Аттестат получен — работа не закончена: что меняет приказ ФСТЭК № 60 с 1 сентября 2026 года

Аттестация перестаёт быть разовой процедурой: теперь это часть эксплуатации объекта

С 1 сентября 2026 года вступает в силу приказ ФСТЭК России от 27.02.2026 № 60, который меняет порядок аттестации объектов информатизации, утверждённый приказом № 77 от 29.04.2021 [1]. Главное: аттестат по-прежнему выдаётся на весь срок эксплуатации объекта, но теперь владелец обязан не реже раза в три года подтверждать состояние защищённости отчётом или протоколом, а для части государственных информационных систем — ещё и проводить тестирование на проникновение [2]. Если отчёт не поступит в срок, действие аттестата могут приостановить, а затем и прекратить [2].

Дальше — подробно о том, кого это касается, что считать изменением объекта, что должно быть в техническом паспорте и как выстроить периодический контроль так, чтобы не потерять аттестат.

В чём проблема и кому полезна статья

Получить аттестат соответствия — задача с понятным результатом: комиссия провела испытания, оформила протоколы, выдала документ. А дальше система живёт своей жизнью: обновляется ПО, меняются сотрудники, добавляются серверы, подключаются подрядчики. Аттестат при этом продолжает действовать формально, но фактическое состояние объекта постепенно расходится с тем, что было описано в документах на момент испытаний.

Приказ № 60 закрывает именно этот разрыв: он не столько меняет саму процедуру аттестации, сколько прямо и подробно описывает, что должно происходить с объектом после получения аттестата [3]. Статья написана для тех, кто отвечает за информационную безопасность в организациях с аттестованными ГИС, ИСПДн, АСУ ТП или защищаемыми помещениями: ИБ-специалистов, ИТ-руководителей, ответственных за защиту информации в госорганах и на предприятиях ОПК.

Что такое объект информатизации и на кого распространяется приказ

Объект информатизации (ОИ) — это не только информационная система сама по себе. По определению, закреплённому в ГОСТ Р 53114-2008, это совокупность информационных ресурсов, средств и систем обработки информации, а также средств их обеспечения и помещений или зданий, в которых эти средства установлены, либо помещений, предназначенных для ведения конфиденциальных переговоров [4]. То есть в область аттестации входят не только серверы и рабочие места, но и помещения, инженерные системы, средства защиты и организационные меры.

Приказ № 77 в обновлённой редакции распространяется на:

• государственные и муниципальные информационные системы, включая государственные и муниципальные ИСПДн;
• информационные системы управления производством организаций оборонно-промышленного комплекса, в том числе автоматизированные системы станков с ЧПУ, если они входят в такие производственные системы;
• помещения для ведения конфиденциальных переговоров [3].

Кроме того, приказ № 60 расширяет обязательный периметр: теперь под порядок прямо подпадают информационные системы государственных органов, государственных унитарных предприятий и государственных учреждений — то есть не только классические ГИС, а более широкий круг систем госсектора [5]. Эта поправка синхронизирует приказ № 77 с приказом ФСТЭК № 117 от 11.04.2025, который ранее уже определил указанные категории систем как объект регулирования [5].

Отдельно порядок применяется и там, где аттестация не обязательна по закону, но владелец сам закрепил её как способ подтверждения защищённости — это касается значимых объектов КИИ, ИСПДн вне госсектора и АСУ ТП на опасных производственных объектах [3].

Практический вывод. Прежде чем что-либо пересматривать, нужно определить статус каждого ОИ: кому он принадлежит, какое у него назначение, класс защищённости или категория значимости, какая информация обрабатывается и что по этому поводу решил сам владелец [3].

Кому нужно пересмотреть область аттестации

Пересмотреть границы аттестации стоит в трёх случаях.

