В обзоре изменений за сентябрь 2026 года рассмотрим следующие темы:

1. Критическая информационная инфраструктура

Рассмотрим приказ об определении организации, привлекаемой Госкорпорацией «Росатом» к оценке сведений о категорировании объектов КИИ.

Разберем будущие полномочия Минпромторга России и Минцифры России по обеспечению технологической независимости КИИ.

2. Финансовые организации

Рассмотрим расширенные требования Банка России к защите информации для некредитных финансовых организаций в связи с оборотом цифровых валют и цифровых прав.

Разберем квалификационные требования и требования к защите информации от Банк России для участников рынка цифровых валют.

3. Иное

Рассмотрим требования к облачным услугам и порядок перевода ИС потребителей в ГосОблако.

Разберем обеспечение права на отключение рекомендаций материалов, созданных с помощью ИИ.

Изучим внесение изменений в классификатор программ для ЭВМ и БД.

Рассмотрим требования по защите СОРМ от НСД.

Разберем изменения в ряде Федеральных законов.

4. Стандартизация

Рассмотрим стандарт по типовым угрозам и уязвимостям идентификации и аутентификации.

5. ФСТЭК России

Рассмотрим справку-доклад о ходе работ по плану ТК 362 по состоянию на 29.09.2026.

6. Судебная практика

Рассмотрим судебную практику в области ИБ за 3 квартал 2026 года.

Критическая информационная инфраструктура

Определение организации, привлекаемой Госкорпорацией «Росатом» к оценке сведений о категорировании объектов КИИ

2 сентября Государственной корпорацией по атомной энергии «Росатом» (далее – Госкорпорация «Росатом») официально обнародован приказ от 30.07.2026 № 1/21-НПА «Об определении организации, привлекаемой Госкорпорацией «Росатом» к оценке актуальности и достоверности сведений, указанных в пункте 17 Правил категорирования объектов критической информационной инфраструктуры (далее – КИИ) Российской Федерации (далее – РФ), утвержденных постановлением Правительства РФ от 08.02.2018 № 127».

Ключевые положения приказа:

• АО «Гринатом» определено организацией, привлекаемой Госкорпорацией «Росатом» к оценке актуальности и достоверности сведений, указанных в пункте 17 Правил категорирования объектов КИИ РФ;

• оценке подлежат сведения, представляемые субъектами КИИ, осуществляющими виды деятельности в области атомной энергии.

Минпромторг России и Минцифры России приобретут полномочия по обеспечению технологической независимости КИИ

22 сентября Министерством промышленности и торговли РФ (далее – Минпромторг России) обнародован проект постановления «Об утверждении Порядка проведения в отношении субъектов КИИ РФ организаций, осуществляющих деятельность в сфере науки, оценки актуальности и достоверности сведений, указанных в пункте 17 Правил категорирования объектов КИИ РФ, утвержденных постановлением Правительства РФ от 08.02.2018 № 127, и установлении критериев определения организаций, привлекаемых к оценке актуальности и достоверности сведений, указанных в пункте 17 Правил категорирования объектов КИИ РФ, утвержденных постановлением Правительства РФ от 08.02.2018 № 127».

Проект постановления предусматривает внесение изменений в:

• положение о Минпромторге России, утвержденное постановлением Правительства РФ от 05.06.2008 № 438 «О Минпромторге России»;

• положение о Министерстве цифрового развития, связи и массовых коммуникаций РФ (далее – Минцифры России), утвержденное постановлением Правительства РФ от 02.06.2008 № 418 «О Минцифры России».

Ключевые положения проекта:

• Минпромторг России:

     o наделяется функциями по выработке государственной политики и нормативно-правовому регулированию в области обеспечения технологической независимости КИИ в части программно-аппаратных комплексов (далее – ПАК);

     o определяется уполномоченным федеральным органом исполнительной власти на обеспечение технологического суверенитета государства в области обеспечения технологической независимости КИИ в части ПАК;

     o получает полномочие на проведение и утверждение порядка проведения конкурсного отбора в целях определения головной научно-исследовательской организации в области обеспечения технологического суверенитета государства в сфере развития КИИ, а равным образом критерии, которым такая организация должна соответствовать;

• Минцифры России:

     o наделяется функциями по выработке и реализации государственной политики и нормативно-правовому регулированию в области обеспечения технологической независимости КИИ в части программного обеспечения (далее – ПО);

     o определяется уполномоченным федеральным органом исполнительной власти на обеспечение технологического суверенитета государства в области обеспечения технологической независимости КИИ в части ПО;

     o получает полномочие давать разъяснения по вопросам, касающимся перехода субъектов КИИ на использование российского ПО на значимых объектах КИИ (за исключением встроенного ПО).

