13 октября 2026 года прошла Пятая межотраслевая конференция АБИСС по регуляторике в сфере информационной безопасности. Представители ФСТЭК России, Банка России, ФСБ России и Минэнерго рассказали о ближайших изменениях регулирования. АБИСС опубликовал сводку планов, а мы проштудировали её и материалы профильных секций — и собрали главное с конкретными датами, номерами документов и понятным списком действий для организаций, которые работают с КИИ, ГИС и персональными данными.
Что меняется
ФСТЭК России: показатели защищённости и зрелости. Ключевая дата, прозвучавшая на конференции, — 1 марта 2027 года. С этого момента ФСТЭК планирует сделать обязательным расчёт двух показателей: уровня защищённости (Кзи) и уровня зрелости (Узи). В августе 2026 года ведомство уже утвердило методику оценки зрелости: четыре уровня — от начального до верифицируемого, 21 направление оценки и восемь критериев по каждому направлению, включая документирование, выполнение, контроль, квалификацию и обучение исполнителей.
Самооценка по методике допустима для уровней 1–3; четвёртый уровень подтверждается только внешней организацией. Параллельно регулятор усиливает контроль: по планам инспекционного контроля, озвученным на конференции, количество внеплановых проверок вырастет с единичных до десятков в год. Отдельно отметим: методический документ ФСТЭК от 12.04.2026 о составе мер уже применяется к значимым объектам КИИ и ИСПДн — ждать вступления новых приказов не нужно.
Категорирование КИИ: от критических процессов к типовым объектам. Постановление Правительства от 07.11.2025 № 1762 изменило правила категорирования: вместо самостоятельного выявления критических процессов — сопоставление с типовыми отраслевыми перечнями. Распоряжение Правительства от 26.02.2026 № 360-р утвердило перечень из 397 типовых объектов, а отраслевые особенности категорирования уже выпущены для семи сфер: атомная энергия, финансовый рынок, наука, государственная регистрация прав, ракетно-космическая промышленность, связь и ОПК.
Важно, что перекатегорирование превратилось из разовой акции в регулярный процесс: в финансовой отрасли перечень объектов пересматривается ежегодно — в первые десять рабочих дней года, в остальных сферах действует базовое правило «не реже одного раза в пять лет» плюс обязательный пересмотр при изменении показателей. Ответственность за невыполнение — статьи 13.12.1 и 13.12.2 КоАП РФ, а в отдельных случаях ст. 274.1 УК РФ; к числу надзорных сторон добавилась прокуратура.
Банк России и Минэнерго: сроки на горизонте. Банку России до 1 сентября 2027 года нужно подключить к цифровому рублю вторую волну участников — 130–170 банков. Как отметили докладчики ФСБ, оценка встраивания занимает три-четыре месяца, поэтому организациям второй волны имеет смысл стартовать немедленно. В топливно-энергетическом комплексе обязательный переход на доверенные ПАК сдвинут на 2030 год; параллельно запускаются отраслевые киберучения, к 2036 году они должны охватить 500 компаний ТЭК.
Искусственный интеллект: регулирование уже началось. Федеральный закон от 26.07.2026 № 243-ФЗ о поддержке развития технологий ИИ действует с 1 сентября 2026 года, часть его норм заработает с 1 марта 2027 года. В октябре 2026 внесён проект закона «О безопасном использовании искусственного интеллекта»: доверенные системы ИИ, реестр Минцифры и — обратите внимание — прямая обязанность оператора допускать к работе с ИИ только обученных лиц. ФСТЭК в это же время готовит правки в приказ № 117 (выделение моделей ИИ в отдельный сегмент, усиленная аутентификация, контроль агентов ИИ) и уже включил в методдокумент меры 3.17 и 3.18 «Обеспечение защиты информации при использовании ИИ».
