Квартальный отчёт о нормативном регулировании в сфере ИБ в IV квартале 2025 года

Квартальный отчёт о нормативном регулировании в сфере ИБ в IV квартале 2025 года

Критическая информационная инфраструктура (КИИ)

23.10.2025 было опубликовано постановление Правительства Российской Федерации от 07.11.2025 №1762 «О внесении изменений в некоторые акты Правительства Российской Федерации». Меняются Правила категорирования объектов КИИ и Перечень показателей критериев значимости объектов КИИ и их значений. Объекты КИИ решено категорировать с учётом отраслевых особенностей. Исходными данными для категорирования послужат в том числе перечни типовых отраслевых объектов КИИ и иные данные, определённые отраслевыми особенностями.

18–19.11.2025 были опубликованы проекты ведомственных актов ФСБ России:

• Об утверждении «Порядка информирования ФСБ России о компьютерных атаках и компьютерных инцидентах, реагирования на них, принятия мер по ликвидации последствий компьютерных атак, проведённых в отношении значимых объектов критической информационной инфраструктуры Российской Федерации и иных информационных ресурсов Российской Федерации, принадлежащих органам и организациям, на которые возложены обязанности, предусмотренные частью 4 статьи 9 Федерального закона от 26.07.2017 №187-ФЗ "О безопасности критической информационной инфраструктуры Российской Федерации"»;
• Об утверждении «Порядка обмена информацией о компьютерных атаках и компьютерных инцидентах между субъектами критической информационной инфраструктуры Российской Федерации, между субъектами критической информационной инфраструктуры Российской Федерации и уполномоченными органами иностранных государств, международными, международными неправительственными организациями и иностранными организациями, осуществляющими деятельность в области реагирования на компьютерные инциденты»;
• Об утверждении «Порядка получения субъектами критической информационной инфраструктуры Российской Федерации информации о средствах и способах проведения компьютерных атак и о методах их предупреждения и обнаружения»;
• Об утверждении «Порядка осуществления непрерывного взаимодействия субъектов критической информационной инфраструктуры Российской Федерации, которым на праве собственности, аренды или ином законном основании принадлежат значимые объекты критической информационной инфраструктуры Российской Федерации, а также руководителей органов и организаций, на которых возложены обязанности, предусмотренные частью 4 статьи 9 Федерального закона от 26.07.2017 №187-ФЗ "О безопасности критической информационной инфраструктуры Российской Федерации", с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации».

25.12.2025 ФСТЭК России утвердил Приказ от 25.12.2025 №548 «Об утверждении Порядка осуществления непрерывного взаимодействия субъектов критической информационной инфраструктуры Российской Федерации, которым на праве собственности, аренды или ином законном основании принадлежат значимые объекты критической информационной инфраструктуры Российской Федерации, а также руководителей органов и организаций, на которых возложены обязанности, предусмотренные частью 4 статьи 9 Федерального закона от 26.07.2017 № 187-ФЗ "О безопасности критической информационной инфраструктуры Российской Федерации", с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации».

Также 25.12.2025 ФСТЭК России утвердил Приказ от 25.12.2025 №547 «Об утверждении Порядка информирования ФСБ России о компьютерных атаках и компьютерных инцидентах, реагирования на них, принятия мер по ликвидации последствий компьютерных атак, проведённых в отношении значимых объектов критической информационной инфраструктуры Российской Федерации и иных информационных ресурсов Российской Федерации, принадлежащих органам и организациям, на которые возложены обязанности, предусмотренные частью 4 статьи 9 Федерального закона от 26.07.2017 №187-ФЗ "О безопасности критической информационной инфраструктуры Российской Федерации"».

25.12.2025 ФСТЭК России утвердил также Приказ от 25.12.2025 №546 «Об утверждении Порядка обмена информацией о компьютерных атаках и компьютерных инцидентах между субъектами критической информационной инфраструктуры Российской Федерации, между субъектами критической информационной инфраструктуры Российской Федерации и уполномоченными органами иностранных государств, международными, международными неправительственными организациями и иностранными организациями, осуществляющими деятельность в области реагирования на компьютерные инциденты».

25.12.2025 ФСБ России опубликовала приказ от 24.12.2025 №540 «О внесении изменений в Положение о Национальном координационном центре по компьютерным инцидентам, утверждённое приказом ФСБ России от 24.07.2018 №366». Приказ устанавливает обновлённые правила взаимодействия, информирования и реагирования на киберинциденты для субъектов КИИ, в том числе:

• уточняет, что задачей НКЦКИ является обеспечение координации деятельности не только субъектов КИИ, но и аккредитованных центров ГосСОПКА, а также органов и организаций по вопросам обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты;
• определяет форматы представления информации о компьютерных атаках и компьютерных инцидентах в ГосСОПКА;
• определяет состав технических параметров компьютерной атаки и компьютерного инцидента, указываемых при представлении информации в ГосСОПКА.

Приказ вступает в силу с 30.01.2026.

26.12.2025 ФСБ России опубликован приказ от 23.12.2025 № 539 «Об утверждении Порядка получения субъектами критической информационной инфраструктуры Российской Федерации информации о средствах и способах проведения компьютерных атак и о методах их предупреждения и обнаружения».

