Что изменилось в Приказе ФСТЭК России № 117 с 1 сентября 2026 года

Требования применяются в редакции приказа ФСТЭК России от 08.05.2026 № 137 (Минюст 10.08.2026, № 87797): в требования к подрядной организации добавлены расчёт и оценка показателя уровня зрелости защиты Узи (пункт 58). С той же даты приказ ФСТЭК России от 27.02.2026 № 60 распространил Порядок аттестации на периодический контроль уровня защиты: непредставление отчёта о контроле приостанавливает, а затем прекращает действие аттестата соответствия. Новая редакция пункта 32 отложена до 1 марта 2027 года.

Отменён ли Приказ ФСТЭК № 21 по персональным данным

Нет. Проект приказа об отмене опубликован 24.07.2026 с заявленным вступлением в силу 1 сентября 2026 года, но на эту дату он не зарегистрирован в Минюсте и официально не опубликован. Проект нормой не является: приказ ФСТЭК России от 18.02.2013 № 21 действует, и меры защиты для ИСПДн выбираются по нему.

Что отменил Приказ ФСТЭК России № 117

С 1 марта 2026 года утратили силу Приказ ФСТЭК России от 11.02.2013 № 17 (защита информации в государственных системах), от 28.05.2019 № 106, от 27.04.2020 № 61 и от 15.02.2017 № 27. Приказ № 117 зарегистрирован в Минюсте 16.06.2025 под № 82619.

Что делать оператору персональных данных

Проверить, на какие акты ссылаются ваши документы, и когда они собраны. Для обычной ИСПДн состав документов с 1 сентября 2026 года не изменился: уровень защищённости — ПП РФ № 1119, класс СКЗИ — Приказ ФСБ № 378, угрозы — Методика ФСТЭК-2021, меры — Приказ № 21. Для государственной системы документ, выпущенный после 1 сентября, обязан называть Требования в редакции приказа № 137, а если применяются шифровальные средства — с 11 сентября 2026 года ещё и Требования приказа ФСБ России от 22.08.2026 № 321.

Приказ ФСТЭК № 117: что меняется с 1 сентября 2026 года

Приказ ФСТЭК России от 11.04.2025 № 117 утвердил Требования о защите информации в государственных информационных системах: они действуют с 1 марта 2026 года, вместе с ними утратили силу приказы № 17, № 106, № 61 и № 27. С 1 сентября 2026 года Требования применяются в новой редакции — их изменил приказ ФСТЭК России от 08.05.2026 № 137 (Минюст 10.08.2026, № 87797). Приказ ФСТЭК России № 21, по которому выбирают меры защиты для ИСПДн, при этом продолжает действовать.

Что вступило в силу 1 сентября 2026 года

Приказ № 137 — изменения в Требования № 117. Для оператора существенно одно: в требования к подрядной организации добавлены расчёт и оценка показателя уровня зрелости защиты Узи (пункт 58).
Приказ ФСТЭК России от 27.02.2026 № 60 — изменения в Порядок аттестации (приказ № 77), на который ссылается пункт 65 Требований. Порядок распространён на периодический контроль уровня защиты, а непредставление отчёта о таком контроле теперь приостанавливает, а затем прекращает действие аттестата соответствия.
Отложено до 1 марта 2027 года — пункт 7 приложения к приказу № 137, то есть новая редакция пункта 32 Требований. До этой даты показатель уровня зрелости раз в два года считает сам оператор, а не подрядчик: пункт вступает в силу отдельной датой, оговорённой в самом приказе.

Отменён ли приказ № 21 по персональным данным

Нет. 24 июля 2026 года ФСТЭК опубликовала проект приказа, отменяющего приказ № 21 целиком, с заявленным вступлением в силу 1 сентября 2026 года. Проект нормой не является: обязанность возникает после регистрации в Минюсте и официального опубликования. На 1 сентября 2026 года отмена не зарегистрирована и не опубликована — приказ № 21 действует, и меры защиты для ИСПДн выбираются по нему.