Во-первых, если организация относится к госсектору и раньше не подпадала под приказ № 77 напрямую — например, это государственное учреждение или ГУП с информационной системой, которая формально не является ГИС. Расширение периметра по приказу № 60 означает, что такие системы теперь тоже нужно оценивать на предмет обязательности аттестации.

Во-вторых, если объект информатизации создаётся или уже эксплуатируется на базе инфраструктуры, которая сама подлежит отдельной оценке, — например, центра обработки данных или облачной платформы. Теперь явно закреплено требование: такая инфраструктура должна быть аттестована по классу защищённости не ниже класса защищённости самого объекта, который на ней размещается [5]. Если организация размещает систему в чужом ЦОД или облаке, нужно проверить класс защищённости этой площадки.

В-третьих, если организация планирует расширять аттестованный контур новыми однотипными сегментами — например, добавлять типовые рабочие места или филиалы с идентичным составом ПО и средств защиты. Приказ № 60 возвращает механизм, при котором такой сегмент можно включить в контур по программе и методикам испытаний без полной повторной аттестации всего объекта [5].

Что считается изменением объекта информатизации

Любое вмешательство в состав, конфигурацию или архитектуру объекта потенциально требует реакции — но не любое изменение равнозначно. Ещё в исходной редакции приказа № 77 к изменениям, требующим дополнительных испытаний, относили: изменение конфигурации программных, программно-технических средств и средств защиты информации; исключение таких средств; включение дополнительных аналогичных средств или замену на аналогичные [6].

Приказ № 60 сохраняет эту логику и добавляет уточнение по частому практическому вопросу — переезду объекта. Теперь при изменении места размещения достаточно дополнительных испытаний, если применяются аналогичные программные, технические средства и средства защиты — то есть переезд сам по себе, без замены компонентов на принципиально другие, не требует новой полной аттестации [5].

Граница, за которой нужна не дополнительная, а полная повторная аттестация, тоже определена чётко: это ситуация, когда модернизация приводит к повышению класса защищённости, уровня защищённости или категории значимости объекта, либо меняет архитектуру системы защиты в части видов и типов применяемых средств, структуры системы защиты, состава и мест расположения компонентов [6].

Когда модернизация требует дополнительных испытаний

Практическое правило такое: аттестат не прекращает действовать автоматически из-за того, что объект доработали или обновили [3]. Но если менялась архитектура или структура системы защиты, состав компонентов или применяемые средства защиты информации, нужно провести дополнительные аттестационные испытания, а сведения об изменениях и результатах — внести в технический паспорт [3].

Для дополнительных испытаний приказ фиксирует ровно два метода: функциональное тестирование и анализ уязвимостей [3]. По их итогам оформляется отчёт или протокол, в котором фиксируются сведения об объекте, классе защищённости или категории значимости, экспертах, сроках работ, аттестате и результатах тестирования [3].

Для дополнительных испытаний теперь также чётко определён состав аттестационной комиссии — как и для первичных испытаний, в неё входят руководитель и не менее двух экспертов с необходимыми компетенциями [2], и эти же требования к составу распространены на периодический контроль уже аттестованного объекта [5].

Как учитывать новые серверы, рабочие места, помещения и сетевое оборудование

С точки зрения приказа № 60 любое физическое или логическое изменение состава объекта — это потенциальный триггер для отражения в документации, а иногда и для испытаний. На практике это выглядит так:

• Новые серверы и рабочие места. Если добавляется оборудование того же класса и с той же системой защиты, что уже аттестована, — это, как правило, укладывается в логику дополнительных испытаний или, при полном совпадении состава, в механизм включения типового сегмента. Если добавляется оборудование другого класса или с иным составом средств защиты — велика вероятность, что потребуется пересмотр класса защищённости и, соответственно, повторная аттестация.
• Новые помещения. Для защищаемых помещений действует та же логика изменения места размещения: при аналогичном составе технических средств и средств защиты — дополнительные испытания, а не полная переаттестация.
• Сетевое оборудование и подключения. Появление нового подключения к интернету, к другой информационной системе или к системе подрядной организации — критически важный момент: именно наличие такого взаимодействия у ГИС и иных систем 1 и 2 классов защищённости определяет обязательность тестирования на проникновение (подробнее — в следующем разделе).

