Обзор изменений в законодательстве за январь 2026 года

Развитие отраслевого регулирования КИИ:

Утверждены специальные правила категорирования объектов в атомной энергетике, формирующие модель внедрения детализированных требований на уровне отдельных отраслей.

Корректировка режима использования биометрии:

Внесен законопроект, предусматривающий дифференцированный подход к применению ЕБС в системах контроля доступа в зависимости от категории объектов КИИ.

Усиление уголовно-правовой защиты ПДн:

Предложено расширение состава преступлений, связанных с незаконной автоматизированной обработкой ПДн.

Обновление процедур аттестации ИС:

ФСТЭК России подготовила проект изменений, направленный на усиление контроля защищенности, внедрение обязательного тестирования на проникновение и уточнение порядка эксплуатации аттестованных объектов.

Публикация методических рекомендаций:

Выпущены разъяснения по защите SAP-систем, виртуальной инфраструктуры VMware и серверов Samba в условиях ограниченного доступа к обновлениям производителей.

Совершенствование лицензионного регулирования:

Подготовлены проекты изменений в правила лицензирования деятельности по технической защите информации и разработке СрЗИ.

Развитие системы стандартизации:

Продолжена работа ТК 362 по подготовке национальных стандартов и формированию программы стандартизации на 2026 год.

Отраслевые особенности категорирования объектов КИИ в атомной энергетике

Постановлением Правительства Российской Федерации от 16.01.2026 № 4 утверждены отраслевые особенности категорирования объектов критической информационной инфраструктуры (далее — КИИ), функционирующих в области атомной энергии. Документ принят во исполнение Федерального закона от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» и развивает положения Правил категорирования, утвержденных постановлением Правительства РФ от 08.02.2018 № 127. Его назначение заключается в учете специфики атомной отрасли при определении категории значимости объектов КИИ и в унификации подходов к оценке последствий компьютерных инцидентов.

Постановление вводит специальный отраслевой порядок категорирования, применяемый к субъектам КИИ, функционирующим в области атомной энергии. В документе уточняются правила формирования комиссий по категорированию и расширяется перечень исходных данных, подлежащих использованию при расчетах показателей критериев значимости.

Особенности не вводят новые критерии значимости, а определяют порядок расчета показателей, предусмотренных Правилами категорирования, применительно к атомной отрасли. В постановлении закреплено, какие именно показатели подлежат оценке субъектами КИИ в указанной сфере, а также установлен состав исходных данных, необходимых для их определения. Для расчетов предусматривается применение экспертного анализа, моделирования сценариев компьютерных атак, анализа аналогичных инцидентов и оценки социально-экономических последствий.

Отдельный блок посвящен экономической оценке ущерба. Закрепляются формулы определения снижения доходов субъектов КИИ, возможных потерь бюджетных поступлений и совокупного экономического ущерба, включая влияние простоев, восстановительных работ и нарушения производственных цепочек. Все расчеты подлежат обязательному документированию и должны оформляться в материалах комиссии по категорированию.

Изменения порядка применения биометрических ПДн при проходе на территории объектов и помещений

Правительством РФ в Государственную Думу внесен проект федерального закона о внесении изменений в статью 13 Федерального закона от 29.12.2022 № 572 — ФЗ (далее — 572 — ФЗ), регулирующего использование биометрических персональных данных (далее — ПДн) при идентификации и аутентификации физических лиц. Законопроект направлен на корректировку действующего порядка допуска на территории государственных органов, организаций и субъектов КИИ посредством систем контроля и управления доступом (далее − СКУД).

Проект закона предлагает дифференцированный подход к использованию биометрии в зависимости от категории значимости объекта КИИ и статуса организации. Для объектов оборонно-промышленного, атомного, топливно-энергетического комплексов, а также помещений, предназначенных для обработки сведений, составляющих государственную тайну, предусматривается возможность применения собственных информационных систем (далее — ИС) государственных органов, Центрального банка РФ (при аккредитации), государственных корпораций и иных организаций, осуществляющих биометрическую аутентификацию, при условии, что они владеют соответствующими объектами или помещениями на законных основаниях и используют векторы Единой биометрической системы (далее — ЕБС).

Для контролируемых зон объектов КИИ первой и второй категорий значимости законопроект закрепляет право использовать как системы аккредитованных государственных органов и подведомственных им организаций, обеспечивающих пропускной режим, так и собственные системы Центрального банка РФ, государственных корпораций и аккредитованных организаций при соблюдении установленных условий. В отношении объектов третьей категории значимости либо объектов, которым категория не присвоена, предлагается более гибкая модель, допускающая использование собственных ИС государственных корпораций и дочерних обществ, региональных сегментов ЕБС, а также систем аккредитованных государственных органов.