Сервис следит за этим не по новостям, а по официальному публикатору (publication.pravo.gov.ru): публикации ФСТЭК России, ФСБ России и Роскомнадзора просматриваются ежедневно.

Кого это касается

Государственные информационные системы и системы госорганов, унитарных предприятий и учреждений: требования № 117 применяются одновременно с требованиями к защите персональных данных (пункт 5). Изменений сентября это касается напрямую.
Обычные ИСПДн: состав документов не изменился. Уровень защищённости определяется ПП РФ № 1119, класс СКЗИ — приказом ФСБ России № 378, а с 11 сентября 2026 года для государственной системы ещё и Требованиями приказа ФСБ России от 22.08.2026 № 321 (берётся больший класс), перечень угроз — Методикой ФСТЭК от 05.02.2021 и банком данных угроз, меры защиты — приказом № 21.

Что делать оператору

Посмотреть, на какие акты ссылается ваш пакет и когда он собран. Документ, выпущенный после 1 сентября 2026 года, обязан называть действующую редакцию: ссылка на Требования без упоминания приказа № 137 отсылает к тексту, которого больше нет, и на проверке это видно с первой страницы. Пересборка не требует заново отвечать на вопросы — состав системы и ответы остаются, меняется вывод.

Как не пропустить дату

Редакция нормативной базы, по которой собран пакет, записывается вместе с ним, а сама редакция переключается датой вступления акта в силу — не тогда, когда об этом вспомнят. Когда база меняется, сервис показывает, какие из ваших пакетов собраны по прежней редакции и что именно изменилось с тех пор, и пересобирает их бесплатно — искать новости ФСТЭК самому не нужно.

Собрать пакет по действующим актам

Коротко

Что изменилось в Приказе ФСТЭК России № 117 с 1 сентября 2026 года: Требования применяются в редакции приказа ФСТЭК России от 08.05.2026 № 137 (Минюст 10.08.2026, № 87797): в требования к подрядной организации добавлены расчёт и оценка показателя уровня зрелости защиты Узи (пункт 58). С той же даты приказ ФСТЭК России от 27.02.2026 № 60 распространил Порядок аттестации на периодический контроль уровня защиты: непредставление отчёта о контроле приостанавливает, а затем прекращает действие аттестата соответствия. Новая редакция пункта 32 отложена до 1 марта 2027 года.
Отменён ли Приказ ФСТЭК № 21 по персональным данным: Нет. Проект приказа об отмене опубликован 24.07.2026 с заявленным вступлением в силу 1 сентября 2026 года, но на эту дату он не зарегистрирован в Минюсте и официально не опубликован. Проект нормой не является: приказ ФСТЭК России от 18.02.2013 № 21 действует, и меры защиты для ИСПДн выбираются по нему.
Что отменил Приказ ФСТЭК России № 117: С 1 марта 2026 года утратили силу Приказ ФСТЭК России от 11.02.2013 № 17 (защита информации в государственных системах), от 28.05.2019 № 106, от 27.04.2020 № 61 и от 15.02.2017 № 27. Приказ № 117 зарегистрирован в Минюсте 16.06.2025 под № 82619.
Что делать оператору персональных данных: Проверить, на какие акты ссылаются ваши документы, и когда они собраны. Для обычной ИСПДн состав документов с 1 сентября 2026 года не изменился: уровень защищённости — ПП РФ № 1119, класс СКЗИ — Приказ ФСБ № 378, угрозы — Методика ФСТЭК-2021, меры — Приказ № 21. Для государственной системы документ, выпущенный после 1 сентября, обязан называть Требования в редакции приказа № 137, а если применяются шифровальные средства — с 11 сентября 2026 года ещё и Требования приказа ФСБ России от 22.08.2026 № 321.

Материал опирается на редакцию нормативной базы от 11.09.2026 — что в неё вошло и по каким актам считает конструктор, перечислено в составе пакета. Расчёты в сервисе выводятся правилами по тексту актов: одни и те же исходные данные дают один и тот же результат.

Что дальше

Следующий вопрос, который обычно возникает: Модель угроз по методике ФСТЭК: как составить.