Во всех случаях изменения должны быть отражены в техническом паспорте объекта, а не существовать только «по факту» в переписке или памяти системного администратора.

Что должно попадать в технический паспорт

Технический паспорт — центральный документ, который фиксирует официальное состояние объекта. Он входит в пакет документов, которые владелец объекта передаёт в орган по аттестации при первичных испытаниях, наряду с актом классификации, моделью угроз, техническим заданием, проектной и эксплуатационной документацией на систему защиты, организационно-распорядительными документами и результатами анализа уязвимостей [6]. Копия технического паспорта также направляется в ФСТЭК вместе с аттестатом и другими материалами после завершения аттестации [6].

После приказа № 60 роль технического паспорта не меняется, а усиливается: в него нужно вносить и результаты первичной аттестации, и сведения об изменениях при модернизации, и результаты периодического контроля [3]. По сути, технический паспорт должен превратиться в живой документ, который на любой момент времени отражает актуальный состав программных и технических средств, средства защиты, историю изменений и результаты всех проведённых проверок.

Практический список того, что должно быть в паспорте актуальным:

1. состав программных и технических средств объекта;
2. применяемые средства защиты информации и их настройки;
3. класс защищённости, уровень защищённости или категория значимости;
4. сведения о модернизациях с датами и результатами дополнительных испытаний;
5. результаты периодического контроля уровня защищённости;
6. данные аттестата соответствия и сведения о его статусе.

Как организовать периодический контроль

До приказа № 60 периодический контроль уже существовал: результаты оформлялись протоколами, включались в технический паспорт и направлялись в ФСТЭК не реже раза в два года [3]. Приказ № 60 меняет формулировку на «контроль уровня защищённости информации», сдвигает периодичность направления материалов до одного раза в три года, но требует представлять их в течение 5 рабочих дней после завершения контроля [3].

Увеличение срока с двух до трёх лет не стоит воспринимать как послабление: содержание контроля становится глубже, потому что приказ прямо закрепляет два обязательных метода — анализ уязвимостей и тестирование на проникновение [3].

Владелец объекта обязан:

1. соблюдать требования по защите информации при эксплуатации;
2. проводить периодический контроль уровня защищённости;
3. оформлять результаты отчётом или протоколом;
4. включать материалы контроля в технический паспорт;
5. направлять отчёт или протокол регулятору [3].

Контроль можно проводить своими силами либо привлекать сторонний лицензиат ФСТЭК с правом выполнения соответствующих работ по технической защите конфиденциальной информации [3]. Приказ № 60 явно закрепляет эту возможность как отдельное право владельца, а не просто допустимую практику [5].

В ходе контроля обычно проверяют состав программных и технических средств, настройки средств защиты, наличие уязвимостей, права пользователей и администраторов, удалённый доступ, взаимодействие с внешними системами и соответствие фактических настроек техническому паспорту и внутренним документам [3].

Когда нужен анализ уязвимостей или тестирование на проникновение

Приказ № 60 закрепляет три обязательных вида технических проверок: функциональное тестирование, автоматизированное и (или) ручное выявление уязвимостей и тестирование на проникновение [5]. Выявление уязвимостей и тестирование на проникновение должны проводиться по методическим документам, утверждённым ФСТЭК России [5].

Анализ уязвимостей и пентест — разные по глубине проверки. Анализ уязвимостей отвечает на вопрос, какие слабые места есть в системе; пентест идёт дальше и проверяет, может ли нарушитель через эти слабые места реально получить доступ, повлиять на работу системы или повысить свои привилегии [3]. Формальный запуск автоматического сканера пентестом не является — нужны согласованные границы проверки, методика, перечень допустимых действий и понятное описание рисков [3].

