Новый приказ ФСТЭК по защите персональных данных: что нужно знать?
24 июля ФСТЭК России опубликовала проект нового приказа "Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в признание утратившим силу действующего с 2013 года приказа ФСТЭК России № 21. Общественное обсуждение продлится до 8 августа, а в силу он может вступить уже 1 сентября 2026 года. Команда департамента аудита и консалтинга Кросстеха выделила ключевые изменения, их возможное влияние на бизнес и сформировала рекомендации для заказчиков.Самые важные изменения
В таблице мы собрали ключевые возможные изменения, которые отражены в проекте приказа ФСТЭК, а также их влияние на бизнес.
| Что меняется | Как может повлиять на бизнес |
|---|---|
| Новая архитектура требований | Детальная матрица мер действующего приказа № 21 в проекте отсутствует: приказ задает рамочные требования, а техническая реализация мер должна осуществляться на основе методических документов ФСТЭК России и национальных стандартов Российской Федерации |
| Отдельный документ «Модель угроз» — по решению оператора | Оператор по-прежнему должен определить актуальные угрозы и учитывать их при выборе мер. При этом результаты могут быть оформлены не отдельной моделью угроз, а в составе иных документов. Принятое решение и состав мер необходимо будет обосновать |
| Показатель уровня зрелости (Узи) | Появляется периодическая измеримая оценка достаточности и эффективности мер: до начала обработки ПДн, не реже одного раза в три года и после компьютерного инцидента. Методика расчета и целевые значения требуют дополнительного уточнения |
| Требования к Узи подрядчиков | Оператору потребуется устанавливать требования к значению Узи для лиц, обрабатывающих ПДн по его поручению, и контролировать их выполнение |
| Переоценка после инцидента | Проект связывает внеплановую оценку зрелости с компьютерным инцидентом, но не уточняет, должен ли он затрагивать конкретную ИСПДн. До появления разъяснений целесообразно предусмотреть внутренние критерии запуска внеплановой оценки. |
На данный момент структура мероприятий и методов защиты в проекте совпадают с аналогичными требованиями в Методическом документе ФСТЭК от 12.04.2026.
Что можно сделать уже сейчас
- Подготовить сравнительную таблицу соответствия текущих выполняемых требований приказа № 21, возможных требований, указанных в проекте нового приказа и методическому документу ФСТЭК от 12.04.2026. Это позволит оценить отличия и заранее спланировать мероприятия по приведению ИСПДн в соответствие после утверждения окончательной редакции.
- Провести пилотную оценку уровня зрелости по доступным критериям ФСТЭК России, отдельно зафиксировав используемую методику, допущения и выявленные пробелы.
Что мы не рекомендуем делать
- Не отменять действующую модель угроз и не переписывать весь комплект документов до выхода окончательного текста нового приказа.
- Не закупать средства защиты только потому, что соответствующая технология названа в проекте. Сначала подтвердить применимость требований с учетом архитектуры ИСПДн и актуальных угроз.
«На данный момент проект приказа находится на этапе общественного обсуждения. В нем есть положения, которые требуют разъяснений со стороны регулятора. Например, проект предусматривает определение состава технических мер в политике оператора в отношении обработки ПДн. Согласно п. 2 ст. 18.1 № 152‑ФЗ, оператор обязан опубликовать эту политику или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки ПДн. При буквальном толковании проекта возникает риск, что в публичном документе придется раскрывать избыточные сведения о системе защиты.
Также на данный момент неизвестно, будет ли установлен переходный период для операторов ПДн как это было предусмотрено, например, приказом ФСТЭК России № 117. Сейчас все указывает на то, что такого периода не будет. В проекте имеются технические и редакционные неточности, включая некорректные внутренние ссылки, что однозначно говорит о его будущей доработке и изменениях.
Изменения к требованиям по защите являются верными, так как Приказ ФСТЭК России №21 давно требовал модернизации под современные реалии. Мы ожидаем, новые сведения касательно этого проекта приказа после завершения общественного обсуждения во второй половине августа. После формирования окончательных изменений мы опубликуем дополнительную аналитику», - подчеркивает Ашраф Садыхбеков, ведущий аудитор Кросстеха.
Поделиться