Дата окончания общественного обсуждения – 22.09.2026.

Финансовые организации

Банк России расширит требования к защите информации для некредитных финансовых организаций в связи с оборотом цифровых валют и цифровых прав

25 сентября Центральный банк РФ (далее – Банк России) опубликовал инициатива указания «О внесении изменений в Положение Банка России от 20.04.2021 № 757-П».

Ключевые положения проекта:

• будет уточнен срок определения уровня защиты информации (норма дополнена 10-дневным сроком с момента начала осуществления деятельности);

• по решению некредитных финансовых организаций уровень защиты информации сможет быть повышен на основе анализа рисков;

• будет дополнен перечень некредитных финансовых организаций, на которые распространяются требования по стандартному и минимальному уровню защиты информации (в него включены цифровые депозитарии, организации, осуществляющие обмен цифровых валют, операторы сервисов рассрочки);

• организации, осуществляющие обмен цифровых валют, для которых установлен минимальный уровень защиты информации, будут обязаны обеспечить типовой уровень защиты для следующих процессов:

     o обеспечение защиты информации при управлении доступом;

     o предотвращение утечек информации.

• будет уточнен порядок информирования Банка России о выявленных инцидентах защиты информации, компьютерных инцидентах и компьютерных атаках (норма дополнена указанием на компьютерные инциденты и компьютерные атаки, включенные в перечень типов инцидентов, согласованный с Федеральной службой безопасности РФ (далее – ФСБ России));

• будут переработаны особенности обеспечения защиты информации при осуществлении деятельности оператора информационной системы (далее – ИС), в которой осуществляется выпуск цифровых финансовых активов (мероприятия дополнены взаимной (двухсторонней) аутентификацией узлов ИС, участвующих в обмене защищаемой информацией и иное);

• будет включена новая глава об особенностях обеспечения защиты информации при осуществлении деятельности цифрового депозитария, организации, осуществляющей обмен цифровых валют (установлены требования о размещении объектов информационной инфраструктуры на территории РФ и иное);

• будут дополнены сроки предоставления некредитными финансовыми организациями Банку России сведений о:

     o компьютерных атаках – в течение 24 часов с момента обнаружения атаки;

     o результатах мероприятий по реагированию на компьютерные инциденты и принятии мер по ликвидации последствий компьютерных атак – не позднее 48 часов после завершения мероприятий;

     o ликвидации последствий компьютерных атак и принятии мер по восстановлению функционирования и проверке работоспособности объектов информационной инфраструктуры – на протяжении 24 часов с момента завершения принятия мер.

Дата окончания общественного обсуждения – 07.10.2026.

Банк России установил квалификационные требования и требования к защите информации для участников рынка цифровых валют

24 сентября Банк России официально опубликовал положение «О квалификационных требованиях к лицам, осуществляющим отдельные функции в организации, осуществляющей обмен цифровых валют, цифровом депозитарии, операторе ИС, в которой осуществляется версия цифровых финансовых активов, а также о принятии Банком России решений, предусмотренных ч. 1 ст. 52 Федерального закона от 04.08.2026 № 282-ФЗ «О цифровых валютах и цифровых правах».

Ключевые квалификационные требования к должностным лицам:

• Единоличный исполнительный орган цифрового депозитария и оператора ИС, в которой выпускаются цифровые финансовые активы, должен иметь высшее образование и опыт руководящей работы не менее 2 лет (в финансовых организациях, органах государственной власти, Банке России или иностранных организациях по учету цифровых инструментов). Для главы организации по обмену цифровых валют достаточно 1 года опыта;

• Члены коллегиального исполнительного органа цифрового депозитария и оператора ИС должны иметь высшее образование и опыт работы не менее 2 лет в финансовых организациях (включая опыт в области ИТ, разработки ПО или управления персоналом);

• Контролеры (руководители службы внутреннего контроля), внутренние аудиторы и риск-менеджеры должны иметь высшее образование и профильный опыт работы от 1 до 3 лет (в зависимости от занимаемой должности и типа организации).

Ключевые требования к защите информации и операционной надежности (для цифровых депозитариев):

• защита информации в отношении информационной инфраструктуры должна осуществляться в соответствии с разделами 1 – 9 национального стандарта ГОСТ Р 57580.1-2017 «Защита финансовых (банковских) операций. Безопасность информации финансовых организаций. Базовый состав организационных и технических мер» (далее – ГОСТ Р 57580.1-2017);

• уровень защиты информации должен быть не ниже стандартного в соответствии с п. 6.7. ГОСТ Р 57580.1-2017, а уровень соответствия не ниже 4 класса согласно подп. «д» п. 6.9. национального стандарта ГОСТ Р 57580.2-2018 «Защита финансовых (банковских) операций. Защита информации финансовых организаций. Методика оценки соответствия»;

• должно быть обеспечено логирование действий работников и клиентов (дата/время, присвоенный идентификатор, веб адрес, результаты операций);

• обязательно проведение тестирования объектов информационной инфраструктуры на предмет проникновений и аналитика уязвимостей информационной безопасности (далее – ИБ);

• используемое прикладное ПО должно пройти сертификацию Федеральной службы по техническому и экспортному контролю (далее – ФСТЭК России) или получить оценку соответствия по требованиям к оценочному уровню доверия не ниже 4. В качестве альтернативы допускается сертификация процессов безопасной разработки прикладного ПО в системе сертификации ФСТЭК России на соответствие требованиям в части реализации безопасного жизненного цикла разработки ПО в соответствии с национальным стандартом ГОСТ Р 56939-2024 «Безопасность информации. Разработка безопасного ПО. Общие требования»;

• обязательное применение механизмов защиты от атак типа «отказ в обслуживании» (DDoS) на уровне вычислительной сети, в том числе механизмов, обеспечивающих непрерывную работу объектов информационной инфраструктуры.

Порядок принятия решений Банком России:

• перечень необходимых документов разграничен по темам обращений заявителей и приведен в приложениях к документу;

• документация подаются в электронном виде и подписываются усиленной квалифицированной электронной подписью. Документы на иностранном языке требуют предоставления апостиля и нотариально заверенного перевода;

• Банк России вправе проводить проверочные мероприятия в отношении заявителя (дедлайн проведения – 5 рабочих дней), а уведомления будут направляться за 1 рабочий день до дня проверки;

• основаниями для отказа заявителю могут быть: наличие недостоверной информации, несоответствие квалификационным требованиям или требованиям к защите информации, банкротство и иное.

Иное

Требования к облачным услугам и порядок перевода ИС потребителей в ГосОблако

3 сентября Минцифры России опубликовало инициатива приказа «Об утверждении Требований к облачным услугам, предоставляемым посредством государственной единой облачной платформы (далее – ГосОблако), а также к порядку и методологии перевода ИС и информационных ресурсов потребителей в ГосОблако».

Ключевые положения проекта:

• ГосОблако будет обеспечивать предоставление:

     o вычислительных ресурсов;

     o управляемых кластеров контейнеров;

     o ресурсов хранения данных;

     o системы резервного копирования;

     o системного ПО;

     o каналов связи;

     o услуг ИБ.

• будут установлены требования к:

     o защищенности услуг ГосОблака (стандартный набор компонентов информационно-телекоммуникационной инфраструктуры (далее – ИТКИ) обеспечивающей класс защищенности К1 и уровень защищенности персональных данных (далее – ПДн) не ниже УЗ-2);

     o платформе виртуализации (отказоустойчивое функционирование, автоматическое управление и балансировка нагрузки виртуальных машин на оборудовании);

     o масштабу сегментов (возможность размещения ИТКИ в объеме не менее 9 600 процессорных ядер, 100 Тб оперативной памяти, 10 Пб дисковых массивов, каналов связи с суммарной пропускной способностью не менее 20 Гбит/с);

     o услугам ИБ (обеспечение шифровальными (криптографическими) средствами защиты каналов связи, средствами межсетевого экранирования, обработки и защиты электронных подписей) и иное.

• будет определен и описан порядок перевода ИС (информационного ресурса) в ГосОблако:

     o анализ проектной и (или) технической документации;

     o определение требуемого набора облачных услуг и создание плана предоставления ресурсов;

     o подготовка проекта заказа на услуги с описанием параметров по виртуальным машинам и управляемым кластерам контейнеров и иное

Дата окончания общественного обсуждения – 18.09.2026.

