Субъекты КИИ: обязательно ли оценивать показатель уровня зрелости субъектам КИИ согласно новой методике ФСТЭК России?

2026 год

Ответ: в соответствии с п.п. «а» п. 4 Методики оценки уровня зрелости деятельности в области технической защиты информации в информационных системах и обеспечения безопасности значимых объектов критической информационной инфраструктуры Российской Федерации, утвержденной ФСТЭК России 07.08.2026 (далее – Методика оценки уровня зрелости), субъекты критической информационной инфраструктуры (далее – КИИ), которые владеют значимыми объектами КИИ, применяют Методику оценки уровня зрелости для оценки собственного уровня зрелости деятельности по обеспечению безопасности значимых объектов КИИ.

Также в соответствии с п.п. «в» п. 4 Методики оценки уровня зрелости субъекты КИИ, которые привлекают подрядные организации в целях обеспечения безопасности значимых объектов КИИ, применяют Методику оценки уровня зрелости для установления требований к уровню зрелости для таких подрядных организаций.

То есть, если субъект КИИ самостоятельно обеспечивает безопасность принадлежащих ему значимых объектов КИИ, он оценивает уровень собственной зрелости деятельности в области технической защиты информации, а если привлекает для этого процесса подрядную организацию – устанавливает требования к уровню зрелости для подрядной организации.
Вместе с тем, обязанность субъектов КИИ по расчету уровня зрелости и, как следствие, применению Методики оценки уровня зрелости на данный момент не закреплена в нормативных правовых актах по обеспечению безопасности значимых объектов КИИ.

Проект приказа ФСТЭК России «О внесении изменений в приказы Федеральной службы по техническому и экспортному контролю от 21 декабря 2017 г. № 235 и от 25 декабря 2017 г. № 239», который предусматривает обязанность для субъектов КИИ выполнять расчет показателя уровня зрелости, а также показателя, характеризующего текущее состояние обеспечения безопасности значимых объектов КИИ от базового уровня угроз безопасности информации, находится на стадии обсуждения. После его официального опубликования и вступления в силу у субъектов КИИ, владеющих значимыми объектами КИИ, появится обязанность по расчету данных показателей.

Таким образом, на данный момент у субъектов КИИ нет обязанности по расчету показателя уровня зрелости. Однако стоит учитывать, что законопроект по закреплению данной обязанности существует, и после его утверждения субъекты КИИ, которым принадлежат значимые объекты КИИ, будут обязаны производить расчет уровня зрелости согласно новой методике ФСТЭК России. На субъектов КИИ, которым не принадлежат значимые объекты КИИ, обязанность не распространяется.