Кзи и Узи — два показателя, по которым ФСТЭК России измеряет состояние защиты информации: Кзи — показатель защищённости, Узи — показатель уровня зрелости (до 1 сентября 2026 года — Пзи). В документах ФСТЭК они записываются как Кзи и Узи — буква с индексом; в обиходе встречается и капс: КЗИ, ПЗИ. С 1 сентября 2026 года приказ ФСТЭК России от 08.05.2026 № 137 переименовал показатель уровня зрелости в Узи: так он назван в методике от 07.08.2026, и приказ приведён к ней. Прежнее обозначение Пзи остаётся в обиходе и в документах, оформленных до этой даты. Оба ввёл приказ ФСТЭК России от 11.04.2025 № 117 (п. 31); для операторов ГИС, иных ИС госорганов, ГУП и госучреждений они обязательны с 1 марта 2026 года: Кзи — не реже раза в шесть месяцев, Узи — раза в два года, результаты — во ФСТЭК не позднее 5 рабочих дней после дня расчёта (п. 32).
Для значимых объектов КИИ те же показатели вводит приказ ФСТЭК России от 16.07.2026 № 220: он дополнил Требования, утверждённые приказом № 235, пунктами 36(1)–36(4), зарегистрирован Минюстом 07.09.2026 и вступает в силу с 1 марта 2027 года. С этой даты субъект КИИ считает Кзи не реже раза в шесть месяцев, Узи — не реже раза в три года. До 1 марта 2027 года обязанности считать показатели по приказу № 235 нет, но методика расчёта Кзи от 11.11.2025 по названию написана сразу для ИС и для ЗОКИИ, так что пробный расчёт можно провести заранее.
Цена ошибки. Оператору ГИС за невыполнение требований о защите информации — ч. 6 ст. 13.12 КоАП: юрлицу 50–100 тыс. руб., должностному лицу 10–50 тыс. Субъекту КИИ за нарушение требований к безопасности ЗОКИИ — ч. 1 ст. 13.12.1: юрлицу 50–100 тыс. руб. Дороже штрафа — «красная» цифра, ушедшая во ФСТЭК без плана мероприятий: за ней приходят вопросы регулятора и предписание.
Ниже — процедура по шагам, как мы проходим её с заказчиками: кто обязан, что собрать, как посчитать, кому доложить, что и когда отправить.
Статус на 24.08.2026
- Приказ ФСТЭК № 117 — действует с 01.03.2026 (п. 4).
- Методика оценки Кзи — МД ФСТЭК от 11.11.2025: действует, заменила методику от 02.05.2024.
- Методика оценки уровня зрелости (для Узи) — МД ФСТЭК от 07.08.2026: утверждена, карточка на fstec.ru.
- Приказ ФСТЭК от 16.07.2026 № 220 — изменения в приказ № 235: Кзи и Узи для значимых объектов КИИ, зарегистрирован Минюстом 07.09.2026 № 88168, вступает в силу с 1 марта 2027 года. Проект № 166998, который предлагал изменения сразу в приказы № 235 и № 239, на 23.09.2026 в карточке regulation.gov.ru остаётся без принятого документа; изменений в приказ № 239 не опубликовано.
Статусы сверены по regulation.gov.ru и официальному интернет-порталу правовой информации на 23 сентября 2026 года.
Обязаны операторы (обладатели информации) ГИС, иных ИС госорганов, ГУП и госучреждений (приказ № 117, п. 31–32 Требований). Муниципальные ИС — по тем же Требованиям, «если иное не установлено законодательством» (п. 3). Субъекты КИИ считают показатели по значимым объектам с 1 марта 2027 года (приказ № 235, п. 36(3) и 36(4) Требований, в редакции приказа № 220); без значимых объектов обязанность не возникает.
| Кто | Основание | Статус на 23.09.2026 |
|---|---|---|
| Оператор ГИС, иной ИС госоргана, ГУП, госучреждения | Приказ № 117, п. 31–32 Требований | Действует с 01.03.2026 |
| ИС, которая одновременно ЗОКИИ | 117 п. 6 Требований + акты по ст. 6 187-ФЗ | 117 действует; по 235 — с 1 марта 2027 года (приказ № 220) |
| Субъект КИИ, ЗОКИИ вне ГИС | Приказ № 235, п. 36(1)–36(4) Требований (приказ № 220) | Вступает в силу с 1 марта 2027 года |
| Оператор ИСПДн | Проект замены приказа № 21 (№ 169583), по публикациям вводит показатель зрелости | Не принят; разбор проекта |
Если ГИС одновременно значимый объект КИИ — двойной контур (п. 6): показатели считают уже сейчас. Есть ли у вас значимые объекты, определяет категорирование объектов КИИ; кто такие субъекты — в разборе «ЗОКИИ, субъекты и объекты КИИ»; приказ № 117 по пунктам — в руководстве по приказу ФСТЭК № 117.