Президент и Правительство Российской Федерации

09.10.2025 был опубликован проект постановления Правительства Российской Федерации «О государственной информационной системе противодействия правонарушениям, совершаемым с использованием информационных и коммуникационных технологий».

23.10.2025 было опубликовано распоряжение Президента Российской Федерации от 23.10.2025 №409-рп «О подписании Конвенции Организации Объединённых Наций против киберпреступности; укрепление международного сотрудничества в борьбе с определёнными преступлениями, совершаемыми с использованием информационно-коммуникационных систем, и в обмене доказательствами в электронной форме, относящимися к серьёзным преступлениям».

05.11.2025 опубликован указ Президента Российской Федерации от 05.11.2025 №815 «О внесении изменений в состав Межведомственной комиссии Совета Безопасности Российской Федерации по информационной безопасности по должностям, утверждённый Указом Президента Российской Федерации от 10.11.2018 №648».

18.11.2025 в Государственную думу Российской Федерации был внесён Законопроект №1071966–8 «О внесении изменений в статью 274 Уголовного кодекса Российской Федерации». Предлагаемые изменения предусматривают уточнение объективной стороны состава преступления в части корректировки определения общественно опасных последствий, а также внесение примечания, устанавливающего основания освобождения от уголовной ответственности в случае совершения преступления, предусмотренного частью третьей статьи 274 УК РФ.

29.11.2025 опубликовано постановление Правительства Российской Федерации от 28.11.2025 №1931 «Об утверждении Правил формирования и ведения перечня доверенных российских программ для электронных вычислительных машин и баз данных».

29.12.2025 были опубликованы Федеральный закон от 29.12.2025 №568-ФЗ «О внесении изменений в Федеральный закон "Об информации, информационных технологиях и о защите информации" и Федеральный закон от 29.12.2025 №569-ФЗ "О внесении изменений в Федеральный закон «Об информации, информационных технологиях и о защите информации» и отдельные законодательные акты Российской Федерации"». Первый закон вступает в силу с 01.09.2026 и касается правового регулирования функционирования государственных информационных систем, второй — вводит возможность проверки возраста с помощью многофункционального сервиса обмена информацией (мессенджера MAX), внесудебный механизм ограничения доступа в интернете к информации, содержащей предложения о розничной онлайн-продаже табачной и никотиносодержащей продукции, а также иной продукции, розничная онлайн-продажа которых ограничена или запрещена законодательством (с 01.03.2026), а также изменения в порядке регистрации доменных имён. С 01.09.2026 регистрацию доменных имён будут осуществлять российские юридические лица, включённые в перечни регистраторов доменных имён, за исключением отдельных случаев. Регистрация доменных имён будет проводиться только после прохождения лицом, на которое регистрируется доменное имя, идентификации посредством ЕСИА.

Минцифры России

07.11.2025 опубликован приказ Минцифры России от 28.10.2025 №982 «Об утверждении перечня нормативных правовых актов, содержащих обязательные требования, применение которых подлежит оценке в 2026 году, в сфере отношений, связанных с обработкой персональных данных».

03.12.2025 был опубликован приказ Минцифры России от 02.12.2025 №1106 «Об утверждении Требований к обеспечению информационной безопасности в рамках предоставления облачных услуг посредством государственной единой облачной платформы».

19.12.2025 Минцифры России опубликован приказ от 16.12.2025 №1174 «Об утверждении Требований к сетям и средствам связи собственников или иных владельцев технологических сетей связи, имеющих уникальный идентификатор совокупности средств связи и иных технических средств в информационно-телекоммуникационной сети "Интернет", для обеспечения безопасности Российской Федерации по направлению деятельности федеральной службы безопасности».

ФСБ России

18–19.11.2025 были опубликованы проекты ведомственных актов ФСБ России:

• О внесении изменений в «Положение о Национальном координационном центре по компьютерным инцидентам», утверждённое приказом ФСБ России от 24.07.2018 №366;
• Об утверждении «Порядка получения субъектами критической информационной инфраструктуры Российской Федерации информации о средствах и способах проведения компьютерных атак и о методах их предупреждения и обнаружения»;
• Об утверждении «Порядка аккредитации центров государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации» и «Требований к центрам государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, а также к аккредитованным центрам».

28.11.2025 опубликован проект ведомственного акта «Об установлении требований к средствам, предназначенным для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты, в том числе к средствам, предназначенным для поиска признаков компьютерных атак».

ФСТЭК России

27.10.2025 опубликовано информационное сообщение ФСТЭК России от 09.10.2025 №240/24/5405 «О внесении изменений в Порядок проведения сертификации процессов безопасной разработки программного обеспечения средств защиты информации, утверждённый приказом ФСТЭК России от 01.12.2023 №240». При сертификации процессов безопасной разработки программного обеспечения средств защиты информации теперь следует руководствоваться требованиями ГОСТ Р 56939–2024 «Защита информации. Разработка безопасного программного обеспечения. Общие требования».

