк из Санкт-Петербурга, использующий на периметре Cisco ASA. После вступления в силу ФЗ №325 возник прямой риск предписания ФСТЭК и блокировки эксплуатации. Мы разработали дорожную карту замены: приоритет - периметр (замена на российский NGFW за 3 месяца), затем - конечные точки (EDR-система от российского вендора за 6 месяцев), параллельно - актуализация ОРД. Результат: банк прошёл проверку без предписаний, бюджет на миграцию составил 12 млн руб. - против потенциального штрафа и приостановки эксплуатации, которая обошлась бы в сотни миллионов.
Что сделать в первую очередь:
Запросить у ИБ-подразделения текущий перечень СЗИ и проверить наличие сертификатов ФСТЭК на каждое средство.
Составить план замены иностранных СЗИ на российские с приоритизацией по критичности систем.
Закрепить персональную ответственность за ИБ приказом по организации - это требование Указа №250.
Выделить бюджет на ИБ в ежегодном плане: минимум 10–15% от ИТ-бюджета.
Взгляд внешнего аудита и пентестера: где слабые места
Атаки через цепочки поставок - основной вектор проникновения в КИИ. По данным RED Security SOC, подрядчики и поставщики ПО - удобная точка входа, поскольку организации КИИ выстраивают мощную защиту периметра, но их контрагенты часто остаются незащищёнными. Приказ №117 впервые закрепляет обязательные требования к подрядчикам: в договорах должны быть включены обязательства по обеспечению безопасности информации, контроль состояния защищенности осуществляет ФСТЭК.
С 1 сентября 2026 года Приказы №235 и №239 вводят новые показатели защищённости и обязательный пентест для ГИС 1 и 2 классов с подключением к интернету. Методика ФСТЭК от 25 ноября 2025 года формализует тестирование на проникновение. Аттестация ЦОД, где размещается ГИС, теперь обязательна по требованиям №117.
Кейс из практики «ЛЕГАС». В 2026 году мы проводили предпроверочный аудит для ГУП в Москве. Система формально соответствовала требованиям: ОРД в порядке, СЗИ сертифицированы. Но при пентесте мы обнаружили, что подрядчик по техническому обслуживанию имел RDP-доступ к серверам ГИС без MFA, через учётную запись с правами администратора. Путь атаки: фишинг подрядчика → компрометация RDP → полный доступ к ГИС. Мы закрыли уязвимость: внедрили MFA, ограничили доступ по white-list IP, перевели подрядчика на VPN с ГОСТ-шифрованием. Без предпроверочного аудита этот вектор обнаружила бы уже ФСТЭК.
Что сделать в первую очередь:
Провести инвентаризацию всех подрядчиков с доступом к вашим системам и проверить условия договоров на наличие требований по ИБ.
Организовать пентест по методике ФСТЭК - для систем 1 и 2 класса с интернет-подключением это теперь обязательно.
Проверить наличие MFA для всех привилегированных учётных записей и удалённых доступов.
Убедиться, что ЦОД, где размещаются ваши системы, аттестован по требованиям №117.
Изменения в ландшафте угроз и регулировании
Период с конца 2025 по 2026 год - самые масштабные изменения в регулировании КИИ с момента принятия 187-ФЗ в 2017 году. Ключевые векторы:
Законодательные изменения. ФЗ №58-ФЗ (с 1 сентября 2025) исключил ИП из субъектов КИИ, ввёл единый перечень типовых отраслевых объектов и запрет на иностранное ПО при наличии российских аналогов в реестре Минцифры. ФЗ №325-ФЗ (с 1 марта 2026) установил национальный контроль: доверенные ПАК и ПО - только с исключительными правами у российских лиц. Приказ ФСТЭК №137 от 8 мая 2026 внёс уточнения в №117, вступившие в силу с 1 сентября 2026.
Изменения в категорировании. Постановление Правительства №1762 от 7 ноября 2025 года заменило универсальные критерии на отраслевую типологию. Распоряжение №360-р от 26 февраля 2026 утвердило перечень типовых отраслевых объектов КИИ. Отраслевые особенности уже опубликованы для атомной энергии (ПП РФ №4 от 16.01.2026), банковской сферы (ПП РФ №92 от 06.02.2026) и науки (ПП РФ от 07.03.2026).