Кзи — «показатель, характеризующий текущее состояние защиты информации от базового уровня угроз безопасности информации», Узи — «показатель, который определяет достаточность и эффективность проведения мероприятий по защите информации». В приказе они названы «показатель защищённости Кзи» и «показатель уровня зрелости Узи» (п. 31 «а», «б» в редакции приказа № 137; до 1 сентября 2026 года — Пзи). В обиходе Кзи называют коэффициентом защищённости информации — в приказе слово «показатель».
| Показатель | Что измеряет | Периодичность | Основание |
|---|---|---|---|
| Кзи — показатель защищённости | Состояние мер защиты по факту | Не реже 1 раза в 6 месяцев | 117 п. 32 Требований (ГИС); ЗОКИИ — 235 п. 36(3) Требований, с 1 марта 2027 года |
| Узи — показатель уровня зрелости | Достаточность и эффективность мероприятий п. 34 | Не реже 1 раза в 2 года (ГИС); не реже 1 раза в 3 года (ЗОКИИ) | 117 п. 32 Требований (ГИС); ЗОКИИ — 235 п. 36(4) Требований, с 1 марта 2027 года |
Связка простая: Кзи — «насколько защищено сейчас», Узи — «насколько устойчиво это управляется». Достаточность 21 мероприятия п. 34 (от выявления угроз до ИИ и ГосСОПКА) оператор оценивал по результатам определения Пзи (п. 35 в прежней редакции). С 1 сентября 2026 года приказ № 137 привязывает п. 35 к показателю защищённости Кзи.
Не путать: «показатели защищённости от НСД» — классы средств вычислительной техники по руководящему документу Гостехкомиссии 1992 года. К Кзи они отношения не имеют.
Пункт 31 требует проводить оценку состояния защиты информации на основе двух показателей, а их значения и расчёт брать только из методических документов ФСТЭК. Таких документов два.
Кзи — по методике оценки показателя состояния технической защиты информации (МД ФСТЭК от 11 ноября 2025 года). Она заменила методику от 02.05.2024 и по названию охватывает сразу ИС и значимые объекты КИИ. Узи — по методике оценки уровня зрелости деятельности в области технической защиты информации от 7 августа 2026 года: утверждена, пересказы весеннего проекта не годятся. Целевые уровни она «рекомендует» (п. 11); внешнюю оценку проводит лицензиат ФСТЭК по контролю защищённости от НСД (п. 6).
В методиках — то, чего нет в приказе: нормированные значения, состав частных показателей, правила присвоения значений. Формулы и нормированные значения — в тексте методики на сайте ФСТЭК: в чужих пересказах расходятся даже число показателей и правила обнуления. Данные по уязвимостям даёт смежная «Методика анализа защищённости ИС» от 25.11.2025.
Роли приказ распределяет сам: защиту информации организует руководитель оператора или ответственное лицо (п. 17), ведут её структурное подразделение или специалисты по защите информации (п. 19); у субъекта КИИ систему безопасности создаёт руководитель или ответственное лицо по Указу № 250 (235 п. 8 Требований).
Начинаем с перечня систем под п. 31 — для ГИС по актам классификации (класс К1–К3 утверждает оператор: приложение к Требованиям, п. 10), для субъектов КИИ — по актам категорирования. Назначаем, кто собирает данные, кто считает, кто докладывает, кто подписывает. Заложите в приказ правило методики зрелости: сборщики данных не оценивают собственную работу (МД 07.08.2026 п. 22).
Оформляется всё это приказом об организации оценки Кзи и Узи с графиком (6 мес и 2 года) и ответственными; подписывает руководитель или ответственное лицо. Срок — до первого планового расчёта: если ГИС работает с 1 марта 2026 года, а Кзи не считали, полугодовой цикл п. 32 заканчивается к сентябрю (наша арифметика, не отдельная норма). Если приказ подписывает начальник ИТ-отдела, при первом «красном» результате докладывать по п. 32 некому.