Таблица 1. Ключевые сроки (по планам, озвученным на конференции):
| Срок | Событие | Кого касается |
| 1 марта 2027 | Обязательный расчёт Кзи и Узи; часть норм 243-ФЗ по ИИ | Субъекты КИИ, операторы ГИС и ИСПДн |
| 1 сентября 2027 | Вторая волна подключения к цифровому рублю | Банки: 130–170 организаций |
| 2030 | Обязательный переход на доверенные ПАК | Компании ТЭК |
Что это значит для организации
Проверки станут нормой, и отвечать на них будет конкретный сотрудник. Судебная практика уже формируется: в июне 2026 года Горно-Алтайский городской суд приговорил системного администратора республиканской больницы по ст. 274.1 УК РФ за копирование и передачу данных из медицинской информационной системы; в Астрахани сисадмины получили по пять лет условно за передачу сведений из системы «Промед» ритуальному агентству. А в деле, известном как «Орион», суд отдельно взыскал штраф с оператора — на объекте годами оставалась активной учётная запись уволенного сотрудника. Вывод простой: на проверке спросят и про персонал, и про организационные меры.
Обучение персонала теперь влияет на итоговую оценку. Каждое из 21 направления методики зрелости оценивается по восьми критериям, среди которых «Квалификация» (сертификаты, подтверждённый опыт) и «Обучение» (программа, списки прошедших, результаты тестирования). Не представили документы — по методике ставится ноль. Иными словами, без обученных сотрудников итоговый Узи будет ниже, а разрыв до целевого уровня — больше. Оценку уровня зрелости вправе проводить лицензиат ФСТЭК по ТЗКИ — это ещё один аргумент готовить кадровый резерв заранее.
Требования полетят на подрядчиков. Операторы ПДн обязаны сами установить целевой уровень зрелости для обработчиков, работающих по поручению, и закрепить его в договоре; ФСТЭК усиливает контроль за подрядными организациями и в сфере КИИ. Для облачных сервисов, бухгалтерского и кадрового аутсорса это означает, что вопросы «а как у вас с безопасностью» перейдут из переписки в договорные требования.
Цена ошибки выросла. За утечки персональных данных действуют оборотные штрафы 1–3% выручки — до 500 млн рублей по ст. 13.11 КоАП РФ, работает и уголовная статья 272.1 УК РФ. По персональным данным готовится замена приказа № 21: проект опубликован 24.07.2026, действует прежний порядок, а ФСТЭК письмом № 240/22/5799 подтвердил, что дату вступления нового приказа скорректируют. Это окно, чтобы спокойно подготовиться, а не переделывать документы в авральном режиме.
Чек-лист до 1 марта 2027
- Сверить состав объектов КИИ с перечнем 360-р и отраслевыми особенностями, проверить сроки пересмотра актов категорирования.
- Провести самооценку по методике зрелости как репетицию: 21 направление, 8 критериев — сразу видно разрывы.
- Начать копить доказательную базу: регламенты с листами ознакомления, журналы, графики сканирования, сертификаты и программы обучения.
- Провести ревизию обработчиков ПДн: кому переданы данные, что прописано в договорах, какой целевой уровень зрелости потребовать.
- Обучить ответственных: специалист по ИБ в КИИ должен соответствовать требованиям ФСТЭК и ФСБ, для работы с ИИ обучение сотрудников — прямое требование проекта закона.
- Проверить аттестацию контуров с доступом к ГИС по приказу № 117: аттестат — условие обмена данными, периодический контроль — раз в три года.
Не уверены, что успеете к 1 марта 2027?
Запишитесь на бесплатную консультацию с экспертом по ИБ-нормативке: разберём, какие требования уже касаются вашей организации, и составим план подготовки. Обучение — по ФСТЭК-сертифицированным программам (как ПП, так и ПК КИИ, ТЗКИ, ТЗИ, ПДн):
и другие.
Материал подготовлен по итогам Пятой межотраслевой конференции АБИСС по регуляторике в сфере ИБ (13.10.2026); первоисточник — новость АБИСС. Планы регуляторов могут уточняться; перед принятием решений сверяйтесь с текстами нормативных актов.
Новости
Остались вопросы
Оставьте номер телефона, мы перезвоним в ближайшее время