Тестирование на проникновение обязательно не для всех аттестованных объектов, а для конкретной категории: государственных информационных систем и иных информационных систем государственных органов, ГУПов и учреждений 1 и 2 классов защищённости, если при этом система имеет подключение к интернету и (или) взаимодействует с другими информационными системами, включая системы подрядных организаций [2]. Исключение сделано для случаев, когда взаимодействие организовано через сеть шифрованной связи или виртуальные частные сети с использованием сертифицированных криптографических средств защиты — тогда вопрос нужно разбирать отдельно, по архитектуре конкретной системы [2].

Практический алгоритм проверки: определить, кто владеет системой, какой у неё класс защищённости и есть ли у неё подключение к интернету, взаимодействие с внешними системами или системами подрядчиков [3].

Какие доказательства выполнения контроля сохранять

Регулятор оценивает не намерение проводить контроль, а документально подтверждённый факт его проведения. Поэтому имеет смысл системно сохранять:

• отчёт или протокол по итогам периодического контроля с указанием наименования объекта, класса защищённости, данных экспертов, сроков и результатов анализа уязвимостей и тестирования на проникновение [2];
• отчёты и протоколы по дополнительным аттестационным испытаниям при модернизации, с описанием изменений и их влияния на систему защиты;
• подтверждение направления отчёта в ФСТЭК или территориальный орган в установленный срок — оно защищает организацию в случае вопросов о своевременности;
• переписку и акты о фактическом составе оборудования и ПО на момент проверки — это то, что впоследствии подтверждает соответствие фактической инфраструктуры техническому паспорту;
• документы о лицензии подрядчика, если контроль проводился с привлечением стороннего лицензиата.

Отсутствие такого отчёта — самостоятельное и прямое основание для приостановления действия аттестата [2], а при неустранении нарушений в установленный срок — и для прекращения его действия [2]. Возобновить действие аттестата можно, устранив нарушения или представив отчёт по итогам контроля [3].

Что закрепить в договоре с лицензиатом ФСТЭК

Если периодический контроль или дополнительные испытания выполняет внешняя организация, важно, чтобы у неё была действующая лицензия ФСТЭК именно на нужный вид работ по технической защите конфиденциальной информации — лицензируемые виды работ не подлежат «частичному» оказанию, лицензия выдаётся на определённый перечень работ и услуг [7]. Проверить наличие и объём лицензии можно по реестру лицензий на деятельность по технической защите конфиденциальной информации, который ведёт ФСТЭК России.

В договор имеет смысл закладывать:

• точный перечень работ (анализ уязвимостей, тестирование на проникновение, функциональное тестирование, оформление отчётов) со ссылкой на конкретные пункты обновлённого порядка;
• сроки выполнения работ с запасом до истечения трёхлетнего периода, чтобы уложиться и в само тестирование, и в подготовку отчёта, и в пятидневный срок на его направление в ФСТЭК;
• порядок передачи результатов заказчику и формат материалов для внесения в технический паспорт;
• условия о неразглашении информации об архитектуре системы защиты и найденных уязвимостях;
• ответственность подрядчика за срыв сроков — с учётом того, что для владельца объекта задержка означает риск приостановления аттестата;
• порядок действий при обнаружении критических уязвимостей в ходе анализа или пентеста — кто и в какие сроки принимает решение об устранении.

Ответственность оператора или владельца объекта при этом не переходит к подрядчику полностью: даже если работы выполняет внешняя организация, отвечать перед регулятором за своевременность и полноту материалов продолжает владелец объекта — эта логика уже устоялась в практике аутсорсинга задач по защите информации [8].