Обеспечение права на отключение рекомендаций материалов, созданных с помощью ИИ

2 сентября на рассмотрение Государственной Думы Федерального Собрания РФ поступил инициатива Федерального закона «О внесении изменений в статью 10.2-2 Федерального закона «Об информации, информационных технологиях и о защите информации».

Владелец информационного ресурса, на котором применяются рекомендательные технологии, будет обязан обеспечить пользователю возможность инсталлировать и отменить в настройках рекомендаций запрет на предоставление с применением рекомендательных технологий материалов, созданных или существенно измененных с применением искусственного интеллекта (далее – ИИ), независимо от формы и вида таких материалов.

Установление запрета не будет ограничивать доступ пользователя к таким информационным материалам.

Планируемая дата вступления в силу – 01.09.2027.

Внесение изменений в классификатор программ для ЭВМ и БД

4 сентября Минцифры России опубликовало проект приказа «О внесении изменений в классификатор  программ для электронных вычислительных машин (далее – ЭВМ) и баз данных, утвержденный приказом Минцифры России от 22.09.2020 № 486».

Ключевые положения проекта:

• класс «Драйверы» будет признан утратившим силу в разделе «Системное ПО» в связи с его переносом в раздел «Встроенное ПО»;

• будут внесены уточнения наименований и описаний существующих классов:

     o класс «Встроенные системные программы – операционные системы (далее – ОС)» переименован в «Встроенные ОС»;

     o класс «ПО интернета вещей, робототехники и сенсорики» переименован в «Встроенное ПО интернета вещей, робототехники и сенсорики».

• раздел «Встроенное ПО» будет дополнен новыми классами:

     o драйверы;

     o ПО для управляемых логических контроллеров (PLC);

     o встроенные среды исполнения управляемого кода (виртуальные машины);

     o встроенное ПО ПАК;

     o встроенный гипервизор;

     o встроенные средства управления оборудованием с числовым программным управлением (CAM);

     o встроенные программы человеко-машинных интерфейсов на производстве (HMI);

     o встроенное ПО средств управления и мониторинга.

Дата окончания общественного обсуждения – 19.09.2026.

Требования по защите СОРМ от НСД

4 сентября Минцифры России опубликовало проект приказа «Об утверждении требований по защите от несанкционированного доступа (далее – НСД) к техническим средствам, техническим и программным средствам ИС, программно-техническим средствам, используемым при проведении уполномоченными органами, осуществляющими оперативно-разыскную деятельность (далее – СОРМ) или обеспечение безопасности РФ, в случаях, установленных федеральными законами, оперативно-разыскных мероприятий в целях реализации возложенных на них задач».

Будут установлены требования к:

• идентификации, аутентификации посредством СОРМ;

• паролям (не менее 12 символов для учетных записей пользователей и не менее 15 символов для технологических учетных записей и иное);

• управлению доступом (разграничение доступа, максимальное количество попыток входа – 5 и иное);

• сетевой безопасности (реализация политики безопасности для линий связи, правил настройки межсетевого экрана, обеспечение подлинности сетевых соединений и иное);

• защите машинных носителей информации (контроль использования интерфейсов ввода/вывода, контроль пользователей, реализация мер защиты информации на носителях и иное);

• управлению конфигурацией СОРМ (документирование всех изменений, установление перечня запрещенных для изменений конфигураций, определение лиц, которым разрешены изменения, резервирование и разработка резервных копий, тестирование восстановления резервных копий и иное);

• обеспечению целостности системных данных (безопасность конфигурационной информации от несанкционированных изменений в течение всего срока хранения, запрет загрузки со съемных носителей и сетевых загрузочных протприблизительнов и иное);

• управлению обновлениями ПО СОРМ (получение обновлений только напрямую от производителя; тест неизменности файлов обновления по хэш-суммам и иное);

• регистрации событий НСД и реагированию на инциденты (регистрация, сбор и хранение информации о событиях, защита информации о событиях, выявление компьютерных инцидентов на основе собираемых событий и заранее определенных правил корреляции и иное);

• порядку и форме передачи информации о событиях НСД на пульт управления (передача по протоколу HTTPS, передача в формате JSON и иное);

• безопасности СОРМ в виртуальной инфраструктуре (идентификация и аутентификация администраторов и субъектов доступа, блокировка доступа для не прошедших аутентификацию, безопасность аутентификационной информации и иное);

• защите технических средств и систем (запрет на подключение к СОРМ любых аппаратных компонентов (периферийных устройств), не входящих в комплект поставки, СОРМ в виде отдельного аппаратно-программного комплекса должна быть реализована в отдельном коммуникационном шкафу или стойке, оснащенных запирающими устройствами и иное).

