Для специалиста по информационной безопасности (ИБ) здесь важны два вопроса: когда завершить оценку и в какое подразделение ФСТЭК передать результат.
Нормативные положения в статье приведены по состоянию на 6 октября 2026 года.
Что разъяснила ФСТЭК в сообщении от 1 октября 2026 года
Сообщение №240/92/6722 прежде всего уточняет выбор получателя результатов: центральный аппарат, территориальное или Межрегиональное управление ФСТЭК.
Саму обязанность проводить оценку Кзи сообщение не вводит. Она установлена пунктом 32 Требований, утверждённых приказом ФСТЭК России от 11.04.2025 №117, который вступил в силу 01.03.2026.
На 6 октября 2026 года уже действуют основные изменения, внесённые приказом ФСТЭК России от 08.05.2026 №137 с 01.09.2026. При этом новая редакция пункта 32, предусмотренная пунктом 7 приложения к приказу №137, начнёт действовать только 01.03.2027.
Поэтому при подготовке оценки важно разделять действующие требования и изменения, которые вступят в силу позднее.
Что показывает Кзи и как использовать результат
Расчёт Кзи проводят по Методике оценки показателя состояния технической защиты информации, утверждённой ФСТЭК 11.11.2025. Далее в статье — Методика.
По пункту 8 Методики Кзи показывает, насколько достигнут минимально необходимый уровень защиты от типовых актуальных угроз за оцениваемый период и при конкретных условиях эксплуатации.
Само число лучше рассматривать вместе с областью оценки: какие информационные системы (ИС) проверялись, за какой период и в каких условиях они работали. Это позволяет использовать результат для планирования доработок и не распространять выводы на системы, которые в оценку не входили.
Если Кзи ниже нормированного значения 1, минимальный уровень защиты не обеспечен: существуют предпосылки или возможность реализации актуальных угроз нарушителями с базовыми возможностями.
Значение Кзи = 1, в свою очередь, подтверждает достижение минимального базового уровня, но не означает отсутствие всех рисков и не заменяет класс защищённости или аттестацию.
Методика от 02.05.2024 для этой оценки не применяется — это прямо следует из пункта 7 действующей Методики.
КИИ и Узи: где проходит граница
Методика распространяется в том числе на безопасность значимых объектов критической информационной инфраструктуры (КИИ). Если ИС одновременно подпадает под приказ №117 и является значимым объектом КИИ, требования применяются совместно. При этом само наличие у организации объектов КИИ не означает автоматической применимости приказа №117 ко всем её системам.
Показатель уровня зрелости (Узи) характеризует деятельность по защите информации, а Кзи — текущее состояние защиты. В этой статье основной предмет — именно Кзи и порядок представления результатов его оценки.
Кто проводит оценку Кзи и какие системы включают
Расчёт, оценка и представление результатов остаются обязанностью оператора или обладателя информации. Привлечение внешнего аудитора, подрядчика или использование материалов аттестации эту обязанность не передаёт.
Пункт 14 Методики распределяет внутренние роли:
- оценку организует заместитель руководителя, на которого возложены полномочия или функции по ИБ;
- непосредственно проводят её подразделение и специалисты по защите информации, выполняющие соответствующие функции.
Для оценки можно использовать результаты внутреннего контроля, внешнего аудита, мониторинга, оценки защищённости, аттестации и других проверок. При этом пункт 22 Методики требует разделять функции: специалисты, которые собирают и анализируют данные, не должны оценивать результаты собственных функций или задач.
Какие ИС входят в область оценки
По пункту 13 Методики в область оценки включают:
- все ИС органа или организации, которые подлежат защите в соответствии с нормативными правовыми актами РФ;
- иные ИС — по решению руководителя либо его заместителя, отвечающего за ИБ.
Если ИС работают на базе общей информационно-телекоммуникационной инфраструктуры, пункт 13 предусматривает включение такой инфраструктуры в область оценки.
Например, если нормативный акт требует защищать конкретную ИС, её включают в оценку независимо от наличия аттестата или статуса государственной информационной системы (ГИС).
Как часто рассчитывают Кзи и когда направляют результат
По действующему пункту 32 Требований приказа №117 оценку проводят не реже одного раза в шесть месяцев.
Дополнительно пункт 12 Методики требует, чтобы организация закрепила периодичность и порядок проведения оценки Кзи во внутренних регламентах. Поэтому формального проведения двух оценок в течение календарного года недостаточно, если между ними нарушен шестимесячный интервал.
Пункт 19 Методики предусматривает и внеочередную оценку. Основанием могут стать:
- значимый инцидент ИБ с негативными последствиями;
- развитие или изменение архитектуры ИС;
- запрос руководителя о текущем значении Кзи;
- запрос ФСТЭК.
Результаты оценки направляют во ФСТЭК не позднее пяти рабочих дней после дня расчёта Кзи. Этот срок действует независимо от полученного значения показателя.
Согласование отчёта внутри организации или устранение выявленных недостатков не сдвигают срок представления результатов.
