Новые правила защиты критической инфраструктуры: что изменится для бизнеса с 2026 года

Готовятся изменения в правилах защиты критической информационной инфраструктуры. Они затронут компании, чьи ИТ-системы важны для государства и экономики. Планируется ввести регулярную оценку безопасности и ужесточить контроль за действиями сотрудников и подрядчиков.

Регулятор в сфере технической защиты информации разработал проект приказа, который меняет подход к защите критической информационной инфраструктуры (КИИ). Это те ИТ-системы, от которых зависит стабильная работа важных отраслей — энергетики, транспорта, банков, связи и производства.

Документ пока не принят, но если его утвердят, новые правила начнут действовать с 1 сентября 2026 года.

Российские власти приостановили действие сертификатов двух органов ЕАЭС из-за нарушений

Главное изменение — ввод обязательной системы оценки безопасности. Теперь компании должны будут регулярно считать два показателя:

уровень защищенности — каждые полгода;
уровень зрелости защиты — раз в два года.

Проще говоря, бизнесу придется не просто «держать защиту», а постоянно подтверждать, что она реально работает и развивается.

Если в системе обнаружены уязвимости или нарушения, времени на раздумья не будет:

максимум 3 дня — чтобы сообщить руководству;
сразу после этого — устранить проблему;
не позднее 5 рабочих дней — направить отчет регулятору.

Это означает, что скрыть или «отложить на потом» уже не получится — все фиксируется и контролируется.

Проект вводит конкретные ограничения:

системы защиты должны официально поддерживаться разработчиком;
удаленный доступ для сторонних специалистов фактически запрещается;
все действия пользователей должны записываться и отслеживаться.

Фактически речь идет о полной прозрачности: кто, когда и что сделал в системе — должно быть видно.

Под новые требования попадают не только ИТ-специалисты. Ответственность расширяется на:

руководство компаний;
специалистов по информационной безопасности;
системных администраторов;
сотрудников, которые отвечают за доступ и мониторинг действий.

То есть изменения затронут почти всю цепочку управления и эксплуатации ИТ-систем.

Проект разработан в рамках Федерального закона № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации». Этот закон определяет, какие системы считаются критическими и какие меры защиты для них обязательны.

Новые требования фактически развивают этот закон и делают его более конкретным: добавляют сроки, метрики и ответственность.

Что это значит: