Как подготовиться к проверке ФСТЭК по КИИ в 2026 году: дорожная карта для субъектов 

• Проверено более 800 объектов КИИ
• Выявлено более 1100 нарушений требований по обеспечению безопасности
• Почти все нарушения связаны с несоответствием фактического состава значимых объектов КИИ сведениям, включённым в реестр

Важно: Основная задача ФСТЭК России — помочь субъекту КИИ повысить уровень информационной безопасности и выстроить процессы в соответствии с требованиями законодательства. Регулятор открыт для диалога и консультаций.

• Инструктаж сотрудников регулятора, получение пропусков
• Знакомство с ответственными за ИБ
• Проверка комплектности документов по запросу
• Проверка состава и работы комиссии по категорированию
• Выявление новых создаваемых ОКИИ

• Осмотр оборудования ЗОКИИ
• Проверка соответствия состава ТС и ПО сведениям во ФСТЭК
• Проверка настроек хостовых и сетевых СЗИ
• Сканирование на уязвимости

• Интервью пользователей на знание требований ИБ

• Проверка ОРД на соответствие законодательству
• Проверка должностных инструкций
• Проверка документов о вводе в эксплуатацию СБ ЗОКИИ 

• Обсуждение результатов
• Согласование и подписание акта проверки 

Причины: Модернизация систем без актуализации сведений, замена оборудования, обновление ПО.

Как избежать:

• Вести реестр изменений в составе ЗОКИИ
• Актуализировать сведения во ФСТЭК при существенных изменениях
• Периодически проводить инвентаризацию 

Причины: Поспешное внедрение СЗИ, недооценка важности документирования.

Как избежать:

• Разработать ПМИ до начала испытаний
• Оформлять протоколы по результатам каждого этапа
• Не вводить СБ в эксплуатацию без полного комплекта документов 

 
Причины: Отсутствие регулярного процесса управления уязвимостями, технологические ограничения на обновление. 

Как избежать:

• Внедрить регулярное сканирование на уязвимости
• Установить SLA на устранение уязвимостей в зависимости от критичности
• Для неустранимых уязвимостей — документировать компенсирующие меры

 
Причины: Откладывание перехода на отечественное ПО, отсутствие плана импортозамещения.

Как избежать:

• Провести аудит используемых СЗИ
• Разработать и утвердить план замены иностранных СЗИ
• Для временно используемых иностранных СЗИ — провести оценку соответствия 

Причины: Недостаточная вовлечённость ИБ-службы в процесс закупок и создания систем. 

Как избежать:

• Включать требования пп. 29.1–29.3 Приказа ФСТЭК № 239 в ТЗ на создание/модернизацию ОКИИ
• Не ограничиваться общей ссылкой на 187-ФЗ — прописывать конкретные требования
• Включать проверку требований безопасной разработки в ПМИ 

• Провести сканирование на уязвимости и начать устранение — самая трудоёмкая задача
• Актуализировать сведения о ЗОКИИ и направить во ФСТЭК — инвентаризация, сопоставление с реестром
• Проверить состав комиссии по категорированию — актуальность приказа, протоколы заседаний 

• Провести аудит ОРД — наличие документов, соответствие требованиям
• Проверить документы о вводе в эксплуатацию СБ — техпроект, ПМИ, протоколы, акты
• Проверить настройки СЗИ — соответствие ОРД
• Подготовить план мероприятий по ИБ 

• Провести внутренний аудит по чек-листу
• Подготовить комплект документов по запросу регулятора
• Провести инструктаж пользователей ЗОКИИ 

• Обоснованы и задокументированы в техническом проекте на СБ ЗОКИИ и/или в ОРД
• Включены в Программу и методику приемочных испытаний
• Проверены в ходе испытаний (результат отражён в протоколе) 

 
Компенсирующая мера: Ведение бумажного вахтового журнала, в котором отмечается заступивший в смену оператор. Порядок ведения журнала закреплён в ОРД. 

Пример 2: Невозможность оперативного устранения уязвимости

Ситуация: Выявлена критичная уязвимость в АСУ ТП, но обновление ПО допускается только во время останова (раз в 2 года).

Компенсирующие меры: 

• Использование межсетевого экрана на периметре АСУ ТП  
• Применение средства анализа технологического трафика
• Внесение мероприятий по устранению уязвимости в план ИБ
• Документирование причин, компенсирующих мер и планов в акте, подписанном администратором АСУ ТП и службой ИБ

Пример 3: Невозможность реализации доверенной загрузки

Ситуация: Решения по доверенной загрузке ОС несовместимы с техническими средствами ЗОКИИ.

Компенсирующие меры:

• СКУД на входе в здание/помещение
• Ограничение доступа в помещения с техническими средствами ЗОКИИ
• Размещение оборудования в запираемых пломбируемых шкафах
• Ведение журнала учёта пломб 

1. Технический проект на СБ ЗОКИИ — в проектах, разработанных после мая 2022 года, не должны быть запроектированы СЗИ из недружественных стран.
2. Фактически используемые СЗИ — наличие иностранных средств защиты, план их замены.
3. Реализация мер защиты — меры групп ИАФ (идентификация и аутентификация), УПД (управление доступом) не должны реализовываться средствами иностранных ОС. 

1. Провести аудит используемых СЗИ на предмет происхождения
2. Если СЗИ из недружественных стран ещё используются — утвердить детальный план их замены с конкретными сроками
3. Для временно используемых иностранных СЗИ — провести оценку соответствия применяемого функционала требованиям
4. Убедиться, что в техпроектах после мая 2022 года нет иностранных СЗИ 

• Выдать предписание с указанием срока устранения
• Срок устанавливается с учётом утверждённых планов мероприятий по ИБ и модернизации ЗОКИИ
• Проконтролировать устранение нарушений в дальнейшем

• Может быть наложен дополнительный штраф
• В зависимости от тяжести нарушений — вплоть до приостановления деятельности организации 

Устранение выявленных несоответствий Помогаем устранить найденные нарушения: актуализация документации, настройка СЗИ, внедрение недостающих мер защиты. 

Разработка и актуализация ОРД Приводим организационно-распорядительную документацию в соответствие с требованиями законодательства и фактическим процессам. 

Сопровождение при проверке регулятора Присутствие наших специалистов в ходе проверки, помощь в предоставлении документов и демонстрации систем, оперативное устранение замечаний.

Консультации по результатам проверки Помощь в исполнении предписания, если оно было выдано, консультации по обжалованию результатов.

• Практический опыт — сопровождали проверки ФСТЭК, знаем процедуру изнутри
• Комплексный подход — работаем со всеми аспектами: документация, техника, процессы
• Результат — все проверки с нашим участием прошли без предписаний 

Заказать аудит готовности к проверке ФСТЭК →

 
Ключевые рекомендации:

1. Не откладывайте работу с уязвимостями — это самая трудоёмкая задача, требующая времени на тестирование и согласование.
2. Актуализируйте сведения во ФСТЭК — расхождение между заявленным и фактическим составом ЗОКИИ — главная претензия при проверках.
3. Оформляйте документы о вводе в эксплуатацию — ПМИ, протоколы, акты должны быть в полном порядке.
4. Проводите внутренний аудит — пройдите по чек-листу регулятора до проверки, а не во время неё.
5. Используйте компенсирующие меры — если требование нельзя выполнить напрямую, документируйте альтернативные решения.