В целом законопроект направлен на смягчение действующих требований статьи 13 572-ФЗ и расширение перечня допустимых сценариев использования биометрии при проходе через СКУД.

Изменение порядка аттестации объектов информатизации по требованиям защиты информации

ФСТЭК России подготовила проект приказа о внесении изменений в Порядок организации и проведения работ по аттестации объектов информатизации на соответствие требованиям защиты информации ограниченного доступа, не составляющей государственную тайну, утвержденный приказом ФСТЭК России от 29.04.2021 № 77. Документ предусматривает комплексную донастройку процедур аттестации, периодического контроля защищенности и эксплуатации аттестованных объектов информатизации, а также уточняет требования к тестированию, анализу уязвимостей и взаимодействию владельцев объектов с уполномоченным органом.

Изменения затрагивают сферу применения Порядка и перечень ИС, подлежащих аттестации. Уточняется, что требования распространяются не только на государственные ИС, но и на иные ИС государственных органов, государственных унитарных предприятий и государственных учреждений. Одновременно конкретизируется возможность проведения аттестации собственными подразделениями органов власти при условии информирования ФСТЭК России и наличия необходимых компетенций.

Существенно перерабатываются положения о составе аттестационных комиссий. Для проведения аттестационных испытаний и периодического контроля орган по аттестации должен формировать комиссию из руководителя и не менее чем двух экспертов, обладающих подтвержденными знаниями в области технической защиты конфиденциальной информации и аттестации объектов информатизации.

Отдельный крупный блок изменений посвящен методам проверки защищенности. Закрепляется, что функциональное тестирование, анализ уязвимостей и тестирование на проникновение должны выполняться по методическим документам, утвержденным ФСТЭК России. При этом вводится прямая обязанность проводить тестирование на проникновение в отношении государственных и иных ИС государственных органов и организаций 1 и 2 классов защищенности, подключенных к сети Интернет либо взаимодействующих с внешними системами, включая системы подрядчиков, за исключением случаев использования сертифицированных криптографических средств и защищенных виртуальных частных сетей.

Проект приказа также вводит специальные правила для объектов, создаваемых на базе инфраструктуры центров обработки данных, используемых в рамках цифровой трансформации государственного и муниципального управления. Такая инфраструктура подлежит самостоятельной аттестации на соответствие требованиям защиты информации.

Дополнительно закрепляется возможность проведения аттестации по результатам испытаний отдельных сегментов объекта информатизации при условии, что эти сегменты реализуют полную технологию обработки информации, а на конечных устройствах внедрены сертифицированные средства защиты информации (далее — СрЗИ) и обеспечено управление процессами ИБ. При этом подробно регламентируются условия распространения аттестата соответствия на другие сегменты, включая требования к идентичности классов защищенности, угроз, проектных решений и процедурам подтверждения соответствия в ходе приемочных испытаний.

Существенно усиливается режим эксплуатации аттестованных объектов. Аттестат соответствия предлагается выдавать на весь срок эксплуатации, однако владельцы обязаны постоянно поддерживать уровень безопасности, проводить периодический контроль с применением анализа уязвимостей и тестирования на проникновение, оформлять результаты отчетами и отражать их в техническом паспорте объекта. Вводится обязанность направлять такие отчеты в ФСТЭК России не реже 1 раза в 3 года в течение 5 рабочих дней после завершения контрольных мероприятий, при этом непредставление документов становится основанием для приостановления действия аттестата.

Изменения также уточняют порядок модернизации объектов информатизации. При изменении архитектуры или состава СрЗИ предусматривается проведение дополнительных аттестационных испытаний без прекращения действия аттестата, тогда как при повышении класса защищенности или категории значимости потребуется повторная аттестация. Регламентируются основания для приостановления, возобновления и прекращения действия аттестата соответствия.

Рекомендации по защите SAP-систем в условиях прекращения технической поддержки

ФСТЭК России выпустила рекомендации по предотвращению реализации угроз безопасности информации при применении SAP-систем в условиях прекращения их технической поддержки и распространения обновлений на территории РФ. Документ адресован государственным органам, государственным компаниям и иным организациям, эксплуатирующим SAP-ландшафты, и ориентирован на снижение рисков эксплуатации уязвимостей в программных компонентах при ограниченном доступе к официальным обновлениям производителя.

