Утверждены новые требования по обеспечению безопасности значимых объектов критической информационной инфраструктуры (КИИ) Российской Федерации, соответствующий приказ опубликовала во вторник ФСТЭК.
Начиная с 1 марта 2027 года для контроля состояния безопасности значимых объектов КИИ должен проводиться расчёт:
а) показателя, характеризующего текущее состояние обеспечения безопасности значимых объектов КИИ и степень его соответствия минимально необходимому уровню обеспечения безопасности от типовых актуальных угроз безопасности информации (показатель защищённости Кзи);
б) показателя, определяющего достаточность и эффективность проведённых мероприятий по обеспечению безопасности значимых объектов КИИ (показатель уровня зрелости Узи).
Для определения значений и расчёта показателя защищённости Кзи и показателя уровня зрелости Узи должны применяться методические документы, утверждённые ФСТЭК России.
Расчёт и оценка показателя защищённости Кзи должен проводиться субъектом КИИ не реже одного раза в шесть месяцев.
О полученном по результатам оценки значении показателя защищённости Кзи в случае его несоответствия нормированным значениям, указанным в методических документах ФСТЭК России, в течение трёх календарных дней руководитель субъекта КИИ информируется для принятия решения о проведении дополнительных мероприятий по обеспечению безопасности.
Расчёт показателя уровня зрелости Узи проводится субъектом КИИ не реже одного раза в три года.
В случае привлечения субъектом КИИ организаций, которым предоставляется доступ к значимому объекту КИИ для оказания услуг, проведения работ по обработке, хранению информации, созданию (развитию), обеспечению эксплуатации значимого объекта КИИ, а также для выполнения работ, оказания услуг по обеспечению его безопасности (подрядные организации) расчёт проводится в отношении подрядных организаций.
Субъектом КИИ в отношении подрядной организации должно быть установлено требование к расчёту и оценке показателя уровня зрелости Узи.
Расчёт и оценка показателя уровня зрелости Узи проводятся подрядной организацией до получения доступа к значимому объекту КИИ и далее не реже одного раза в три года.
О полученном по результатам оценки значении показателя уровня зрелости Узи в случае его несоответствия нормированным значениям, указанным в методических документах ФСТЭК России, в течение трёх календарных дней руководитель субъекта КИИ информируется для принятия решения о проведении дополнительных мероприятий по обеспечению безопасности значимых объектов КИИ.
