ФСТЭК опубликовала проект приказа взамен №21: новые меры защиты персональных данных

ФСТЭК России разместила на федеральном портале проектов нормативных правовых актов regulation.gov.ru проект приказа, который заново определяет состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах. Общественное обсуждение проекта было назначено до 8 августа 2026 года.

Приказ № 21 при этом продолжает действовать — новые требования заработают только после подписания документа и его регистрации в Минюсте (проект — № 169583 на regulation.gov.ru; в тексте проекта (п. 3) указан срок вступления в силу — 1 сентября 2026 года, но на 24.09.2026 приказ не зарегистрирован в Минюсте и не опубликован).

В случае подписания приказ вступит в силу в срок из подписанной редакции и заменит приказ ФСТЭК России № 21 от 18 февраля 2013 года, действующий уже более тринадцати лет. За это время изменился и технологический ландшафт, и характер угроз, а прежний перечень мер перестал их покрывать.

От фиксированного перечня — к оценке зрелости

Ключевое изменение — отказ от жёсткого списка мер в пользу адаптивной риск-ориентированной модели. Оператор получает право подбирать защитные меры под архитектуру своей системы и специфику обработки, а не сверяться с закрытым перечнем.

Взамен обязательная оценка эффективности уже реализованных мер, которую требует и действующий приказ № 21, будет проводиться через показатель «уровень зрелости». Согласно проекту, оператор проводит такую оценку:

• до начала обработки персональных данных;
• далее — не реже одного раза в три года;
• внепланово — после каждого компьютерного инцидента.

Оценку оператор проводит самостоятельно или с привлечением организации, имеющей лицензию ФСТЭК на техническую защиту конфиденциальной информации.

Технологии, которых не было в 2013 году

В проекте отдельно выделены меры для технологий, которые на момент выхода приказа № 21 либо не существовали, либо не были массовыми (для виртуализации, мобильных устройств и удалённого доступа меры были и в приказе № 21 — группа ЗСВ, меры УПД.13 и УПД.15):

• искусственный интеллект;
• интернет вещей (IoT);
• виртуализация и облачные вычисления;
• контейнерные среды и оркестрация;
• мобильные устройства и удалённый доступ;
• программные интерфейсы (API) и веб-технологии.

Появление отдельного блока по искусственному интеллекту именно в требованиях к защите персональных данных закономерно: модели всё чаще обучаются и работают на персональных данных, а обучающие выборки становятся самостоятельной поверхностью атаки.

Требования распространяются на подрядчиков

Проект уточняет отношения между оператором и организациями, которые обрабатывают персональные данные по его поручению. Оператор должен заранее определить требуемое значение уровня зрелости для обработчика, зафиксировать его и проверять соблюдение — с той же периодичностью, а также внепланово после инцидента на стороне исполнителя. Под это требование попадают облачные сервисы, SaaS-платформы и ИТ-подрядчики.

Связка с ГосСОПКА: часть обязанностей действует уже сейчас

Проект закрепляет взаимодействие операторов персональных данных с ГосСОПКА на уровне состава мер защиты. Сама обязанность сообщать в ГосСОПКА об инцидентах с утечкой персональных данных не нова: её ввела ч. 12 ст. 19 152-ФЗ, а порядок с 1 марта 2023 года установил приказ ФСБ России № 77 от 13.02.2023 — информация направляется в течение 24 часов с момента обнаружения инцидента. Новый документ ФСТЭК поднимает эту связку с уровня отдельного порядка на уровень обязательных мер, при этом детальный порядок взаимодействия для операторов, не относящихся к субъектам КИИ, в проекте не описан — он уже действует: если у оператора нет своего канала взаимодействия с НКЦКИ, уведомление подаётся через форму на сайте Роскомнадзора (п. 3 Порядка, утверждённого приказом ФСБ России № 77).

«Кредо-С» — лицензиат ФСТЭК и ФСБ России, корпоративный центр ГосСОПКА класса «Б». Поможем выстроить обе части: подключение к ГосСОПКА под ключ и непрерывный мониторинг инцидентов — подробнее на нашем SOC-портале.

Что делать оператору сейчас

Документ пока остаётся проектом и по итогам обсуждения может измениться. Срок вступления в силу станет известен после подписания, но подготовку разумно начать заранее:

• провести ревизию действующей системы защиты персональных данных на соответствие новым подходам;
• актуализировать модель угроз с учётом фактически используемых технологий — ИИ, облаков, контейнеров, API;
• пересмотреть договоры с обработчиками персональных данных и порядок их проверки;
• оценить, хватает ли внутренней квалификации для самостоятельного расчёта уровня зрелости.

КРЕДО-С сопровождает операторов персональных данных по требованиям регуляторов: аудит обработки персональных данных и приведение в соответствие с 152-ФЗ, защита персональных данных в информационных системах, аттестация информационных систем. Лицензия ФСТЭК России на техническую защиту конфиденциальной информации — все виды работ (реестровая запись № 00581724).