Кзи считается по факту реализации мер, а не по наличию ОРД (п. 31 «а»). Главный объём работы — не формула, а пакет свидетельств: по каждому направлению п. 34 нужен журнал, отчёт или конфигурация, подтверждающие: мера работает.
| Направление (п. 34 Требований, утверждённых приказом ФСТЭК № 117) | Что собрать | Норма / источник |
|---|---|---|
| а) угрозы | Актуальная модель угроз, сверка с БДУ ФСТЭК | п. 36 |
| б) конфигурации | Внутренние стандарты с эталонными настройками, данные учёта ИТ-активов | п. 37 |
| в) уязвимости | Отчёты сканера; критические устранены ≤ 24 ч, высокие ≤ 7 дней | п. 38 |
| г) обновления | Журналы тестирования и установки обновлений | — |
| е, ж) конечные и мобильные устройства | Перечень устройств, политики, отчёты систем защиты конечных точек (EDR/MDM) | — |
| з, к) удалённый и привилегированный доступ | Матрица прав, журналы сессий, MFA | — |
| л) мониторинг ИБ | Журналы SIEM, итоговый отчёт за год во ФСТЭК | п. 49 |
| о) непрерывность | Протоколы тренировок восстановления, не реже 1 раза в 2 года | п. 55 |
| п) обучение | Оценка знаний пользователей, не реже 1 раза в 3 года | п. 57 |
| р) подрядчики | Договоры, ознакомление с политикой защиты, лицензии ТЗКИ | п. 16, 24 |
| с, т, х) DDoS, ИИ, ГосСОПКА | Регламенты, договор на защиту от DDoS, подключение к ГосСОПКА | — |
Для ЗОКИИ анализ уязвимостей включает тестирование на проникновение в условиях, соответствующих возможностям нарушителей из модели угроз (239 п. 12.6 «д» Требований); отчёт о пентесте — тоже свидетельство; на практике его делает организация с лицензией ФСТЭК на ТЗКИ, привлечь которую приказ разрешает (117 п. 24 Требований). Для Узи направлению без представленных материалов присваиваются нулевые значения (МД от 07.08.2026, п. 24); для Кзи логика та же: нет свидетельства — мера не подтверждена.
Первый сбор всегда вскрывает дыры: часть мер «выполнена» только приказом, журналы не хранятся. Закрывать это нужно до расчёта, а не после отправки во ФСТЭК.
Оценка Кзи и Узи значимых объектов КИИ
Кредо-С — лицензиат ФСТЭК России. Собираем свидетельства по направлениям, проводим сканирование и пентест, считаем показатели и готовим отчёт для руководителя и ФСТЭК. Защита КИИ — от 100 000 руб. за объект, срок от 1 мес.
Логика расчёта: каждая мера получает значение частного показателя (выполнена или нет); показатели группируются по направлениям, у каждой группы свой вес; Кзи — сумма взвешенных групповых значений, её сравнивают с нормированным. Веса, состав групп и норматив — из текста методики от 11.11.2025, не из статей.
Число групп, показатели, веса и нормированное значение — только из текста методики; здесь они условные, показывают механику «от частного показателя до Кзи» (веса — R1–R4):
| Группа показателей | Выполнено мер | Групповое значение | Вес | Вклад |
|---|---|---|---|---|
| Группа 1 | все из N1 | 1 | R1 | 1 × R1 |
| Группа 2 | не все из N2 | ниже 1 | R2 | < R2 |
| Группа 3 | все из N3 | 1 | R3 | 1 × R3 |
| Группа 4 | не все из N4 | ниже 1 | R4 | < R4 |
| Кзи | сумма вкладов | ниже нормированного → шаг 4 | ||
В отчёте фиксируем обе даты: от завершения оценки идут 3 календарных дня на доклад руководителю, а 5 рабочих дней на отправку во ФСТЭК считаются после дня расчёта, — область, значения по группам, свидетельства, вывод, исполнителя. Считать онлайн — в калькуляторе Кзи по методике 11.11.2025; разбор формулы — в статье «Как рассчитать Кзи по приказу № 117». Одна неподтверждённая мера тянет вниз всю группу. Завышенная цифра хуже честной низкой: при проверке её пересчитают по свидетельствам и выдадут предписание.
Если Кзи или Узи ниже нормированного значения, руководитель оператора информируется в течение 3 календарных дней со дня завершения оценки — «для принятия решения о проведении мероприятий по совершенствованию защиты информации» (п. 32). Не начальник отдела ИБ, а первое лицо: регулятор переносит ответственность на руководителя.