Дата окончания общественного обсуждения – 19.09.2026.

Планируемая дата вступления в силу – 01.03.2027.

Изменения в ряде Федеральных законов

30 сентября Минцифры России опубликовало инициатива Федерального закона «О внесении изменений в Федеральный закон «О связи» и отдельные законодательные акты РФ».

Ключевые изменения в Федеральный закон от 07.07.2003 № 126-ФЗ «О связи» (далее – 126-ФЗ):

• Минцифры России:

     o по согласованию с ФСБ России и ФСТЭК России для обеспечения доступа к услугам связи и предоставления услуг связи будет определять порядок доступа и учета работников операторов связи и сторонних организаций к ИС, автоматизированным системам управления, ИТКС;

     o по согласованию с ФСБ России будет устанавливать требования к применению средств криптографической защиты информации (далее – СКЗИ) для защиты сетей управления космическими объектами связи (спутниками связи).

• будет введена возможность использования усиленной неквалифицированной электронной подписи (далее – УНЭП) для заключения договоров об оказании услуг связи посредством ИТКС «Интернет» с обязательной идентификацией физического лица посредством единой системы идентификации и аутентификации (далее – ЕСИА) или единой биометрической системы (далее – ЕБС);

• тест достоверности сведений об абоненте – физическом лице будет дополнена использованием УНЭП;

• использование виртуальных телефонных станций (ВАТС) допускается только с сетевых адресов, принадлежащих РФ, либо предназначенных для ВАТС провайдером хостинга;

• будет запрещено включать в тексты SMS-рассылок ПДн абонента и его близких родственников, если у заказчика рассылки нет законных оснований на их обработку;

• операторы связи будут обязаны хранить в течение 3 лет информацию о сетевых адресах и портах, использовавшихся при заключении договора через ИТКС «Интернет» и иное.

Ключевые изменения в Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»:

• для владельцев сайта или страницы сайта в сети «Интернет», или ИС, или программы для ЭВМ, осуществляющих свою деятельность в сети «Интернет» на территории РФ:

     o исключена привязка к статусу гражданина и юридического лица РФ в случае, если доступ к информации предоставляется пользователям, прошедшим авторизацию;

     o в статусе граждан и юридических лиц РФ – включена обязанность использовать установленные способы авторизации, она не отличается от действующих способов, но при использовании ЕСИА хранение данных об авторизации осуществляется в самой ЕСИА;

     o в статусе иностранных граждан и юридических лиц – предусматривается обязанность инсталлировать способ авторизации «с использованием абонентского номера оператора подвижной радиотелефонной связи»;

• провайдер хостинга будет обязан:

     o уведомлять Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (далее – Роскомнадзор) в соответствии с подп. 3 п. 8 ст. 56.2 126-ФЗ;

     o предоставлять мощности для ВАТС только с использованием сетевых адресов, принадлежащих РФ;

     o идентифицировать лиц, обратившихся за мощностями, а равным образом проверять их наличие в реестре лиц, доступ к которым ограничен на территории РФ (далее – Реестр нарушителей), который будет вести Роскомнадзор;

     o отказывать в предоставлении мощностей лицам на протяжении 1 года после их включения в Реестр нарушителей;

     o прекратить предоставление вычислительной мощности при поступлении соответствующего запроса от национального координационного центра по компьютерным инцидентам.

Ключевые изменения в Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»:

• Федеральным и региональным органам государственной власти, Банку России будет предоставлено право принимать нормативные правовые акты (далее – НПА), определяющие состав ПДн для определенных случаев обработки;

• будет установлено, что согласие субъекта на обработку ПДн, а также его отзыв, можно будет получить оператором:

     o непосредственно у субъекта ПДн, в том числе в электронной форме с использованием ИС и (или) телекоммуникационных каналов связи, а данные о таких согласиях передается оператором в ЕСИА в составе, порядке и случаях, установленных Правительством РФ;

     o с использованием ЕСИА, а в банковской сфере и иных сферах финансового рынка указанные порядок и случаи дополнительно согласовываются с Банком России.

