Информационная безопасность: обязательные требования для госучреждений 2026

«Я маркетолог, а не эксперт по ИБ. Но за 5 лет в IT и после 20+ мероприятий для госучреждений и коммерческого сектора, я увидела: главная проблема - не отсутствие решений, а непонимание, с чего начать. Приказ ФСТЭК № 117 уже вступил в силу, требования изменились. В этой статье я собрала ключевые изменения 2026 года в формате, понятном руководителю без технического бэкграунда. Материал поможет свериться с текущим состоянием защиты и спланировать меры, которые еще не внедрены.» - говорит Татьяна Метелкина.

2026 год стал переломным для рынка информационной безопасности в России. Регуляторы ужесточили контроль, ввели новые меры защиты и сократили сроки устранения уязвимостей. Для госучреждений это означает одно: безопасность перестала быть «галочкой в отчете» и превратилась в непрерывный процесс с жесткой отчетностью перед государством.

Что изменилось в 2026 году

С 1 марта 2026 года вступил в силу приказ ФСТЭК № 117, который заменил устаревший приказ № 17 от 2013 года. Документ кардинально поменял логику защиты информации: вместо каталога мер теперь действует управляемый процесс с показателями эффективности и обязательной отчетностью.

Ключевые изменения:

• Меры защиты расширены до 17 групп, включая защиту контейнеров, API, веб-приложений, мобильных устройств и систем искусственного интеллекта.
• Сроки устранения уязвимостей сокращены: критические – в течение 24 часов, высокой степени опасности – не более 7 дней.
• Для ГИС и систем госорганов первого и второго классов защищенности тестирование на проникновение стало обязательным при подключении к интернету.
• С 1 сентября 2026 года владельцы аттестованных объектов должны проводить периодический контроль уровня защищенности (анализ уязвимостей) и направлять отчет во ФСТЭК не реже одного раза в три года.

Кто попадает под требования

Требования ФСТЭК и ФСБ обязательны для следующих категорий:

• Государственные информационные системы (ГИС)
• Информационные системы персональных данных (ИСПДн)
• Значимые объекты критической информационной инфраструктуры (КИИ)
• Системы, обрабатывающие служебную тайну или гостайну

Для госучреждений с ГИС, объектами КИИ или гостайной – требования ФСТЭК/ФСБ обязательны. Базовые меры защиты должны быть внедрены во всех госсистемах без исключения.

Криптографическая защита: новые правила

В сентябре 2026 года ФСБ распространила требования по криптозащите на внешние облачные сервисы и аппаратную часть, обеспечивающие работу ГИС.

Приказ ФСБ от 22 августа 2026 года № 321 вступит в силу 11 сентября 2026 года и запретит государственным информационным системам использование незащищенных внешних облачных сервисов и инфраструктуры.

Теперь доступ к ГИС разрешен только через российскую инфраструктуру, обязательны многофакторная аутентификация и шифрование. В госорганах и на объектах КИИ необходимо использовать только сертифицированные продукты.

DLP-системы: от рекомендации к обязательству

К 2026 году внедрение DLP-систем (Data Loss Prevention) превратилось из рекомендации в обязательное требование для госсектора.

ФСТЭК опубликовал новые требования: до конца 2026 года все организации, работающие с государственной тайной, обязаны внедрить сертифицированные DLP-системы для предотвращения утечек конфиденциальной информации. Несоблюдение требований может привести к аннулированию лицензий на работу с гостайной и крупным штрафам.

Для госучреждений со служебной тайной и персональными данными DLP — необходимый элемент защиты от инсайдерских угроз и утечек.

ИИ в безопасности: новые риски и возможности

2026 год — год массового внедрения ИИ в процессы информационной безопасности. Однако регуляторы предупреждают о новых рисках.

Рекомендации экспертов:

• Не отправлять в публичные ИИ-модели конфиденциальную информацию: персональные данные, коммерческую тайну, исходный код, платежные реквизиты и документы целиком.
• Использовать сертифицированные отечественные решения для обработки чувствительных данных.
• Внедрять политики использования ИИ внутри компании и обучать сотрудников.

Что делать бизнесу: пошаговый план

Шаг 1. Аудит текущей защиты

Проведите инвентаризацию информационных систем, определите категории обрабатываемых данных (персональные, коммерческая тайна, гостайна) и оцените соответствие текущих мер защиты требованиям регуляторов.

Для учреждений без внутренних экспертов по ИБ имеет смысл обратиться к профильным подрядчикам. В регионах такие услуги предлагают специализированные центры автоматизации с многолетним опытом, например Киасофт, которые проводят аудит, помогают с разработкой документации и внедряют сертифицированные решения под ключ.

Шаг 2. Разработка политики защиты информации

С 1 марта 2026 года ФСТЭК требует от организаций разработать и утвердить политику защиты информации, внутренние стандарты и регламенты. Это первоочередное действие, без которого невозможна дальнейшая работа.

Шаг 3. Внедрение базовых мер защиты

Минимальный набор:

• Межсетевые экраны и антивирусная защита
• Средства защиты от несанкционированного доступа (СЗИ от НСД)
• Системы резервного копирования
• Многофакторная аутентификация для критичных систем
• Шифрование каналов связи и данных

Шаг 4. Обучение сотрудников

Человеческий фактор остается главной причиной утечек. Регулярные тренинги по кибергигиене, фишингу и работе с конфиденциальной информацией снижают риски на 60–70%.

Шаг 5. Периодический контроль

С 1 сентября 2026 года владельцы аттестованных объектов обязаны проводить анализ уязвимостей и тестирование на проникновение, включать отчет в технический паспорт объекта и направлять его во ФСТЭК не реже одного раза в три года.

Региональный опыт

В Сибири госучреждения адаптируются к новым требованиям постепенно. Крупные ведомства уже внедрили сертифицированные средства защиты.

Муниципальные учреждения находятся в процессе перехода: многие еще используют устаревшие решения, но понимают необходимость модернизации и все чаще обращаются к местным центрам автоматизации.

Штрафы и ответственность

Несоблюдение требований регуляторов влечет серьезные последствия:

• Штрафы по КоАП РФ для юридических лиц – до 500 тысяч рублей за нарушение требований по защите персональных данных.
• Приостановка деятельности до устранения нарушений.
• Аннулирование лицензий (для работы с гостайной).
• Уголовная ответственность для руководителей при утечках с тяжкими последствиями.

2026 год окончательно закрепил тренд: информационная безопасность – это не разовая аттестация, а непрерывный процесс с жесткой регуляторикой. Организация, которая игнорирует требования ФСТЭК и ФСБ, рискует не только штрафами, но и репутацией, и лицензиями.

Для учреждений, которые хотят соответствовать требованиям регуляторов, приоритеты очевидны: политика защиты, сертифицированные средства, обучение сотрудников и регулярный аудит. В условиях, когда кибератаки растут, а регуляторы ужесточают контроль, выполнение требований приказа №117 становится обязательным условием эксплуатации государственных информационных систем.