Отчёт об оценке уровня зрелости деятельности по защите информации

7 августа 2026 года ФСТЭК России утвердила «Методику оценки уровня зрелости деятельности в области технической защиты информации в информационных системах и обеспечения безопасности значимых объектов критической информационной инфраструктуры Российской Федерации» (далее — методика). По её итоговому разделу VI результаты оценки оформляются отчётом — документом, которого раньше в практике операторов не существовало.

Сразу разведём два потока отчётности: их часто путают. Результаты расчёта показателей Кзи и Пзи операторы государственных информационных систем направляют в ФСТЭК России — не позднее 5 рабочих дней после дня расчёта (п. 32 приказа № 117). Отчёт об оценке уровня зрелости — внутренний документ: его подписывают специалисты, проводившие оценку, утверждает руководитель организации либо ответственный за защиту информации, и в ФСТЭК он не сдаётся.

Сама методика — рекомендательный документ, в Минюсте не регистрируется. Но для операторов ГИС расчёт показателя уровня зрелости Пзи предусмотрен приказом ФСТЭК № 117: п. 31 прямо указывает, что для расчёта «должны применяться методические документы, утверждённые ФСТЭК России». Методика привязана к пяти приказам:

• № 117 — ГИС (с 01.03.2026)
• № 239 — значимые объекты КИИ
• № 21 — ИСПДн
• № 31 от 14.03.2013 — АСУ ТП
• № 31 от 28.02.2017 — ИС управления производством ОПК

Отчёт завершает каждый цикл оценки: рассчитали уровень зрелости Узи по 21 направлению → оформили отчёт → составили план мероприятий по повышению уровня → выполнили → провели повторную оценку. Для операторов ГИС ориентиры периодичности задаёт п. 32 приказа № 117: показатель защищённости Кзи — не реже 1 раза в 6 месяцев, показатель уровня зрелости Пзи — не реже 1 раза в 2 года. При несоответствии нормированным значениям — доклад руководителю в течение 3 календарных дней со дня завершения оценки.

Для операторов ИСПДн и субъектов КИИ жёсткая периодичность методикой не задана — её устанавливает сам оператор во внутреннем порядке проведения оценки. Один нюанс терминологии: в методике показатель обозначен как Узи, в приказе № 117 фигурирует Пзи; соответствие этих показателей для отчётности по приказу № 117 подтверждает специалист. Материалы обновим, когда выйдут разъяснения ФСТЭК.

Шкала результатов в методике — четыре уровня зрелости плюс нулевой (п. 9: показатель Узи может иметь одно из четырёх значений, отсутствие уровня — «нулевой»). Пороги по значению Узи:

• Начальный — 1 ≤ Узи < 2: управление деятельностью осуществляется формально, мероприятия и меры реализованы не в полной мере или с отдельными недостатками
• Системный — 2 ≤ Узи < 3: управление выстроено на системном уровне, меры реализуются с учётом результатов выявления и оценки актуальных угроз и уязвимостей
• Контролируемый — 3 ≤ Узи < 4: к системному уровню добавляется периодическая проверка реализации мероприятий и мер
• Верифицируемый — Узи ≥ 4: эффективность реализации периодически проверяется с привлечением внешней (независимой) организации (таблица 1 методики)
• Нулевой (отсутствует) — Узи < 1: управление деятельностью не осуществляется, мероприятия и меры не реализованы

Верифицируемый уровень от контролируемого отличает именно внешняя верификация: без периодических независимых оценок подтвердить Узи ≥ 4 не получится — такую внешнюю оценку зрелости проводит лицензиат ФСТЭК, и по формулировке методики она «имеет более высокую объективность».

Пункт 11 методики рекомендует устанавливать целевой уровень зрелости «не ниже» определённого значения в зависимости от категории систем: для ИСПДн УЗ-1 — не ниже 3, для УЗ-2 — не ниже 2, для УЗ-3 и УЗ-4 — не ниже 1 (аналогично для классов ГИС и категорий значимых объектов КИИ). Это рекомендация: жёсткого требования нет, оператор вправе установить планку выше.

