До вступления в силу Приказа ФСТЭК России № 117 от 11.04.2025 осталось полтора месяца. С 1 марта 2026 года он заменяет привычный режим защиты информации в государственных информационных системах, ИС госорганов, ГУП и госучреждений. Главное – меняется не список мер, а сама модель. Логика «подготовились к проверке, прошли аттестацию, живём дальше» уходит. На её место приходит непрерывный контроль, мониторинг и регулярная отчётность. Если вы оператор ГИС или интегратор, который её сопровождает, спринт начинается сейчас.

Что именно меняется

Приказ зарегистрирован в Минюсте 16.06.2025 и вступает в силу 1 марта 2026. Хорошая новость для тех, кто уже аттестован: аттестаты соответствия, выданные до этой даты, остаются действительными. Паниковать и переаттестовывать систему с нуля не нужно.

Плохая новость – статичная защита больше не считается выполнением требований. Регулятор задаёт жёсткие сроки реагирования: критические уязвимости закрываются в течение 24 часов, уязвимости высокой степени опасности – за 7 календарных дней. Это не рекомендация, а измеримое обязательство. Чтобы его выполнять, нужен работающий процесс управления уязвимостями, а не разовое сканирование перед проверкой.

На практике это означает три вещи: вы непрерывно знаете состояние своих активов, вы фиксируете и приоритизируете уязвимости по степени опасности, вы укладываетесь в нормативные сроки и можете это доказать отчётностью.

Что успеть за полтора месяца

Полноценную перестройку за шесть недель не сделать, но критический минимум – реально. Сфокусируйтесь на том, что регулятор проверит первым.

  • Инвентаризация активов. Без точного перечня систем и компонентов сроки 24 часа и 7 дней невыполнимы – вы просто не знаете, что патчить.
  • Процесс устранения уязвимостей. Назначьте ответственных, опишите маршрут от обнаружения до закрытия, заложите SLA под нормативные 24 часа и 7 дней. Подход к измеримым срокам мы разбирали в материале про SLA для систем с ИИ – методология переносится напрямую.
  • Мониторинг и отчётность. Нужен механизм, который собирает события и формирует отчёт о состоянии защиты по запросу, а не вручную раз в год.
  • Бюджет. Непрерывный контроль – это люди, лицензии и инструменты на постоянной основе. Если вы ещё не заложили эту строку, сверьтесь с планом ИТ-бюджета на 2026 год и скорректируйте его до конца квартала.

Отдельно предупредим про автоматизацию. Соблазн закрыть требования № 117 силами автономных агентов и автопатчинга велик, но в защите ГИС цена ошибки высокая. Где проходит граница ответственности между человеком и автоматикой, мы разбирали в статье про автономные агенты: контур принятия решений по критическим уязвимостям оставляйте за человеком.

Если своих рук не хватает

Полтора месяца – короткий горизонт, и большинству операторов придётся выбирать между авральной самостоятельной подготовкой и привлечением подрядчика. При втором варианте весь контур требований № 117 закрывается одним блоком: инвентаризация активов, управление уязвимостями с укладкой в нормативные сроки, мониторинг и отчётность для регулятора.

Вывод

Приказ № 117 закрывает эпоху защиты «к проверке». С 1 марта 2026 года ИБ в ГИС – это непрерывный управляемый процесс с жёсткими сроками реагирования. За оставшиеся полтора месяца успейте сделать минимум: знать свои активы, иметь процесс устранения уязвимостей под сроки 24 часа и 7 дней, уметь отчитаться. Остальное достраивайте уже в новом режиме – но стартовать нужно до дедлайна.