Здесь появляются два документа: докладная записка (форма свободная, приказ её не задаёт) и план мероприятий по совершенствованию защиты информации. План по решению руководителя разрабатывает подразделение по защите информации с подразделениями, которые используют и эксплуатируют системы; в плане — мероприятия, сроки, ответственные. Утверждает руководитель или ответственное лицо (п. 33); цель — Кзи и Узи не ниже нормированных значений.
Срок исполнения приказ не задаёт — логично закрыть план до следующего расчёта: иначе через полгода во ФСТЭК уйдёт тот же результат. У субъекта КИИ точка встраивания — ежегодный отчёт руководителю о выполнении плана мероприятий (235 п. 32 Требований). Где ошибаются: докладную пишут, план не утверждают — во ФСТЭК уходит «красный» результат без сроков и ответственных.
Отправлять нужно: результаты оценки Кзи и Узи направляются во ФСТЭК России не позднее 5 рабочих дней после дня их расчёта (п. 32). Обязанность не зависит от результата — когда показатель соответствует нормативу, тоже. Для значимых объектов КИИ ту же модель с 1 марта 2027 года вводит приказ № 220: доклад руководителю в течение трёх календарных дней и отправка результатов Кзи во ФСТЭК не позднее пяти рабочих дней (235 п. 36(3) Требований).
Состав отчёта: титул с наименованием оператора и системы (класс защищённости или категория значимости), дата расчёта, методика, область оценки, таблица показателей со значениями и свидетельствами. Дальше — вывод о соответствии нормированному значению, план мероприятий (если ниже нормы) и подпись руководителя или ответственного лица. Форму отчёта приказ № 117 не устанавливает — на практике результаты оформляют в свободной форме с сопроводительным письмом; если форму задаёт методика от 11.11.2025 — приоритет за ней. Адресат — ФСТЭК России; канал (центральный аппарат или управление по округу) уточните у регулятора.
Свидетельства, сырые отчёты сканеров и протоколы пентеста не отправляем: они хранятся у оператора и предъявляются при контроле — во ФСТЭК идут результаты, а не доказательная база. Частая ошибка со сроком: пять рабочих дней отсчитывают от даты подписания отчёта, а не от дня расчёта, и опаздывают.
Периодичность и адресат те же: не реже одного раза в два года, руководителю — 3 календарных дня при несоответствии, во ФСТЭК — 5 рабочих дней (п. 32). Методика от 07.08.2026 периодичность и адресата не задаёт — сроки идут из приказа № 117; для значимых объектов КИИ с 1 марта 2027 года Узи считают не реже раза в три года (235 п. 36(4) Требований). С той же даты пункт 32 Требований, утверждённых приказом ФСТЭК № 117 действует в новой редакции: Узи рассчитывает подрядная организация до получения доступа к системе и содержащейся в ней информации или до передачи ей информации и далее не реже раза в два года (приказ ФСТЭК № 137, п. 7 изменений).
Что оценивается: 21 направление деятельности по защите информации, каждое — по видам требований; неприменимые исключаются из области оценки (п. 13), результаты опросов работников документируются (п. 25). Целевые уровни методика рекомендует (п. 11); выбранный уровень зафиксируйте в приказе из шага 1. Для каждой системы или для организации? Показатели оператор определяет по своим ИС (п. 31), методика — направления деятельности; область оценки оператор фиксирует в отчёте сам, на практике при нескольких системах — один отчёт с разбивкой по системам.
Внешнюю оценку проводит только организация с лицензией на контроль защищённости от НСД (п. 6) — у нас это внешняя оценка уровня зрелости. Как поднимать уровень — в гайде по методике зрелости; прикинуть свой — в калькуляторе уровня зрелости.
Оценка Кзи и зрелости для операторов ГИС
Кредо-С — лицензиат ФСТЭК России. Проводим оценку Кзи и внешнюю оценку зрелости по методикам 2025–2026, готовим отчёт во ФСТЭК и план мероприятий. Защита ГИС — от 250 000 руб. за ИС, срок от 1,5 мес.
Показатели для значимых объектов ввёл приказ ФСТЭК России от 16.07.2026 № 220: он дополнил Требования, утверждённые приказом № 235, пунктами 36(1)–36(4), зарегистрирован Минюстом 07.09.2026 и вступает в силу с 1 марта 2027 года. Проект № 166998 предлагал изменения сразу в приказы № 235 и № 239; на 23.09.2026 в его карточке на regulation.gov.ru раздел «Принятый документ» пуст, изменений в приказ № 239 не опубликовано.