Если уровень защищённости вашей ИСПДн уже определён (поможет акт определения УЗ или калькулятор УЗ), целевой уровень зрелости известен автоматически. Рассчитать сам текущий уровень можно в калькуляторе оценки зрелости, а для внешней независимой оценки (без неё недостижим высший уровень «верифицируемый») — привлечь организацию с лицензией ТЗКИ.

Мы собрали шаблон отчёта в DOCX: все 14 разделов в порядке п. 35 раздела VI — от сведений об операторе до блока подписей по п. 36. В каждом поле — подсказка, что писать и на какой пункт методики опираться: перечень исходных данных по п. 19, формулировки для методов и инструментов по п. 20, структура рекомендаций по подпункту «н». Таблица направлений заполнена демонстрационными значениями — замените их результатами своего расчёта.

Шаблон закрывает форму, но не содержание: подтверждающие документы для подпункта «к», перечень исходных данных и привязку ОРД к 21 направлению придётся собирать по вашей организации. Когда выйдет конструктор «Кибероснова Документы», эти разделы будут заполняться из реестра документов в нём.

Порядок задан п. 36 раздела VI методики: отчёт подписывают специалисты, проводившие оценку, а утверждает руководитель организации либо ответственное лицо за защиту информации. Формулировка методики жёсткая: «оператор несёт ответственность за качество и объективность проведённой оценки».

Два требования к организации работ, на которые проверяющий (внешний аудитор или регулятор) посмотрит в первую очередь. Первое — разделение ролей (п. 22): специалисты по сбору и анализу исходных данных не должны оценивать материалы, характеризующие результаты их собственной работы. Второе касается полноты данных (п. 24): если подразделение не представило запрошенные документы, соответствующим направлениям присваиваются нулевые значения — «дыра» в данных напрямую снижает итоговый уровень.

Пункт 19 методики перечисляет 13 типов исходных данных. Первые шесть — документы, которые соберёт конструктор «Кибероснова Документы»; ранний доступ по листу ожидания.:

• политика защиты информации
• ОРД о полномочиях ответственных лиц
• ОРД о полномочиях подразделений
• внутренние стандарты и регламенты
• план мероприятий по совершенствованию
• отчёты и протоколы по результатам мероприятий

Остальные семь — результаты деятельности:

• предыдущая оценка уровня зрелости (при наличии)
• отчёты по контролю и анализу защищённости
• акты госконтроля
• результаты опроса работников (по п. 25 подлежат документированию)
• результаты наблюдения за деятельностью работников
• результаты наблюдения за функционированием средств
• данные инструментальных средств оценки защищённости и мониторинга

Если пакет ОРД по 152-ФЗ и приказам ФСТЭК у вас уже собран, большая часть исходных данных готова. Нет — начните с базового комплекта документов: без него отчёт получится формальным, а направления без подтверждений уйдут в ноль.

Подпункт «к» п. 35 раздела VI требует большего, чем одна цифра уровня: нужна подробная информация о реализации требований — с указанием подтверждающих документов, инструментальных средств, отчётной документации и результатов мероприятий. По каждому из 21 направления.

На практике это матрица «направление → документы-доказательства»:

• «Организация и управление деятельностью» — политика и приказы о назначении ответственных
• «Повышение уровня знаний и информированности» — журналы инструктажей и программы обучения
• «Защита информации при взаимодействии с подрядными организациями» — договоры с требованиями к уровню зрелости подрядчика (п. 5 методики прямо это допускает)

Именно здесь виден разрыв между калькулятором и полноценным отчётом: калькулятор посчитает цифру Узи, но подтверждающие документы из воздуха не возьмёт. Когда выйдет конструктор, привязка созданных в нём ОРД к направлениям будет собираться из готового реестра.