В рекомендациях подчеркивается необходимость перехода от формального сопровождения SAP-систем к режиму повышенного мониторинга и компенсирующих мер безопасности. В качестве первоочередной задачи уполномоченный орган называет инвентаризацию всех установленных компонентов SAP и применяемых пакетов обновлений, проверку наличия неустановленных SAP Security Notes, аудит активированных сервисов и интерфейсов, а также актуализацию операционных систем, баз данных и сторонних библиотек. В случаях, когда обновление прикладного или системного программного обеспечения (далее — ПО) невозможно, предлагается реализовывать компенсирующие меры и изоляцию уязвимых компонентов за счет сегментации сети и ограничения доступа.

Значительный блок документа посвящен управлению учетными записями и сервисными пользователями SAP. Рекомендуется обеспечить жесткую парольную политику с длиной пароля не менее 15 символов, блокировать неиспользуемые учетные записи, отключать стандартные системные аккаунты и организовывать постоянный контроль за пользователями с максимальными полномочиями. Особое внимание уделяется мониторингу изменений в конфигурационных таблицах и действиям технических учетных записей интеграционных модулей.

ФСТЭК России также рекомендует минимизировать поверхность атаки за счет отключения неиспользуемых веб-сервисов, интерфейсов и компонентов SAP, включая ICF-сервисы, AS Java-модули, SAP HANA XS Engine и BI-подсистемы. Одновременно рекомендуется ограничивать RFC-взаимодействия и административные интерфейсы, настраивать списки контроля доступа, исключать универсальные разрешения и обеспечивать доступ к средствам администрирования исключительно из закрытых сегментов.

Отдельный акцент сделан на конфигурации параметров безопасности профиля SAP-систем. Рекомендации предусматривают жесткие настройки политик аутентификации, блокировку небезопасных параметров, контроль RFC-соединений и регистрацию попыток обхода механизмов защиты. Предлагается использовать встроенные инструменты контроля конфигураций и самопроверки безопасности, если они доступны в эксплуатируемом ландшафте.

Большой раздел посвящен защите каналов связи и применению криптографических механизмов. Уполномоченный орган предписывает обязательное использование SSL/TLS и SNC для всех типов соединений, запрет устаревших криптографических алгоритмов и протоколов, корректную настройку сертификатов, шифрование RFC-каналов и административных интерфейсов, а также включение защиты внутреннего взаимодействия компонентов SAP HANA и SAP NetWeaver.

В рекомендациях отдельно рассматриваются вопросы управления правами доступа, разделения ролей и безопасной разработки. Предлагается ограничить использование транзакций прямого доступа к таблицам и выполнения программ в продуктивных системах, регламентировать процессы управления доступом и внедрить концепцию ролей, а также применять контролируемые конвейеры изменений с обязательным статическим анализом кода.

Завершающий блок документа касается логирования и аудита событий безопасности. ФСТЭК России рекомендует активировать системные журналы, обеспечивать защищенное хранение логов, регулярно анализировать события безопасности и выявлять признаки эксплуатации уязвимостей или несанкционированной активности.

Рекомендации ФСТЭК по безопасной настройке виртуальной инфраструктуры VMware

ФСТЭК России опубликовала рекомендации по безопасной настройке виртуальной инфраструктуры, построенной на базе ПО VMware. Документ адресован государственным органам и организациям, эксплуатирующим среды виртуализации на базе ESXi и vCenter, и направлен на снижение рисков компрометации гипервизоров, управляющих компонентов и виртуальных машин, а также на повышение уровня обнаружения атак и устойчивости инфраструктуры к инцидентам.

В рекомендациях особый акцент сделан на обеспечении полного и централизованного журналирования событий всех компонентов виртуальной инфраструктуры. Уполномоченный орган требует настраивать локальное и удаленное хранение журналов на хостах ESXi, их переадресацию на выделенные серверы и интеграцию с SIEM-системами для постоянного мониторинга. Документ детально описывает параметры syslog-конфигурации, перечни контролируемых журналов и типовые признаки компрометации, включая включение SSH-доступа, изменения правил встроенного межсетевого экрана, попытки аутентификации и создание новых учетных записей.

Существенный блок рекомендаций посвящен реагированию и оповещению администраторов безопасности. Предлагается настраивать автоматические уведомления при остановке виртуальных машин, попытках запуска вредоносных команд, изменении привилегий в Active Directory, установке неизвестных пакетов, модификации конфигурации хостов ESXi и изменениях паролей привилегированных пользователей.

ФСТЭК России отдельно регламентирует требования к резервному копированию виртуальной инфраструктуры. Предписывается создавать не менее 3 копий данных, хранить их на разных типах носителей, обеспечивать физическое и сетевое разделение резервных площадок и исключать доступ к резервным копиям из сети Интернет.