Что установлено для значимых объектов: Кзи — не реже раза в шесть месяцев, при несоответствии нормативу руководитель узнаёт об этом в течение трёх календарных дней, результаты уходят во ФСТЭК не позднее пяти рабочих дней (п. 36(3)); Узи — не реже раза в три года (п. 36(4)). Если к объекту допущен подрядчик, Узи считает он — до получения доступа и далее не реже раза в три года, а требование ему устанавливает субъект КИИ. Процедура повторяет п. 32 Требований, утверждённых приказом ФСТЭК № 117: отработав её до 1 марта 2027 года, потом ничего не придётся переделывать.
Важно: два требования, которые подают как новеллы проекта, действуют сейчас — по приказу № 239 в действующей редакции:
Инвентаризация размещения и удалённых доступов — работа не на неделю, и она же даёт свидетельства для Кзи по направлениям «з» и «р». Типичная находка: VPN подрядчика «для техподдержки» с правами администратора и без журналирования сессий.
| Событие | Срок | Норма |
|---|---|---|
| Расчёт и оценка Кзи | Не реже 1 раза в 6 месяцев | 117 п. 32 Требований (ГИС); ЗОКИИ — 235 п. 36(3) Требований, с 1 марта 2027 года |
| Расчёт и оценка Узи | Не реже 1 раза в 2 года (ГИС); не реже 1 раза в 3 года (ЗОКИИ) | 117 п. 32 Требований (ГИС); 235 п. 36(4) Требований, с 1 марта 2027 года (ЗОКИИ) |
| Доклад руководителю при несоответствии нормативу | 3 календарных дня со дня завершения оценки | 117 п. 32 Требований |
| Направление результатов во ФСТЭК | Не позднее 5 рабочих дней после дня расчёта | 117 п. 32 Требований |
| План мероприятий по совершенствованию защиты | По решению руководителя; сроки — в плане | 117 п. 33 Требований |
| Контроль уровня защищённости ГИС | Не реже 1 раза в 3 года и после инцидента; руководителю 3 раб. дн., ФСТЭК 5 раб. дн. | 117 п. 66–67 Требований |
| Внутренний контроль состояния безопасности ЗОКИИ | Не реже 1 раза в 3 года; акт комиссии | 235 п. 36 Требований |
| Отчёт о выполнении плана мероприятий (КИИ) | Ежегодно, руководителю субъекта | 235 п. 32 Требований |
| Устранение уязвимостей; новая уязвимость вне БДУ | Критические ≤ 24 ч, высокие ≤ 7 дней; во ФСТЭК 5 раб. дн. | 117 п. 38 Требований |
| Итоговый отчёт мониторинга ИБ | Последний отчёт в году → ФСТЭК | 117 п. 49 Требований |
| Взаимодействие операторов ГИС с ГосСОПКА | С 01.09.2026 | 568-ФЗ (ч. 7 ст. 16 149-ФЗ) |
| Кзи и Узи для ЗОКИИ | С 1 марта 2027 года: Кзи — не реже 1 раза в 6 месяцев, Узи — не реже 1 раза в 3 года | 235 п. 36(3), 36(4) Требований (приказ № 220) |
Даты взяты из текстов приказов; статус проекта № 166998 — из его карточки на regulation.gov.ru на 23.09.2026.
Что грозит субъекту КИИ за нарушения — в разборе ответственности по 187-ФЗ.
| Этап | Сами | Нужен лицензиат ФСТЭК | Комментарий |
|---|---|---|---|
| Область оценки, приказ, график | Да | Нет | 117 п. 17, 19 Требований |
| Сбор свидетельств по направлениям п. 34 | Да | Нет | Трудоёмко: 21 направление |
| Сканирование уязвимостей | Да, своим сканером | — | Результаты — свидетельство |
| Пентест для подтверждения мер (ЗОКИИ) | Нет | Да (ТЗКИ) | 239 п. 12.6 Требований; 117 п. 24 Требований |
| Расчёт Кзи и отчёт | Да | Нет | Оператор, 117 п. 32 Требований |
| Внешняя оценка Узи / состояния безопасности | — | Да (контроль защищённости от НСД) | МД 07.08.2026 п. 6; 235 п. 36 Требований |
| Доклад руководителю, план, направление во ФСТЭК | Да | Нет | Подписывает руководитель или ответственное лицо |
Своими силами оценка бесплатна, но первый цикл по 21 направлению занимает две–четыре недели работы специалистов (наша оценка, не норма). И это если есть кому: у операторов без выделенного специалиста первый цикл обычно и застревает. С Кредо-С: защита КИИ — от 100 000 руб. за объект, защита ГИС — от 250 000 руб. за ИС, комплексный аудит ИБ — от 500 000 руб. Точный расчёт — по составу систем после короткого опроса.