По подпункту «д» в отчёт входят результаты предыдущей оценки, а п. 33 задаёт четыре официальные категории динамики: позитивная (рост уровня организации к следующему значению Узи), положительная (рост по отдельным направлениям), нулевая и негативная (снижение хотя бы по одному критерию). Позитивная и положительная звучат как синонимы, но в методике это разные термины.

Практическое следствие: результаты каждой оценки нужно хранить как неизменяемый снимок — иначе через два года сравнивать будет не с чем, и подпункт «д» в отчёте останется пустым.

Отчёт — вершина документального цикла. По тексту методики оператору также понадобятся:

• приказ о проведении оценки уровня зрелости — назначение специалистов, сроки, область (пп. 6, 21, 22)
• внутренний порядок проведения оценки — периодичность для ИСПДн и КИИ методика оставляет на усмотрение оператора
• протоколы опроса работников (п. 25 требует документировать)
• обоснование исключения направлений (п. 13 — например, нет беспроводных сетей или собственной разработки ПО)
• план мероприятий по повышению уровня зрелости (разд. V)
• решение об установлении целевых уровней зрелости (форма — на усмотрение оператора, обычно приказ)

Все эти документы появятся в конструкторе вместе с генератором отчёта — ранний доступ по списку.

По анализу первых обсуждений методики и опыту смежных оценок — четыре ошибки, которые будут встречаться чаще всего.

• Частичная оценка выдаётся за полную. Оценили 10 направлений из 21 «на пилоте» — а в отчёте вывод об уровне зрелости всей организации. Исключать направления можно только по п. 13 (нет технологии) и с обоснованием.
• «Не оценено» записывают как нулевой уровень. Нулевые значения по п. 24 — санкция за непредставление данных, а не синоним «не успели посмотреть». Смешение искажает и текущий уровень, и будущую динамику.
• Целевой уровень называют требованием. П. 11 формулирует целевые уровни как рекомендацию («рекомендуется устанавливать… не ниже»). Писать в отчёте «организация обязана достичь уровня 3» — юридически некорректно.
• Ссылка «п. 35» без раздела. В оригинале методики нумерация пунктов 34–36 задвоена: они есть и в разделе V (планы мероприятий), и в разделе VI (отчёт). Корректная ссылка — «п. 35 раздела VI».

Перед тем как открывать шаблон отчёта, проверьте себя по восьми пунктам:

• Издан приказ о проведении оценки: назначены специалисты, определены сроки и область оценки
• Соблюдено разделение ролей по п. 22 — оценщики не проверяют собственную работу
• Собраны исходные данные по п. 19 — как минимум политика, ОРД о полномочиях, регламенты, план мероприятий
• Определён перечень направлений: исключения по п. 13 оформлены с обоснованием
• Установлены целевые уровни (для ИСПДн — ориентир по УЗ: подробнее в статье для операторов ПДн)
• Проведены и задокументированы опросы работников (п. 25)
• Подготовлена матрица подтверждающих документов для подпункта «к»
• Есть результаты предыдущей оценки или зафиксировано, что оценка первая

Дальше сборка укладывается в три шага:

1. расчёт по таблице 21 × 8;
2. заполнение 13 элементов по составу выше;
3. подписи специалистов-оценщиков и утверждение по п. 36 раздела VI.

Сам расчёт Узи по 21 направлению удобно выполнить в онлайн-калькуляторе оценки зрелости.

Утверждённого шаблона отчёта об оценке уровня зрелости не существует — ФСТЭК задала только обязательный состав из 13 элементов п. 35 раздела VI. Конструктор станет готовым шаблоном: реквизиты, перечень исходных данных и привязка ОРД к 21 направлению соберутся из уже созданных документов, а на выходе получится образец отчёта, заполненный вашими данными. Генератор отчёта готовится к выпуску — получить ранний доступ.