Приказ ФСТЭК России от 11.04.2025 № 117 вступил в силу 1 марта 2026 года и заменил приказ № 17 от 11.02.2013. Он устанавливает требования о защите информации в государственных информационных системах (ГИС) и иных информационных системах государственных органов, государственных унитарных предприятий и государственных учреждений. Зарегистрирован в Минюсте 16.06.2025 № 82619.
Коротко:
- с 01.03.2026 утратили силу приказ № 17 и приказы № 27/2017, № 106/2019, № 61/2020, а также п. 1 изменений по приказу № 159/2024 — п. 2 приказа;
- аттестаты соответствия на ГИС, выданные до 01.03.2026, считаются действительными — п. 3 приказа;
- оценка состояния защиты строится на двух показателях: Кзи (защищённость) и Пзи (уровень зрелости) — п. 31;
- приказ № 21 для информационных систем персональных данных не отменён: он про ИСПДн, № 117 — про ГИС.
Что за приказ и кого он касается
Приказ утверждает «Требования о защите информации» — 73 пункта в трёх разделах: общие положения (п. 1–12), организация деятельности по защите информации (п. 13–33), проведение мероприятий и принятие мер (п. 34–73). Приложение — «Требования к определению класса защищённости информационной системы» (11 пунктов). Он адресован операторам и обладателям информации: ГИС и иных ИС государственных органов, ГУП и госучреждений. Если в такой системе обрабатываются персональные данные, применяются ещё и требования к защите ПДн (п. 5 приказа) — это постановление Правительства № 1119. Подрядчики, которые создают и сопровождают такие системы, получают требования через договор: в приказе есть специальные положения о подрядных организациях (п. 16, 26, 58).
№ 117 заменил № 17, а № 21 остаётся
Частый вопрос — «новый приказ 21» и «замена 21 приказа». Приказ № 117 заменил приказ № 17, который касался ГИС. Приказ № 21 (меры защиты ПДн в ИСПДн) остаётся действующим. Если система одновременно ГИС и ИСПДн, нужны требования обоих актов. Подробнее про № 21 — в статье о приказе № 21.
Что изменилось по сравнению с приказом № 17
Сравнение по текстам двух актов: приказ № 17 в редакции от 28.08.2024 и приказ № 117. Часть различий могла появиться ещё в правках 2024 года (приказ № 159), а не только с заменой приказа.
| Тема | Приказ № 17 | Приказ № 117 |
|---|---|---|
| Круг систем | ГИС; муниципальные ИС — по п. 3; негосударственные — «по решению» (п. 6) | ГИС и иные ИС госорганов, ГУП и госучреждений (п. 1); пункта «по решению» для негосударственных ИС нет |
| Исключения (кого не касается) | п. 3: Администрация Президента, Совет Безопасности, Федеральное Собрание, Правительство, КС, ВС и ФСБ | п. 12: те же органы в обновлённых наименованиях; вместо ФСБ — органы, осуществляющие разведывательную и контрразведывательную деятельность; добавлены ИС управления вооружением, военной и специальной техникой |
| Классы защищённости | три класса К1–К3 (п. 14.2, Приложение № 1) | три класса К1–К3 в отдельном Приложении; матрица «уровень значимости × масштаб» та же |
| Уровень значимости для ДСП | упоминаний «для служебного пользования» нет | Прил., п. 4: для информации с пометкой «ДСП» устанавливается УЗ 1 |
| Как заданы меры | Приложение № 2: 13 групп, 113 мер с кодами (ИАФ, УПД, РСБ и др.), базовые наборы по классам | п. 63: единый перечень из 17 базовых мер без кодов и без деления по классам |
| Новые базовые меры | — | контейнерные среды и оркестрация, электронная почта, веб-технологии, программные интерфейсы, конечные и мобильные устройства, интернет вещей, беспроводные точки доступа, сегментация и межсетевое экранирование (п. 63) |
| Облака и виртуализация | защита виртуализации (п. 20.11) | одна базовая мера «виртуализация и облачные вычисления» (п. 63, г) |
| Искусственный интеллект | нет | отдельное мероприятие: защита при использовании ИИ (п. 34, т; пп. 60–61) |
| Контроль уровня защищённости | К1 — не реже раза в год, К2 и К3 — не реже раза в два года (п. 18.7) | не реже раза в три года для всех классов или после компьютерного инцидента (п. 67) |
| Мониторинг ИБ | п. 18.3: мониторинг событий безопасности | отдельное мероприятие по ГОСТ Р 59547-2021, отчёт направляется в ФСТЭК России (п. 34, л; п. 49) |
| Реагирование на инциденты | п. 18.5: перечень работ при реагировании | отдельного требования нет; инцидент упомянут как повод для контроля и обучения (пп. 49, 57, 67) |
| Восстановление | группа ОДТ: резервирование, резервное копирование | сроки по классам: К1 — 24 часа, К2 — 7 календарных дней, К3 — 4 недели; проверка раз в два года (пп. 53, 55) |
| Компенсирующие меры | «могут разрабатываться» (п. 23) | «должны быть разработаны и внедрены» (п. 69) |
| Аттестация | п. 17: организуется оператором; ссылки на приказ № 77 нет | п. 65: прямая ссылка на приказ ФСТЭК № 77 от 29.04.2021; для иных ИС необходимость аттестации решает руководитель |
| Переход | отдельного положения об аттестатах нет | п. 3 приказа: выданные ранее аттестаты считаются действительными |
| Показатели Кзи и Пзи | нет | пп. 31–33: Кзи — раз в шесть месяцев, Пзи — раз в два года |
Чего в тексте приказа нет — и мы этого не утверждаем: сроков перевода действующих ИС на новые требования, формул и нормированных значений Кзи и Пзи (они в методических документах ФСТЭК), соответствия базовых мер классам.