Через шесть месяцев — повторный расчёт Кзи: план из шага 4 должен быть закрыт до него. Через два года — Узи.
Операторам ГИС: с 01.09.2026 — взаимодействие с ГосСОПКА по 568-ФЗ, порядок определяет ФСБ: статья «568-ФЗ: ГИС и ГосСОПКА», услуга подключение к ГосСОПКА. Полный план приведения ГИС к приказу № 117 — в статье «Как привести ГИС в соответствие приказу № 117» (ссылка ниже, в «Читайте также»). Субъектам КИИ: подготовиться к расчёту Кзи и Узи с 1 марта 2027 года и вписать требование о расчёте Узи в договоры с подрядчиками; построение системы безопасности — в разборе приказа № 235 (в «Читайте также»), обзор направления — защита КИИ.
Кредо-С сопровождает операторов ГИС и субъектов КИИ по всему циклу: сбор свидетельств, расчёт Кзи, внешняя оценка зрелости, отчёт для ФСТЭК и план мероприятий. Лицензия ФСТЭК России на ТЗКИ. Заказать оценку Кзи →
Первый расчёт Кзи почти всегда показывает не то, что мера «не выполнена», а то, что её нельзя подтвердить: приказ есть, свидетельств нет. Поэтому начинать надо не с формулы, а с пакета свидетельств по каждому направлению — тогда и цифра выходит честная, и доклад руководителю без сюрпризов.
Для операторов ГИС, иных ИС госорганов, ГУП и госучреждений — да, с 1 марта 2026 года: приказ ФСТЭК № 117, п. 31–32 Требований. Для значимых объектов КИИ — с 1 марта 2027 года: приказ ФСТЭК № 220 дополнил Требования, утверждённые приказом № 235, пунктами 36(1)–36(4); Кзи — не реже раза в шесть месяцев, Узи — не реже раза в три года. Если ГИС одновременно является значимым объектом КИИ, считать по приказу № 117 нужно уже с 1 марта 2026 года (п. 6).
Кзи — не реже одного раза в шесть месяцев, Узи — не реже одного раза в два года. Результаты направляются во ФСТЭК России не позднее 5 рабочих дней после дня расчёта — независимо от того, соответствует ли показатель нормативу. При несоответствии нормированному значению руководитель оператора информируется в течение 3 календарных дней (приказ № 117, п. 32 Требований). Для значимых объектов КИИ проект 235/239 по обзорам повторяет те же сроки.
Самостоятельно — без внешних затрат, но первый цикл по 21 направлению п. 34 обычно занимает у специалистов несколько недель. С подрядчиком-лицензиатом ФСТЭК: у Кредо-С оценка входит в защиту КИИ — от 100 000 руб. за объект, и в защиту ГИС — от 250 000 руб. за ИС; точный расчёт по составу систем готовим за один рабочий день после короткого опроса. Пентест и внешняя оценка зрелости — только лицензиат.
Для оператора ГИС — ч. 6 ст. 13.12 КоАП: штраф юрлицу 50–100 тыс. руб., должностному лицу 10–50 тыс., плюс предписание ФСТЭК (его невыполнение — ч. 1 ст. 19.5). Для субъекта КИИ нарушение требований к обеспечению безопасности значимых объектов — ч. 1 ст. 13.12.1: юрлицу 50–100 тыс. руб. При инциденте с вредом КИИ — ст. 274.1 УК (ч. 3 — до 6 лет лишения свободы, ч. 5 — от 5 до 10 лет). На практике дороже штрафа — проверка после «красного» отчёта без плана мероприятий.
Показатели по приказу № 117 оператор определяет в отношении своих информационных систем (п. 31–32), а методика от 07.08.2026 оценивает направления деятельности по защите информации — неприменимые направления исключаются из области оценки (п. 13). Область оценки фиксирует сам оператор в отчёте: при нескольких ИС практичнее один отчёт с разбивкой по системам.
Остались вопросы? Оставьте заявку
Я соглашаюсь на обработку персональных данных
300034, г. Тула, ул. Демонстрации, 27
офисы: Тула, Москва
ООО «КРЕДО-С»ИНН 7106014366КПП 710601001ОГРН 1027100747596300034, г. Тула, ул. Демонстрации, 27офисы: Тула, Москвана рынке с 1993 года