Аттестация добралась до коммерческих ИСПДн: что изменилось 1 сентября

Я почти пролистал эту новость

За последние две недели лента дала мне десяток одинаковых заголовков: «с 1 сентября изменения для операторов ГИС». У меня государственных информационных систем нет, у большинства моих читателей тоже. Пролистал бы, если бы не привычка открывать первоисточник.

Открыл. Приказ ФСТЭК России от 27.02.2026 № 60 переписал пункт 3 Порядка аттестации. Пункт 3 это не про сроки и не про методы. Это про то, к кому Порядок вообще применяется. Когда меняют список адресатов, заголовок «для операторов ГИС» превращается в ловушку: человек читает, решает, что не про него, и закрывает вкладку.

Кто теперь в списке

Безусловно — то есть Порядок распространяется на них сам по себе: государственные и муниципальные информационные системы, включая государственные и муниципальные ИСПДн. Информационные системы управления производством организаций ОПК, в том числе автоматизированные системы станков с ЧПУ. И защищаемые помещения, где ведут конфиденциальные переговоры.

По решению владельца — Порядок применяется также к объектам, для которых сам владелец установил требование оценки соответствия в форме аттестации: информационные системы госорганов, ГУПов и госучреждений кроме ГИС, значимые объекты КИИ, ИСПДн вне госсектора и АСУ ТП на критически важных объектах.

Вот на последней группе стоит остановиться. «ИСПДн вне госсектора» это обычная коммерческая компания. И условие включения не постановление регулятора, а её собственный документ.

Тонкость, которую легко проскочить: пункт 3 очерчивает сферу действия Порядка, а не вводит обязанность аттестоваться. Для коммерческой ИСПДн обязанность аттестации из 152-ФЗ не следует: закон требует оценки эффективности мер, а аттестация лишь одна из её форм. Но если вы сами записали её в свои документы, Порядок применяется к вам целиком.

Проверьте свою политику

Я знаю несколько компаний, где в политике информационной безопасности или в положении о защите ПДн написано что-то вроде «оценка соответствия системы защиты проводится в форме аттестации». Формулировка попала туда обычно из шаблона, лет пять назад, вместе с остальным текстом. Никто её с тех пор не перечитывал.

С 1 сентября эта строка означает, что к вашей системе применяется Порядок аттестации в новой редакции, со всем, что в нём теперь есть. Не потому что пришёл регулятор, а потому что вы сами так написали.

Это тот случай, когда пятиминутное чтение собственного документа стоит дороже, чем чтение приказа. Заодно проверьте, что там написано про меры защиты персональных данных и не обещаете ли вы себе лишнего.

Что появилось в самом контроле

Две вещи, обе новые.

• Методы контроля названы прямо. Новый пункт 31¹: контроль уровня защищённости на аттестованном объекте проводится методами «анализ уязвимостей; тестирование на проникновение». Не «в том числе», не «может включать»: перечень закрытый. Пентест перестал быть тем, что делают продвинутые; он стал тем, чем контроль проводится.
• Отчётность сдвинулась в обе стороны. Пункт 32 в новой редакции: отчёт по результатам контроля представляется во ФСТЭК не реже одного раза в три года и в течение 5 рабочих дней с даты завершения контроля. Раньше было раз в два года и без срока подачи вовсе.

Периодичность ослабили, дисциплину ужесточили. Пять рабочих дней это меньше календарной недели на то, чтобы собрать документ, согласовать внутри и отправить. Раньше отсутствие срока делало норму про приостановление аттестата почти неработающей: непонятно, с какого дня считать просрочку. Теперь понятно.

Отдельно — про государственные учреждения

Если вы работаете в школе, поликлинике или доме культуры, у вас с 1 сентября появилась ещё одна обязанность, и она не про аттестацию.

Приказ ФСБ России от 06.08.2026 № 297 установил порядок взаимодействия с ГосСОПКА для операторов государственных информационных систем, иных ИС государственных органов, ГУПов и государственных учреждений. Последнее слово решает: учреждение попадает под норму само по себе, без всякого категорирования КИИ.

Механика такая: взаимодействие идёт через НКЦКИ, а доступ к личному кабинету открывается только после заключения регламента взаимодействия. Сначала документ, потом техника. И дальше три разных суточных срока: сообщить об инциденте, ответить на предупреждение об атаке, ответить на запрос.

Двадцать четыре часа считаются от события, а не от начала рабочего дня. Инцидент, обнаруженный в пятницу вечером, понедельника не ждёт. Про сам порядок действий в первые сутки я разбирал в статье про риски информационной безопасности.

Ловушка, на которой можно потерять месяц

Карточка «Гаранта» по приказу № 60 указывает дату вступления в силу 1 августа 2026 года. Это неверно: в тексте самого приказа, в пункте 2, стоит 1 сентября. Проверял по PDF с pravo.gov.ru и по КонсультантПлюс.

Разница в месяц. Планируете работы по карточке агрегатора: либо суетитесь зря, либо спокойно опаздываете.

Что я бы сделал на этой неделе

• Открыл собственную политику ИБ и поискал в ней слово «аттестация». Если оно там есть, прочитал новую редакцию пункта 3 и честно ответил себе, попадаю или нет.
• Посмотрел, когда истекают три года с прошлого контроля, и есть ли процедура, которая укладывается в пять рабочих дней на подачу отчёта.
• А если речь про государственное учреждение, проверил бы первым делом, заключён ли регламент взаимодействия с НКЦКИ. Без него не будет личного кабинета, а без кабинета первые же сутки после инцидента сообщить будет попросту некуда.

Подробный разбор приказа № 117 и всего, что вокруг него, коллеги собрали на отдельном портале, там же калькулятор показателя защищённости, если понадобится считать.

Частые вопросы