В одном государственном учреждении висит на стене аттестат соответствия, полученный в 2021 году по приказу ФСТЭК № 17. Система работает, проверки проходят, документы в порядке. И вдруг в марте 2026 года выясняется, что приказ, по которому всё делалось, больше не действует: его заменил новый документ — приказ № 117 от 11 апреля 2025 года.

Первый вопрос, который возникает у руководителя: «Нам что, всё переделывать?» Второй: «А аттестат теперь недействителен?» Третий: «Почему вообще что-то поменяли, если система работала?»

Ответы на эти вопросы важны не только для госучреждений. Принцип, который заложен в новом приказе, постепенно проникает и в коммерческую практику: от формального набора мер — к управлению защитой. Поэтому разобраться стоит даже тем, кто не работает в госсекторе.

Почему старый приказ устарел

Приказ № 17 вышел в 2013 году. Тогда основная инфраструктура была другой: серверы стояли в серверной, приложения были монолитными, доступ был из офиса, а облака только начинали появляться.

За десять с лишним лет всё изменилось. Системы переехали в облака, появились контейнеры, мобильные приложения, программные интерфейсы, удалённая работа и искусственный интеллект. Старый документ описывал меры в терминах, которые к этим технологиям не приспособлены. Формально выполнить требования можно было, а реальную защиту — не получить.

Кроме того, изменилась сама логика проверок. Раньше можно было поставить галочки «меры реализованы» и считать задачу закрытой. Но если система меняется каждый месяц, а меры остаются в том же виде, через год они могут не соответствовать угрозам. Нужен был документ, который требует не «набора галочек», а постоянного управления.

Кого касается приказ

Приказ № 117 от 11 апреля 2025 года утвердил требования к защите информации, содержащейся в государственных информационных системах, а также в иных информационных системах государственных органов, государственных унитарных предприятий и государственных учреждений.

Если перевести на человеческий язык: это не только «ГИС с большими буквами», но и внутренние системы госорганов — кадровые, бухгалтерские, документооборот, — если в них обрабатывается информация ограниченного доступа. Именно это расширение важно: раньше часть таких систем оставалась вне поля зрения, теперь они попадают в периметр требований.

Для коммерческих организаций, которые не работают с государственными системами, приказ напрямую не применяется. Но если компания обслуживает госорганы или участвует в создании ГИС, требования приходят к ней через договор и через проверку подрядчиков.

Что изменилось по сути

Первое изменение — акцент на процессах, а не на списке мер. Новый документ требует, чтобы в организации были политика защиты информации, внутренние стандарты и регламенты. Причём это не формальные документы «для проверки», а описание того, как защита устроена: кто отвечает, как принимаются решения, как реагируют на инциденты, как проверяют подрядчиков.

Второе — требования к жизненному циклу. Защита должна учитываться при создании системы, при её развитии и при выводе из эксплуатации. Если систему модернизируют, это не повод «потом как-нибудь донастроить»: изменения должны проходить через оценку и, если нужно, через дополнительные аттестационные испытания.

Третье — переходный период. ФСТЭК отдельно разъяснила: системы, создаваемые после 1 марта 2026 года, проектируются по новым требованиям. Действующие системы, аттестованные по приказу № 17, приводятся в соответствие по плану перехода. То есть «завтра всё переделать» не требуется, но и «оставить как есть навсегда» не получится.

Четвёртое — аттестация. После модернизации проводятся дополнительные аттестационные испытания в соответствии с порядком, утверждённым приказом № 77 от 29 апреля 2021 года. По их результатам аттестат переоформляется. Это важный момент: старый аттестат не аннулируется автоматически, но его нужно привести в соответствие с новыми требованиями.

Пятое — методическая база. Пока не утверждён новый методический документ «Состав и содержание мероприятий и мер по защите информации», ФСТЭК разрешает пользоваться методическим документом 2014 года «Меры защиты информации в государственных информационных системах». Это переходное решение, а не отмена методик.

Переходный период: что можно, а что нельзя

ФСТЭК разъяснила несколько практических сценариев.

Если договор на создание или развитие системы заключён до 1 марта 2026 года, работы можно вести по старым требованиям приказа № 17. Это сделано, чтобы не ломать уже начатые проекты.

Если система создаётся после 1 марта 2026 года, применяются новые требования. Это касается и новых систем, и новых этапов развития.

Если система действует и аттестована по приказу № 17, нужно разработать план перехода: какие мероприятия и меры нужно реализовать, в какие сроки, кто отвечает. План утверждается внутри организации, а не «спускается» сверху.

Если система модернизируется, после изменений проводятся дополнительные аттестационные испытания. Это логично: изменилась система — изменились угрозы и меры, значит, нужно проверить, что защита соответствует.

Из этого следует практический вывод: главный документ на ближайший год — не «новая политика», а план перехода. Именно он показывает проверяющему, что организация не игнорирует изменения, а управляет ими.

Не путайте два приказа № 117

Здесь начинается самая частая путаница. Существует два документа с номером 117:

  • приказ ФСТЭК № 117 от 25 декабря 2017 года — о требованиях к защите информации в значимых объектах критической информационной инфраструктуры;
  • приказ ФСТЭК № 117 от 11 апреля 2025 года — о требованиях к защите информации в государственных информационных системах.

Это разные документы, с разными объектами и разными требованиями. Если вы работаете с КИИ, вам нужен первый. Если с ГИС — второй. На портале мы разводим их по датам и всегда указываем объект, чтобы читатель не перепутал.

Что делать практически

Начать стоит не с переписывания политики, а с инвентаризации. Нужно понять, какие информационные системы есть, какие из них попадают под новые требования, какие аттестованы по приказу № 17, а какие вообще не аттестованы.

Дальше — оценить разрыв. Какие процессы уже описаны, каких документов не хватает, какие меры реализованы формально. Полезно смотреть не на «наличие бумаги», а на то, работает ли процесс: например, есть ли регламент реагирования на инциденты и выполнялся ли он хотя бы раз.

Потом — составить план перехода. В нём должны быть мероприятия, сроки, ответственные и ресурсы. План не обязан быть идеальным; он обязан быть реалистичным и выполняться.

После этого — привести документы в порядок: политика, стандарты, регламенты. Важно, чтобы они описывали реальную практику, а не идеальную картинку. Проверяющий может задать вопрос «покажите, как это работает», и бумага без практики здесь не поможет.

Затем — провести дополнительные аттестационные испытания, если система модернизировалась. И не забыть про подрядчиков: если они обслуживают систему, их меры и документы тоже часть картины.

И наконец — назначить ответственных и заложить регулярность. Новый подход требует не разового проекта, а постоянного цикла: оценка, планирование, реализация, проверка, обновление.

Главная мысль

Приказ № 117 (2025) — это не «ещё одна бумажка» и не отмена прежней работы. Это смена логики: от формального набора мер к управляемой системе защиты, которая учитывает изменение технологий и угроз. Старый аттестат не сгорает в марте 2026 года, но начинает требовать плана перехода и подтверждения соответствия.

Для организаций это означает, что выигрывают не те, кто быстрее перепишет документы, а те, кто раньше наведёт порядок в процессах: поймёт, что защищает, кто отвечает и как проверяет. Именно это и проверяется — не наличие папки с политиками, а способность организации управлять защитой.

Что делать дальше