29.10.2025 было опубликовано информационное сообщение ФСТЭК России от 16.10.2025 №240/24/5531 «О внесении изменений в приказ ФСТЭК России от 02.06.2020 №76 "Об утверждении Требований по безопасности информации, устанавливающих уровни доверия к средствам технической защиты информации и средствам обеспечения безопасности информационных технологий"». Исключена необходимость наличия сведений об аппаратных платформах средств защиты информации и их компонентах в едином реестре радиоэлектронной продукции.

29.10.2025 также опубликовано информационное сообщение ФСТЭК России от 22.10.2025 №240/84/3451 «О порядке представления субъектами критической информационной инфраструктуры сведений о результатах присвоения объектам критической информационной инфраструктуры одной из категорий значимости либо об отсутствии необходимости присвоения ему одной из таких категорий». Изменилась типовая форма предоставления сведений о результатах присвоения объекту КИИ категории значимости либо об отсутствии необходимости присвоения ему одной из таких категорий.

28.11.2025 ФСТЭК России опубликовал «Рекомендации по базовой настройке механизмов безопасности почтовых сервисов от атак, связанных с подменой отправителя (спуфинг-атак)».

05.12.2025 ФСТЭК России были опубликованы «Рекомендации по настройке механизмов безопасности почтового сервера, созданного с использованием программного обеспечения с открытым исходным кодом Exim, от атак, связанных с подменой отправителя (спуфинг-атак)».

10.12.2025 ФСТЭК России опубликованы «Рекомендации по настройке механизмов безопасности почтового сервера, созданного с использованием программного обеспечения с открытым исходным кодом Postfix, от атак, связанных с подменой отправителя (спуфинг-атак)».

12.12.2025 ФСТЭК России опубликовал документ от 25.11.2025 «Методика анализа защищённости информационных систем».

16.12.2025 ФСТЭК России опубликовал проект национального стандарта ГОСТ Р «Защита информации. Защита информации от неправомерной передачи или распространения из информационных и автоматизированных систем. Общие положения». Проект направлен на противодействие утечке информации из программной среды информационных систем в результате действий пользователей, имеющих права доступа к защищаемой информации в этих системах, в том числе с применением специальных технических средств защиты от утечки (DLP-систем).

19.12.2025 ФСТЭК России опубликовал рекомендации по настройке механизмов безопасности почтового сервера Microsoft Exchange Server от атак, связанных с подменой отправителя (спуфинг-атак).

25.12.2025 ФСТЭК России опубликовал рекомендации по базовой настройке регистрации событий безопасности.

Центральный Банк Российской Федерации

13.11.2025 Банк России опубликовал обзор отчётности об инцидентах информационной безопасности при переводе денежных средств за III квартал 2025 года.

13.11.2025 также был опубликован Приказ Банка России от 05.11.2025 №ОД‑2506 «Об установлении признаков осуществления перевода денежных средств без добровольного согласия клиента и отмене приказа Банка России от 27.06.2024 №ОД‑1027». С 01.01.2026 Банк России вводит учёт новых признаков перевода денежных средств без добровольного согласия клиента (или с согласия, полученного путём обмана или злоупотребления доверием). Признаки мошеннических переводов будут учитываться и при операциях с цифровым рублём.

24.11.2025 Банк России опубликовал проект Указания «О внесении изменений в Положение Банка России от 25.07.2022 №802-П». Предлагается ввести следующие дополнительные требования по защите информации для участников платёжной системы об осуществлении деятельности по планированию, реализации, контролю и совершенствованию мер и мероприятий, направленных на реализацию требований, применяемых в отношении технологии обработки защищаемой информации, и к расчёту значений показателей оценки выполнения требований к мерам защиты информации в отношении технологии безопасной обработки защищаемой информации. Также предполагается предусмотреть возможность использования автоматизированного рабочего места обмена или собственных объектов информационной инфраструктуры (по решению участника обмена) для организации обмена с платёжной системой Банка России.

29.12.2025 Банком России опубликовано информационное письмо от 26.12.2025 №ИН‑017–56/118. Техническим комитетом по стандартизации №122 «Стандарты финансовых операций» одобрена новая редакция методического документа «Профиль защиты прикладного программного обеспечения автоматизированных систем и приложений кредитных организаций и некредитных финансовых организаций». Документ обновлён, в том числе с учётом практики применения «ГОСТ Р 56939–2024. Национальный стандарт Российской Федерации. Защита информации. Разработка безопасного программного обеспечения. Общие требования».

Отраслевые документы

26.12.2025 утверждён ГОСТ Р 72484–2025 «Системы искусственного интеллекта в здравоохранении. Термины и определения. Классификация». Стандарт вступает в силу с 01.02.2026.

30.12.2025 были утверждены ГОСТ Р 72498–2025 «Системная инженерия. Системный анализ интероперабельности. Определение существенных угроз и условий» (вступает в силу с 01.02.2026) и ПНСТ 1041–2025 «Системы киберфизические. Умный дом. Требования к интерфейсам подключения оконечных устройств умного дома и их защита от сетевых атак» (действует с 30.06.2026 до 30.06.2029).