Если Кзи ниже нормированного значения, руководителя оператора или обладателя информации информируют в течение трёх календарных дней со дня завершения оценки. Это отдельное действие: трёхдневный срок информирования руководителя не заменяет пятидневный рабочий срок представления результатов во ФСТЭК.
Куда направлять результаты оценки Кзи
Получателя определяют по двум признакам:
- категории отправителя;
- территории, на которой он осуществляет деятельность.
Ориентироваться только на юридический адрес или федеральный округ недостаточно.
Для территориальных строк сообщение распространяется на органы исполнительной власти субъектов РФ, государственные унитарные предприятия, государственные учреждения, территориальные органы федеральных органов исполнительной власти (ФОИВ) и подведомственные ФОИВ организации.
Для территориального органа ФОИВ действует дополнительное условие сноски 1: он должен быть оператором или обладателем информации государственных либо иных ИС. Самого статуса территориального органа недостаточно.
Ниже используются стандартные сокращения федеральных округов: ЦФО, СЗФО, ЮФО, СКФО, ПФО, УФО, СФО и ДФО.
| Территория / категория отправителя | Куда направлять |
|---|---|
| Москва: ФОИВ, подведомственные им организации, государственные унитарные предприятия и государственные учреждения, осуществляющие деятельность в Москве | Центральный аппарат ФСТЭК |
| ЦФО, кроме Москвы | Управление ФСТЭК по Центральному ФО |
| СЗФО | Управление ФСТЭК по Северо-Западному ФО |
| ЮФО и СКФО | Управление ФСТЭК по Южному и Северо-Кавказскому ФО |
| ПФО | Управление ФСТЭК по Приволжскому ФО |
| УФО | Управление ФСТЭК по Уральскому ФО |
| СФО | Управление ФСТЭК по Сибирскому ФО |
| ДФО | Управление ФСТЭК по Дальневосточному ФО |
| Республика Крым, ДНР, ЛНР, Запорожская область, Херсонская область и Севастополь | Межрегиональное управление ФСТЭК |
Например, если государственное учреждение осуществляет деятельность в Москве, результаты направляют в центральный аппарат ФСТЭК. При этом московский адрес сам по себе не означает, что это правило распространяется на любую коммерческую организацию.
Москва отдельно исключена из строки ЦФО.
Если организация работает сразу в нескольких регионах и её случай прямо не описан в сообщении, безопаснее уточнить получателя у ФСТЭК, а не самостоятельно направлять одинаковый комплект в несколько управлений.
Что проверить перед направлением результатов
Приложение №1 Методики разделяет материалы, которые представляют вместе с результатами, и документы, предоставляемые по запросу.
Перед отправкой УИБ рекомендует проверить пять вещей:
Область оценки.
Все ли необходимые ИС и инфраструктура учтены по пункту 13 Методики.
Исходные данные.
Соответствуют ли они фактическому состоянию инфраструктуры и периоду оценки.
Расчёт.
Зафиксированы ли итоговое значение Кзи и дата его получения.
Комплект материалов.
Подготовлены ли документы, предусмотренные приложением №1 Методики.
Получатель.
Верно ли определены категория отправителя, территория деятельности и условие для территориального органа ФОИВ.
Само сообщение №240/92/6722 не устанавливает обязательный портал, адрес электронной почты, личный кабинет или иной конкретный канал передачи. Поэтому способ отправки стоит уточнить предварительно.
Что меняется для организации на практике
Главный риск — оставить организационную работу на последние пять рабочих дней после расчёта.
К этому моменту ещё может потребоваться собрать приложения, согласовать материалы и окончательно проверить получателя. Поэтому исходные сведения и подтверждающие документы лучше готовить заранее.
УИБ рекомендует распределить роли между владельцами ИС, специалистами ИБ и сотрудником, который контролирует сроки представления результатов. В рабочем календаре удобно фиксировать:
- дату предыдущей и очередной оценки;
- шестимесячный интервал;
- дату расчёта Кзи;
- предельный срок представления результатов;
- факт отправки;
- замещающего сотрудника на случай отсутствия ответственного.
Это практические рекомендации, а не дополнительные требования Методики или информационного сообщения. Они не заменяют обязательное закрепление периодичности и порядка оценки во внутренних регламентах.
Если Кзи ниже нормы, устранение недостатков и представление результатов лучше вести как два параллельных процесса. Необходимость доработок не отменяет установленный срок направления результатов во ФСТЭК.
Как УИБ может помочь
УИБ проводит оценку защищённости информационных систем: специалисты анализируют состояние защиты, выявляют несоответствия и определяют мероприятия по повышению защищённости.
В рамках сопровождения информационной безопасности специалисты УИБ помогают организовать сбор исходных данных, актуализацию материалов и контроль выполнения мероприятий между очередными оценками.
При этом обязанность провести оценку и представить результаты остаётся у оператора или обладателя информации.
Подготовьтесь к очередной оценке Кзи
До расчёта проверьте область оценки, актуальность исходных данных, внутренний порядок проведения оценки и подразделение ФСТЭК, которому предстоит направить результат.
Обсудить подготовку к оценке Кзи можно со специалистами УИБ: 8 (843) 207-17-17, sales@uibcom.ru