• типовые формы согласий на обработку ПДн, которые могут быть даны с использованием ЕСИА, будут утверждаться Роскомнадзором и Минцифры России, а в банковской сфере и иных сферах финансового рынка – по согласованию с Банком России;

• будет установлено, что согласие на обработку ПДн, разрешенных субъектом ПДн для распространения, предоставляется непосредственно оператору, в том числе в электронной форме с использованием ИС или телекоммуникационных каналов связи, иные способы получения исключены;

• субъект ПДн будет вправе:

     o получить посредством единого портала государственных и муниципальных услуг информации (далее – Госуслуги) информацию о факте обработки его ПДн оператором на основании данного им согласия;

     o обжаловать действия или бездействие оператора в Роскомнадзор с использованием портала Госуслуг;

• будет введен запрет требовать согласие на обработку ПДн, если это не предусмотрено международным договором РФ, федеральным законом или НПА.

Ключевые изменения в Федеральный закон от 01.04.2025 № 41-ФЗ «О создании государственной информационной системы противодействия правонарушениям, совершаемым с использованием информационных и коммуникационных технологий (далее – ГИС противодействия правонарушениям), и о внесении изменений в отдельные законодательные акты РФ»:

• в ГИС противодействия правонарушениям дополнительно будет храниться информация, необходимая для регистрации и (или) авторизации пользователя в сети «Интернет»;

• оператор связи будет обязан прекратить оказание услуг связи абоненту при поступлении от ФСБ России или органа исполнительной власти в сфере внутренних дел сведений об использовании абонентского номера для совершения противоправных действий.

Дата окончания общественного обсуждения – 15.10.2026.

Планируемая дата вступления в силу – 01.03.2028.

Стандартизация

Стандарт по типовым угрозам и уязвимостям идентификации и аутентификации

14 сентября Федеральным агентством по техническому регулированию и метрологии (далее – Росстандарт) утвержден национальный стандарт ГОСТ Р 70262.3-2026 «Защита информации. Идентификация и аутентификация. Типовые угрозы и уязвимости идентификации и аутентификации» (далее – Стандарт).

Стандарт устанавливает форму и структуру описания типовых угроз, характерных для идентификации и аутентификации субъектов и объектов доступа, а также типовых уязвимостей, которые могут быть использованы для нарушения установленного порядка и (или) получения неверных результатов идентификации и аутентификации.

Положения стандарта содержат систематизированные перечни типовых уязвимостей и угроз применительно к компонентам идентификации и аутентификации, которые могут являться объектами атак и (или) содержать уязвимости.

Стандарт распространяется на организацию и проведение идентификации и аутентификации как совокупности действий (процессов), выполняемых в соответствии с установленным порядком и правилами.

Перечень типовых угроз и уязвимостей не включает угрозы и уязвимости, обусловленные реализацией процессов идентификации и аутентификации в программных или программно-аппаратных (программно-технических) средствах защиты информации, средствах вычислительной техники, автоматизированных (информационных) системах, и не связан с ними.

Порядок формирования перечня уязвимостей и перечня угроз, актуальных для конкретной среды функционирования и учитывающих ее специфику, а также методы, используемые при этом, не являются предметом рассмотрения Стандарта.

ФСТЭК России

Рекомендации по защите информации при использовании моделей ИИ

ФСТЭК России адресно разосланы рекомендации по защите информации при использовании моделей ИИ при создании государственных и иных ИС. В соответствии с рекомендациям, противодействие угроз безопасности информации (далее – УБИ), связанным с применением моделей ИИ, осуществляется за счет реализации мероприятий и мер, предусмотренных приказом ФСТЭК России от 11.04.2025 № 117. Равным образом указывается на необходимость:

• проведения оценки УБИ моделям ИИ с использованием соответствующего раздела базы данных угроз ФСТЭК России;

• включения в техническое задание требований к мерам защиты от выявленных УБИ (включая такие рекомендуемые меры, как выделение модели ИИ в отдельных рынок, использование усиленной многофакторной аутентификации, контроль доступа с наделением пользователей минимальными привилегиями, регистрация и аналитика событий);

• реализации мер защиты моделей ИИ с применением встроенных средств ПО ИС и (или) наложенных средств защиты информации;

• предъявления требований по защите информации к подрядным организациям, предоставляющим сервисы на основе моделей ИИ.

В случае применения моделей ИИ для обработки информации ограниченного доступа и (или) для реализации значимых функций оператора (обладателя информации) ИС рекомендуется реализовать такие дополнительные меры защиты, как:

• контроль доступа пользователей к моделям ИИ;

• фильтрация входных и выходных данных моделей ИИ;

• ограничение количества запросов к моделям ИИ;

• ограничение и контроль функциональности моделей ИИ.

В случае применения агентов ИИ рекомендуется принять дополнительные меры, направленные на предотвращение несанкционированного воздействия на ресурсы ИС, включая:

• наделение агентов ИИ минимальными правами доступа;

• управление доступом агентов ИИ к ресурсам и информации ИС;

• выделение агентов ИИ в отдельный рынок ИС;

• защиту программных интерфейсов взаимодействия агентов ИИ;

• контроль конфигурации агентов ИИ;

• мониторинг действий агентов ИИ;

• подтверждение оператором выполнения агентами ИИ значимых функций.

Эффективность реализации мер защиты оценивается в ходе проведения аттестационных испытаний (оценки эффективности принятых мер защиты информации).

Деятельность ТК 362 в сентябре 2026 года

ФСТЭК России на своем официальном сайте опубликовала Справку-доклад о ходе работ по плану технического комитета по стандартизации «Безопасность информации» (далее – ТК 362) на 2026 год по состоянию на 29.09.2026.

В интересах выполнения плана были проведены следующие работы:

• завершены работы по подготовке и утверждению национального стандарта ГОСТ Р 70262.3-2026 «Защита информации. Идентификация и аутентификация. Типовые угрозы и уязвимости идентификации и аутентификации»;

• председателю ТК 362 представлены первые редакции проектов национальных стандартов:

     o    ГОСТ Р «Безопасность информации. Доверенная среда исполнения. Требования к аппаратно-программной платформе»;

     o    ГОСТ Р «Безопасность информации. Защита интегральных схем. Общие положения»;

• организовано публичное обсуждение проектов национальных стандартов:

     o    ГОСТ Р «Защита информации. Доверенная среда исполнения. Требования к аппаратно-программной платформе»;

     o    ГОСТ Р «Безопасность информации. Защита интегральных схем. Общие положения».

• председателю ТК 362 представлен публике инициатива национального стандарта ГОСТ Р «Защита информации. Доверенная среда исполнения. Общие положения» для принятия решения по вопросу его представления в Росстандарт на утверждение. Срок рассмотрения – 09.10.2026. Подробнее с проектом можно ознакомиться в обзоре за октябрь 2025 года;

• первая редакция проекта национального стандарта ГОСТ Р «Безопасность информации. Разработка безопасного ПО. Технологии динамического анализа ПО. Общие требования» представлена разработчиком на согласование председателю подкомитета № 2 (ПК2). Ожидаемый срок согласования – октябрь 2026 года;

• инициатива национального стандарта ГОСТ Р «Защита информации. Создание безопасного ПО. Композиционный анализ ПО. Общие требования» доработан разработчиком и передан председателю ТК 362;

• инициатива национального стандарта ГОСТ Р «Информационная технология. Системы с конструктивной ИБ. Определение угроз безопасности и оценка рисков» разослан в организации-члены рабочей группы (РГ 2/3) для рассмотрения и подготовки замечаний и предложений. Срок рассмотрения – 01.10.2026;

• проект национального стандарта ГОСТ Р «Безопасность информации. Идентификация и аутентификация. Технические средства аутентификации» находится на рассмотрении у участников инициативной группы по его разработке. Ожидаемый срок предоставления в ТК 362 – декабрь 2026 года;

• организовано рассмотрение в организациях-членах ТК 362:

     o    ГОСТ Р «КИИ. Доверенные ПАК. Часть 1.1. Термины и определения»;

     o    ГОСТ Р «КИИ. Доверенные ПАК. Часть 1.2. Критерии доверия. Общие положения»;

     o    ГОСТ Р «КИИ. Доверенные ПАК. Часть 1.3. Жизненный цикл. Общие положения»;

     o    стандарта организации СТО ИНТИ 1.90.31-2026 «Средства измерений и измерительные системы количества и показателей качества нефти и нефтепродуктов. Безопасность информации». Срок рассмотрения стандарта – 05.10.2026.

• подготовлены и направлены в Росстандарт предложения по корректировке программы национальной стандартизации на 2026 год в части включения новых тем – проектов национальных стандартов:

     o    ГОСТ Р «Безоп