Защита данных 2.0: как ФСТЭК меняет правила игры для компаний

ФСТЭК готовит замену устаревшему приказу №21, по которому бизнес жил более 10 лет. Ожидаемое вступление в силу новых правил — 1 сентября 2026 года. Главный сдвиг: регулятор переходит от формального наличия документов к реальному контролю жизненного цикла данных и вводит оценку «уровня зрелости» защиты.

Ключевые изменения:

1. Оценка зрелости защиты: Вводится обязательный показатель эффективности мер. Проверка требуется до начала обработки ПДн, далее — не реже раза в 3 года и после любого киберинцидента.
2. Фокус на новых технологиях: Впервые детально прописаны требования к безопасности при использовании искусственного интеллекта, облачных сервисов, IoT и API.
3. Жесткий контроль подрядчиков: Компания-оператор обязана проверять и гарантировать уровень защиты у внешних обработчиков (SaaS-платформы, ЦОД, кадровые сервисы). Простой фразы в договоре о «соблюдении законодательства» больше недостаточно.

Почему ужесточаются правила: Старый подход поощрял создание шаблонных документов, не отражающих реальные ИТ-процессы. На фоне ежегодной компрометации сотен миллионов записей россиян, регулятор создает четкий и детальный эталон, по которому легко выявить формальные и фактические нарушения.

Риски для бизнеса: Сам приказ новых штрафов не вводит, но делает существующие нарушения очевидными для проверяющих. Главная угроза — предписание о приостановке обработки данных до устранения недочетов, что может парализовать операционную деятельность. Кроме того, кибербезопасность окончательно становится статьей постоянных операционных расходов (непрерывный мониторинг, регулярные аудиты, обучение), а не разовой закупкой средств защиты.

Что делать бизнесу уже сейчас:

• Провести аудит текущих ИБ-процессов и устранить разрывы с новыми требованиями.
• Инициировать пересмотр договоров с вендорами и обработчиками данных, добавив требования по подтверждению уровня их защиты.
• Актуализировать бюджет ИБ, заложив средства на регулярную оценку зрелости и контроль жизненного цикла данных.

Резюме: Новый приказ ФСТЭК сдвигает фокус с формального соблюдения требований на реальное управление киберрисками. Компании, которые используют это как импульс для модернизации ИБ-процессов, получат не только соответствие регуляторным нормам, но и устойчивость к современным угрозам.


👉🏻 Подробнее: ссылка на источник