Актуальные векторы атак. По данным Positive Technologies (отчёт CODE RED 2026), доля атак с вредоносным ПО выросла до 71%, социальной инженерии - до 60%. ИИ активно применяется для персонализации фишинга и обхода MFA. Хактивисты в Q1 2026 совершили 28% атак на промышленные предприятия, 79% инцидентов привели к нарушению основной деятельности. Атаки через цепочки поставок выросли вдвое. Все эти данные требуют актуализации модели угроз - прежние модели по старому банку данных ФСТЭК считаются устаревшими.
Практическая часть: вопрос-ответ
Как понять, подпадает ли моя организация под требования Приказа №117?
Я рекомендую начать с простого теста: если ваша организация - госорган, ГУП, госучреждение или субъект КИИ, вы обязаны выполнять требования №117. Прямого требования для коммерческих компаний нет, но если вы получаете данные из ГИС, разрабатываете ПО для госсектора или управляете ЦОД - требования распространяются на вас через договор.
Нормативная база: п. 1 Приказа №117 (область применения), ст. 2 187-ФЗ (субъекты КИИ), Постановление Правительства №127 (критерии отнесения к КИИ).
Кейс из практики «ЛЕГАС». Вологодская логистическая компания обратилась к нам с вопросом: «Мы коммерческие, КИИ нас не касается». При анализе выяснилось, что их АСУ ТП управляет складскими процессами для госконтракта по поставкам в социальные учреждения. По критериям ПП №127 система попала в перечень типовых отраслевых объектов КИИ. Мы провели категорирование, определили 3-ю категорию значимости и разработали минимальный набор мер.
Алгоритм:
Составьте перечень всех информационных систем, сетей и АСУ.
Сопоставьте с типовыми отраслевыми перечнями (распоряжение №360-р).
Проверьте критерии значимости по ПП №127.
Если система подходит - создайте комиссию по категорированию.
Направьте сведения во ФСТЭК по форме Приказа №247.
Рекомендация: не ждите проверки - проведите самопроверку сейчас, штраф за непредставление сведений о категорировании - до 200 тыс. руб. за повторное нарушение.
Как рассчитать КЗИ и что делать, если он ниже 1?
КЗИ - это показатель текущего состояния защиты от базового уровня угроз. Методика ФСТЭК включает 16 частных показателей по четырём группам: управление (0,10), защита пользователей (0,25), защита информационных систем (0,35) и мониторинг ИБ (0,30). Пороговое значение - 1,0. Лицензия ФСТЭК для расчёта КЗИ не требуется - его может выполнить внутренний специалист.
Нормативная база: п. 31–33 Приказа №117, методические документы ФСТЭК по расчёту КЗИ.
Кейс из практики «ЛЕГАС». При аудите ГИС класса К1 в Москве мы обнаружили, что централизованный антивирус покрывал только 60% устройств (требование - 80%), а регламент реагирования на инциденты отсутствовал. Эти два пробела «съели» 0,25 от КЗИ. После внедрения EDR на 85% конечных точек и утверждения регламента КЗИ вырос с 0,7 до 1,1.
Алгоритм:
Получите методический документ ФСТЭК по расчёту КЗИ.
Оцените каждый из 16 частных показателей по вашей инфраструктуре.
Рассчитайте итоговый КЗИ с учётом весовых коэффициентов групп.
Если КЗИ < 1 - составьте план мероприятий с конкретными сроками (п. 33 Требований).
Направьте результаты в ФСТЭК в течение 5 рабочих дней.
Повторяйте расчёт не реже раза в полгода.
Рекомендация: автоматизируйте сбор данных для КЗИ через SGRC-платформу - ручной расчёт на больших инфраструктурах занимает недели и быстро устаревает.
Какие требования предъявляются к подрядчикам?
Приказ №117 впервые закрепляет защиту информации на всей цепочке поставщиков. Обязательно включение в договоры обязательств по ИБ, контроль состояния защищённости подрядчиков ФСТЭК, а при разработке ПО - соблюдение ГОСТ Р 56939-2024 «Разработка безопасного программного обеспечения».