Кзи и Пзи: как оценивают защиту
- Кзи — показатель, характеризующий текущее состояние защиты информации от базового уровня угроз; Пзи — показатель, определяющий достаточность и эффективность мероприятий по защите (п. 31).
- Кзи нужно рассчитывать и оценивать не реже одного раза в шесть месяцев, Пзи — не реже одного раза в два года (п. 32).
- Если значения не соответствуют нормированным (они указаны в методических документах ФСТЭК), руководителя информируют в течение трёх календарных дней; результаты оценки направляют в ФСТЭК России не позднее пяти рабочих дней после расчёта (п. 32).
- Формулу, шкалу и нормированные значения приказ не содержит: они в методических документах ФСТЭК России, на которые отсылает п. 31.
Класс защищённости ГИС
Класс определяется по Приложению к приказу: три класса — К1, К2, К3; результат оформляется актом классификации. От класса зависят, например, сроки восстановления информации: К1 — 24 часа, К2 — 7 календарных дней, К3 — 4 недели (п. 53).
Какие мероприятия и меры требует приказ
- Организация деятельности (п. 14): политика защиты информации, ответственные лица, внутренние стандарты и внутренние регламенты (учётные записи, удалённый доступ, доступ подрядчиков, управление уязвимостями и обновлениями, мониторинг ИБ, восстановление, контроль защищённости), ресурсы на защиту.
- Мероприятия (п. 34) — 21 направление: от выявления угроз, управления уязвимостями и конфигурациями до защиты при работе с подрядчиками, при использовании искусственного интеллекта и непрерывного взаимодействия с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА).
- Базовые меры защиты (п. 63) — 17 направлений: идентификация и аутентификация, управление доступом, регистрация событий безопасности, защита виртуализации и облаков, контейнерных сред, электронной почты, веб-технологий, программных интерфейсов, конечных и мобильных устройств, интернета вещей, беспроводных точек доступа, антивирусная защита, обнаружение вторжений, сегментация и межсетевое экранирование, защита от атак на отказ в обслуживании, защита каналов передачи данных.
- Сроки по отдельным мерам: критические уязвимости — 24 часа, высокие — 7 календарных дней (п. 38); проверка восстановления — не реже раза в два года (п. 55); контроль уровня защищённости — не реже раза в три года или после компьютерного инцидента (п. 67); оценка знаний пользователей — не реже раза в три года (п. 57); не менее 30 % работников подразделения по защите информации — профессиональная переподготовка (п. 20).
Аттестаты и переход
Аттестаты, выданные до 01.03.2026, действительны (п. 3). Для новых аттестаций — порядок по приказу ФСТЭК № 77 (подробности — в статье об аттестации ГИС). Рекомендуемые сроки подготовки — наша оценка, не норма приказа.
Какие документы понадобятся
Перечень по тексту приказа (п. 14): политика защиты информации; внутренние стандарты; внутренние регламенты; акт классификации информационной системы; модель угроз; требования к подрядным организациям. Остальное — зависит от класса и состава системы. Как мы помогаем. Для документов ГИС по требованиям № 117 готовится конструктор «Кибероснова Документы»: они войдут в тариф «Профессионал», расчёт Кзи и Пзи тоже в разработке. Сейчас доступны бесплатные образцы документов и проверка сайта на 152-ФЗ. Ранний доступ и тарифы — на странице «Тарифы».