Документ вводит строгие требования к управлению доступом администраторов. Рекомендуется внедрять многофакторную аутентификацию для доступа к ESXi и vCenter, по возможности полностью отключать SSH-доступ для привилегированных пользователей либо ограничивать его по времени и ключам аутентификации. Отдельно рассматриваются механизмы блокировки установки неподписанных пакетов VMware Installation Bundles, ограничения использования сетевых API и критичных сервисных портов.

Большой раздел посвящен вопросам своевременного обновления ПО VMware с предварительным тестированием патчей и оценкой критичности уязвимостей. Подчеркивается необходимость принципа минимальных привилегий при администрировании виртуальной инфраструктуры, регулярной смены паролей и применения механизмов безопасной загрузки гипервизоров.

В рекомендациях также подробно рассматриваются технические меры сегментации и сетевой защиты. Предлагается выносить наиболее критичные компоненты виртуальной среды в отдельные сегменты, использовать межсетевые экраны, настраивать политики безопасности порт-групп виртуальных коммутаторов и применять белые либо черные списки доступа к хостам ESXi на уровне сетевых СрЗИ.

Рекомендации ФСТЭК по безопасной настройке ПО Samba

ФСТЭК России выпустила рекомендации по безопасной настройке ПО Samba, применяемого в роли файлового сервера и контроллера домена. Документ предназначен для государственных органов и организаций, использующих Samba в инфраструктуре хранения данных и доменных сервисов, и направлен на снижение рисков компрометации файловых ресурсов, учетных записей и служб каталогов.

В рекомендациях подробно рассматриваются вопросы первичной конфигурации общих ресурсов и сетевых ограничений. Уполномоченный орган предписывает исключать анонимный доступ, ограничивать разрешенные подсети, отключать NetBIOS и использование устаревшего протокола SMBv1, а также принудительно переводить взаимодействие на современные версии SMB2/SMB3. Одновременно подчеркивается необходимость защиты хоста с помощью сетевых фильтров и межсетевых экранов.

Существенный раздел документа посвящен включению расширенного аудита и журналирования действий пользователей и сервисов Samba. Предлагается активировать модуль full_audit, детально настраивать уровни логирования и перечни регистрируемых операций, а также организовывать передачу событий в систему централизованного сбора логов. В приложениях к рекомендациям приведены перечни подсистем Samba, уровней журналирования, форматов префиксов записей аудита и типов приоритетов сообщений.

Отдельное внимание уделяется защите взаимодействия Samba с LDAP и Kerberos. Рекомендуется включать обязательное шифрование при LDAP Bind, использовать только современные криптографические алгоритмы Kerberos и контролировать доступ к каталогу SYSVOL. Уполномоченный орган также требует организовывать регулярное резервное копирование базы данных Active Directory с хранением копий на внешних носителях и в изолированных сегментах.

Документ предусматривает обязательные процедуры периодического контроля состава административных групп и групповых политик домена. Предлагается регулярно проверять членов группы Domain Admins, анализировать перечень активных GPO, а также настраивать жесткую парольную политику с длиной пароля не менее 15 символов, историей паролей и ограничением срока их действия.

Отдельным блоком выделены требования к контролю целостности конфигурации и выявлению небезопасных настроек, включая проверку шифрования LDAP, аудит прав доступа к системным каталогам и применение инструментов командной строки для диагностики состояния доменных служб.

Ужесточение требований к лицензированию деятельности по технической защите конфиденциальной информации

Правительством РФ подготовлен проект постановления о внесении изменений в Положение о лицензировании деятельности по технической защите конфиденциальной информации, утвержденное постановлением Правительства Р Ф от 03.02.2012 № 79. Документ направлен на обновление лицензионных требований с учетом современных угроз ИБ, курса на импортозамещение и усиление контроля за качеством работ в сфере технической защиты информации.

Проект вводит прямой запрет на осуществление лицензируемой деятельности иностранными юридическими лицами, индивидуальными предпринимателями − иностранными гражданами, а также компаниями, руководители которых имеют иностранное гражданство. Предлагаемые нововведения сужают круг потенциальных соискателей лицензии и усиливает требования к корпоративной структуре лицензиатов.

Существенно перерабатываются требования к персоналу организаций, выполняющих работы в сфере защиты информации. Устанавливаются требования к численности инженерно-технических работников в зависимости от видов выполняемых работ, а также квалификационные требования к ним. В частности, соответствующие требования предлагается ввести для организаций, осуществляющих работы (услуги):

Для руководителей работ закрепляются требования к профильному образованию в области информационной безопасности либо прохождению программ профессиональной переподготовки, согласованных ФСТЭК России, а также минимальный стаж профессиональной деятельности.