Как не допустить расхождения между реальной и аттестованной системой

Главный риск, который закрывает приказ № 60, — это разрыв между тем, что написано в документах, и тем, что реально работает в инфраструктуре. Он возникает не из-за злого умысла, а из-за естественного хода эксплуатации: появляются новые пользователи, обновляется ПО, меняются сетевые настройки, подключаются подрядчики, добавляются средства защиты, меняется состав оборудования [3].

Практический план, который снижает этот риск:

1. составить перечень объектов, к которым применяется приказ № 77 в редакции приказа № 60;
2. проверить наличие и актуальность аттестатов и технических паспортов;
3. уточнить классы защищённости, уровни защищённости и категории значимости;
4. проверить подключения к интернету и взаимодействие с внешними системами и системами подрядчиков;
5. определить, требуется ли тестирование на проникновение;
6. запланировать анализ уязвимостей и периодический контроль уровня защищённости с учётом трёхлетнего цикла;
7. выбрать исполнителя работ и проверить наличие у него нужной лицензии ФСТЭК;
8. закрепить порядок оформления и направления отчётов или протоколов в регулятор [3].

Отдельная практическая рекомендация — не откладывать подготовку к контролю на последний момент: если проверку оставить «на потом», у организации может не остаться времени на устранение найденных уязвимостей, подготовку материалов и их своевременную отправку в ФСТЭК [3].

Вывод

Приказ ФСТЭК № 60 не меняет саму суть аттестации — он делает явным то, что раньше существовало в общей форме: объект нужно поддерживать в защищённом состоянии на протяжении всего срока эксплуатации, а не только на момент испытаний. Аттестат по-прежнему выдаётся на весь срок эксплуатации, но платой за это становится регулярная, документально подтверждённая проверка — раз в три года как минимум, а для части государственных систем ещё и с обязательным тестированием на проникновение. Для организаций, которые уже прошли аттестацию или планируют её проходить, разумная стратегия — заранее встроить периодический контроль, актуализацию технического паспорта и работу с лицензиатами в обычный годовой цикл эксплуатации, а не воспринимать их как разовое мероприятие «для галочки».

Источники

[1] consultant.ru — Приказ ФСТЭК России от 27.02.2026 N 60 "О внесении изменений в Порядок организации и проведения работ по аттестации объектов информатизации..." — https://www.consultant.ru/document/cons_doc_LAW_537777/2ff7a8c72de3994f30496a0ccbb1ddafdaddf518/

[2] fstec.infobezopasnost.ru — ФСТЭК обновила порядок аттестации: обязательный пентест для ГИС и периодический контроль защищённости — https://fstec.infobezopasnost.ru/stati/fstek-obnovila-poryadok-attestacii-obyazatelnyj-pentest-dlya-gis-i-periodicheskij-kontrol-zashhishhjonnosti/

[3] uibcom.ru — Приказ ФСТЭК № 60: изменения в приказ № 77 с 1 сентября 2026 года — https://uibcom.ru/articles/prikaz-fstek-60-izmeneniya-v-prikaz-77-s-1-sentyabrya-2026-goda/

[4] academic.ru — Объект информатизации (терминология ГОСТ Р 53114-2008) — https://normative_reference_dictionary.academic.ru/43709/

[5] in4security.com — Изменения в приказе ФСТЭК России № 77. Новые правила аттестации 2026 — https://in4security.com/news/izmenenia-v-prikaze-fstec-77

[6] attestation.ru — Обзор приказа ФСТЭК России от 29.04.2021 г. № 77 — https://attestation.ru/article/530/

[7] consultant.ru — Положение о лицензировании деятельности по технической защите конфиденциальной информации — https://www.consultant.ru/document/cons_doc_LAW_125798/ccb790cdd8f7b463193a94574f58e9df62d94699/

[8] kontur.ru — Аутсорсинг защиты персональных данных в 2026 году: как соблюдать 152-ФЗ без штатного специалиста — https://kontur.ru/aegis/blog/86476-autsorsing_zashchity_personalnyh_dannyh