ФСТЭК России уточнила порядок представления показателя защищенности Кзи

1 октября 2026 года ФСТЭК России опубликовала информационное сообщение № 240/92/6722 «О представлении результатов оценки показателя, характеризующего текущее состояние защиты информации от базового уровня угроз безопасности информации, в ФСТЭК России». Новых требований в нем нет. Документ разъясняет, как исполнять уже действующие нормы приказа ФСТЭК России от 11.04.2025 № 117 (в редакции приказа от 08.05.2026 № 137). Главное: оператор должен знать, какие системы оценивать, в какие сроки и в какое подразделение ФСТЭК направлять результаты.

Нормативная основа

Требования о защите информации в ГИС и иных ИС госорганов, ГУП и госучреждений предусматривают оценку состояния защиты информации. Она строится на двух показателях (п. 31):

  • Кзи характеризует текущее состояние защиты информации от базового уровня угроз безопасности информации;
  • Пзи определяет достаточность и эффективность мероприятий по защите информации.

Порядок расчета определяется методическими документами ФСТЭК России. Сообщение посвящено только коэффициенту защищенности.

Что разъясняется в сообщении

1. Какие системы оцениваются. Согласно п. 13 Методики ФСТЭК России от 11.11.2025, коэффициент защищенности рассчитывается в отношении всех информационных систем органа (организации), подлежащих защите в соответствии с нормативными правовыми актами РФ. Другие ИС могут быть включены в оценку по решению руководителя или его заместителя, на которого возложены полномочия по обеспечению информационной безопасности.

2. Срок направления результатов. Согласно п. 32 Требований, результаты оценки КЗИ направляются в ФСТЭК России не позднее 5 рабочих дней после дня расчета. Цель — мониторинг текущего состояния технической защиты информации.

3. Куда направлять. Адрес определяется статусом оператора и территорией, на которой он работает.

Куда направляются результаты

 Кто направляет

Центральный аппарат ФСТЭК России

Федеральные органы исполнительной власти (далее - ФОИВ), подведомственные им организации, ГУП и госучреждения, осуществляющие деятельность в Москве

Управление ФСТЭК России по Центральному федеральному округу

Органы власти субъектов РФ, ГУП, госучреждения, территориальные органы ФОИВ и подведомственные ФОИВ организации на территории округа (кроме Москвы)

Управления ФСТЭК России по Северному-западному, Приволжскому, Уральскому, Сибирскому, Дальневосточному федеральным округам

Те же категории операторов на территории соответствующего округа

Управление ФСТЭК России по Южному и Северо-Кавказскому федеральным округам

Те же категории операторов на территории ЮФО и СКФО (одно управление на два округа)

Межрегиональное управление ФСТЭК России

Те же категории операторов на территории Крыма, ДНР, ЛНР, Запорожской и Херсонской областей и Севастополя

 

В сообщении есть сноска для территориальных органов ФОИВ. Она применяется, если территориальный орган сам является оператором (обладателем информации) ГИС или иных ИС.

Что важно знать оператору

  • Периодичность. Кзи рассчитывается не реже одного раза в шесть месяцев (п. 32). Каждый расчет влечет за собой обязанность направить результат регулятору в течение 5 рабочих дней.
  • Внутренний порядок. Если значение Кзи не соответствует нормированному, об этом в течение 3 календарных дней со дня завершения оценки информируется руководитель оператора. Он принимает решение о том, какие меры по повышению защищенности необходимо принять (п. 32). Затем может разрабатываться план мероприятий по совершенствованию защиты, цель которого — достичь Кзи не ниже нормированных значений (п. 33).
  • Периметр оценки. Прежде чем считать Кзи, нужно определить, какие ИС входят в область оценки. Для этого необходим актуальный перечень информационных систем.
  • Ответственные лица. Функции по организации оценки и контроля за ней должны быть закреплены в должностных обязанностях ответственного лица и подразделения по защите информации (п. 18–19).
  • Другие обязательные отправки в ФСТЭК. Требования предусматривают и другие обязательные направления в ФСТЭК: отчет о мониторинге информационной безопасности за год (п. 49), отчет о контроле уровня защищенности в течение 5 рабочих дней (п. 67) и сведения о неизвестных уязвимостях в течение 5 рабочих дней (п. 38). Удобно свести все эти сроки в единый календарь.