Документ усиливает инфраструктурные и технические требования. Вводится требование использовать оборудование и программные средства преимущественно отечественного производства, расположенные на территории РФ, включая средства измерений с действующей метрологической поверкой и сертифицированные средства контроля защищенности.

Дополнительно расширяется перечень обязательной документации, которой должен располагать лицензиат. Речь идет о национальных стандартах, нормативных правовых актах и методических документах по защите информации, а также о наличии формализованной системы производственного контроля качества выполняемых работ и услуг. Последняя становится самостоятельным лицензионным требованием.

Проект усиливает контрольные полномочия лицензирующего органа. Закрепляется возможность проведения не только документарных, но и выездных оценок соответствия лицензионным требованиям, а также предоставляется право уполномоченному органу самостоятельно устанавливать порядок выдачи предписаний, приостановления и аннулирования лицензий. Одновременно уточняется перечень грубых нарушений, за которые возможно применение наиболее жестких мер воздействия.

Существенно детализируются требования к комплекту документов, предоставляемых при получении лицензии либо при расширении перечня работ. Соискателям и действующим лицензиатам придется подтверждать квалификацию персонала, наличие защищенных помещений и аттестованных ИС, состав защищаемых ресурсов, используемые СрЗИ, ПО, а также действующую систему менеджмента качества.

Усиление лицензионных требований к разработчикам и производителям СрЗИ

Правительством РФ подготовлен проект постановления о внесении изменений в Положение о лицензировании деятельности по разработке и производству СрЗИ конфиденциальной информации, утвержденное постановлением Правительства Р Ф от 03.03.2012 № 171. Документ направлен на обновление требований к лицензиатам с учетом роста угроз ИБ, политики импортозамещения и необходимости повышения доверия к отечественным СрЗИ.

Проект вводит прямой запрет на осуществление лицензируемой деятельности иностранными юридическими лицами, индивидуальными предпринимателями − иностранными гражданами, а также компаниями, руководители которых имеют иностранное гражданство. Это повторяет подход, заложенный в параллельных изменениях к лицензированию в сфере технической защиты информации, и формирует единый регуляторный контур.

Существенно повышаются требования к кадровому составу. Для руководителей работ закрепляется обязательное профильное образование в области ИБ либо прохождение согласованных ФСТЭК России программ переподготовки, а также увеличенный минимальный стаж работы. Для инженерно-технических специалистов вводятся минимальные количественные показатели (численность персонала), различающиеся в зависимости от того, осуществляется ли разработка и производство технических СрЗИ либо программных продуктов. Дополнительно фиксируются требования к постоянному нахождению таких специалистов в штате по основному месту работы.

Проект детализирует инфраструктурные и технологические требования. Лицензиаты должны располагать нежилыми помещениями, оборудованными для размещения персонала и испытательных стендов, а также использовать преимущественно отечественное оборудование и программные средства, расположенные на территории РФ. Отдельно подчеркивается необходимость применения средств измерений с действующей метрологической поверкой и сертифицированных программных компонентов контроля эффективности защиты информации.

Значительный блок изменений посвящен формированию системы производственного контроля качества. Для разработчиков СрЗИ закрепляется обязанность внедрять процедуры безопасной разработки ПО, соответствующие требованиям национального стандарта ГОСТ Р 5639−2024 «Защита информации. Разработка безопасного программного обеспечения. Общие требования», а также формализованные процессы контроля изменений в проектной и конструкторской документации. Для производителей продукции аналогично устанавливаются требования к контролю неизменности параметров, учету готовых изделий и качеству производственных процессов.

Проект также вводит дополнительное требование о наличии аттестованных ИС, предназначенных для обработки конфиденциальной информации, и сертифицированных СрЗИ, используемых в собственной деятельности лицензиата. Расширяется перечень документов, представляемых при лицензировании и внесении изменений в реестр лицензий, включая подтверждения квалификации персонала, технические паспорта помещений, аттестаты соответствия, описания процессов безопасной разработки и сертификаты систем менеджмента качества.

Одновременно усиливаются контрольные механизмы лицензирующего органа. Предусматривается возможность проведения не только документарных, но и выездных оценок соответствия, а также закрепляется право уполномоченного органа самостоятельно устанавливать порядок приостановления, возобновления и аннулирования лицензий. Уточняется перечень грубых нарушений лицензионных требований, за которые могут применяться наиболее жесткие меры воздействия.