Нормативная база: п. 34 «р» Приказа №117 (защита при взаимодействии с подрядными организациями), ГОСТ Р 56939-2024 (разделы 4 и 5).
Кейс из практики «ЛЕГАС». В 2026 году банк в Санкт-Петербурге обнаружил инцидент: подрядчик по ИТ-обслуживанию имел доступ к тестовому контуру, который был подключён к производственному сегменту. Через скомпрометированную учётную запись подрядчика злоумышленники получили доступ к серверам банка. Мы помогли форензически исследовать инцидент, уведомить НКЦКИ и ФинЦЕРТ, а затем перестроить контрактную архитектуру: подрядчик переведён на изолированный доступ через bastion-хост с MFA и полным логированием.
Алгоритм:
Составьте реестр всех подрядчиков с доступом к вашим системам.
Внесите в договоры обязательства по защите информации и право на аудит.
Ограничьте доступ подрядчиков по принципу минимальных привилегий.
Внедрите MFA и белый список IP для всех внешних подключений.
Логируйте все действия подрядчиков и передавайте события в SIEM.
Проводите ежегодную оценку защищённости подрядчиков.
Рекомендация: включите в договоры право на немедленное приостановление доступа при выявлении инцидента - без этого вы не сможете быстро изолировать угрозу.
Как реагировать на инцидент КИИ по новым правилам?
По Приказу №117 операторы обязаны обеспечить непрерывное взаимодействие с ГосСОПКА (п. 59). Каналы: API, личный кабинет в НКЦКИ, электронная почта, почтовые отправления, телефон. Порядок непрерывного взаимодействия определён Приказом ФСБ №548 от 25 декабря 2025 года.
Нормативная база: п. 59 Приказа №117, Приказ ФСБ №547 от 25.12.2025, Приказ ФСБ №539 от 23.12.2025.
Кейс из практики «ЛЕГАС». В 2025 году мы сопровождали организацию из Вологодской области, подвергшуюся DDoS-атаке на значимый объект КИИ. Внутренняя команда зафиксировала атаку, но не уведомила НКЦКИ - посчитали, что «справились сами». Через месяц ФСТЭК запросил данные об инциденте по результатам мониторинга. Мы подготовили ретроспективное уведомление, но организации было вынесено предписание за нарушение сроков уведомления.
Алгоритм:
Зафиксируйте инцидент в журнале - дата, время, тип, масштаб.
Оцените категорию инцидента и определите обязательные уведомления.
Направьте сообщение в НКЦКИ через установленный канал (API или личный кабинет).
При необходимости - отраслевой CERT (например, ФинЦЕРТ для банков).
Запустите план реагирования: изоляция, расследование, восстановление.
Подготовьте отчёт для ФСТЭК в установленные сроки.
Рекомендация: разработайте и утвердите план реагирования до инцидента - если этот порядок впервые обсуждают во время атаки, вы теряете время и риск нарушить сроки уведомления критически высок.
Что грозит за несоблюдение требований?
Ответственность многоуровневая. Административная - по ст. 13.12.1 КоАП РФ: штраф для должностных лиц 10–50 тыс. руб., для юрлиц - до 200 тыс. руб. за повторное нарушение. ФСТЭК вправе выдать предписание и приостановить эксплуатацию ГИС. Уголовная - по ст. 274.1 УК РФ: до 6 лет за нарушение правил эксплуатации, до 10 лет при тяжких последствиях, до 5 лет за создание вредоносного ПО для КИИ.
Нормативная база: ст. 13.12.1 КоАП РФ, ст. 274.1 УК РФ, Указ Президента №250 (персональная ответственность руководителя).
Кейс из практики «ЛЕГАС». В 2025 году мы консультировали организацию, где сотрудник ИТ-отдела по неосторожности оставил открытый RDP-доступ к значимому объекту КИИ. Произошла утечка данных. Следствие квалифицировало инцидент по ч. 3 ст. 274.1 УК РФ - нарушение правил эксплуатации. Мы помогли собрать доказательства того, что организация приняла все разумные меры защиты, а инцидент произошёл вследствие индивидуального нарушения сотрудником утверждённого регламента. Это позволило переквалифицировать ответственность, но организации был вынесен штраф и предписание.
Алгоритм:
Оцените риски: проведите аудит соответствия всем требованиям №117.
Устраните выявленные нарушения до проверки ФСТЭК.
Документируйте все принятые меры - это ваша защита при расследовании.
Проведите обучение сотрудников под подпись.
Утвердите регламенты эксплуатации и доступа к объектам КИИ.
Рекомендация: помните про примечание к ст. 274.1 УК РФ - лицо освобождается от уголовной ответственности, если активно способствовало раскрытию преступления и предприняло меры по сохранению следов. Быстрое и прозрачное реагирование - ваша лучшая стратегия.
Сравнительная таблица: классы защищённости и требования
Параметр К1 (высокая значимость) К2 (средняя) К3 (базовая)
Класс СЗИ Не ниже 4 класса Не ниже 5 класса 6 класс
Пентест Обязателен (при интернет-подключении) Обязателен (при интернет-подключении) Не требуется
КЗИ Раз в 6 месяцев, ≥ 1,0 Раз в 6 месяцев, ≥ 1,0 Раз в 6 месяцев, ≥ 1,0
Периодичность аттестации По графику ФСТЭК По графику ФСТЭК По графику ФСТЭК
MFA для привилегированного доступа Обязательно Обязательно Рекомендуется
Частые ошибки
Перенос класса защищённости из старого акта по Приказу №17 - пересмотрите значимость по новым критериям №117, класс мог измениться.
Расчёт КЗИ «на бумаге» без сверки с реальной инфраструктурой - ФСТЭК проверяет работоспособность СЗИ, а не документы.
Игнорирование подрядчиков - п. 34 «р» №117 прямо требует контроля ИБ-защищённости контрагентов, доступ которых к вашим системам - точка входа для атак.
Использование иностранных СЗИ после 1 марта 2026 - ФЗ №325 запрещает, заменяйте на российские с сертификатом ФСТЭК.
Отсутствие плана реагирования на инциденты до их наступления - если регламент обсуждают во время атаки, вы теряете время и нарушаете сроки уведомления НКЦКИ.
Заключение
Защита КИИ по ФСТЭК №117 в 2026 году - это не про бумажную соответствие, а про живую систему безопасности с измеримым результатом. Регулятор проверяет, работают ли СЗИ в реальности, фиксируются ли инциденты и реагирует ли команда. Одно конкретное действие, которое вы можете сделать сегодня: рассчитайте текущий КЗИ по методике ФСТЭК - если показатель ниже 1,0, у вас есть окно до следующей отчётной даты, чтобы закрыть пробелы. Если нужна помощь с аудитом, категорированием, разработкой модели угроз или правовым сопровождением ИБ-проектов - обращайтесь в «ЛЕГАС», мы работаем в Москве, Санкт-Петербурге и Вологде и сопровождаем клиентов по всей России.
Об авторе
Петухов Олег Анатольевич - руководитель юридической компании «ЛЕГАС» (г. Москва, г. Санкт-Петербург, г. Вологда), юрист и специалист по информационной безопасности с 25-летним стажем. В «ЛЕГАС» развивает практику информационной безопасности: от аудита и категорирования объектов КИИ до правового сопровождения ИБ-проектов, импортозамещения СЗИ и защиты при инцидентах. Специализация: ФЗ-152, ФЗ-187, Приказы ФСТЭК, правовое сопровождение реагирования на киберинциденты.
Ключевые направления:
Аудит соответствия требованиям ФСТЭК №117, №239, №235;
Категорирование объектов КИИ по ПП №127 и отраслевым перечням;
Разработка ОРД, моделей угроз и технических заданий на СЗИ;
Правовое сопровождение инцидентов ИБ, взаимодействие с НКЦКИ и ФСТЭК;
Импортозамещение СЗИ, договорная работа с подрядчиками.
Поделитесь статьёй с коллегами - возможно, им ещё не известно о новых требованиях.
Подпишитесь на legascom.ru - разбираем сложное просто.
