«Много шума — а приказ так и не утверждён: статус замены №21 на 11 сентября 2026»
В августе и начале сентября в профессиональных каналах и чатах было немало публикаций с формулировками вроде «новый приказ ФСТЭК вступил в силу» или «приказ №21 отменён». На деле инфошум заметно опередил реальность.
Что на самом деле: статус на 11 сентября 2026
Приказ ФСТЭК №21 от 18.02.2013 продолжает действовать. Проект нового приказа (ID 169583 на regulation.gov.ru) прошёл общественное обсуждение — оно завершилось 8 августа,но на сегодня не подписан и не зарегистрирован в Минюсте. А без этого документ не имеет юридической силы.
Дата 1 сентября 2026 года фигурировала в тексте проекта как планируемая дата вступления, но она прошла, а новый приказ так и не стал действующим. Проверять статус корректно только по карточке проекта на regulation.gov.ru: этап «Принятый документ» остаётся пустым.
⚠️Важное параллельное событие: методика оценки УЗИ
7 августа 2026 года ФСТЭК утвердила методику оценки уровня зрелости (УЗИ) деятельности в области технической защиты информации и обеспечения безопасности значимых объектов КИИ. Она прямо предусматривает применение и для операторов ИСПДн.
Это самостоятельный документ: он не отменяет приказ №21 и не вводит автоматически все положения проекта его замены. Но методику уже можно использовать для самооценки — чтобы заранее оценить зрелость процессов защиты и подготовиться к потенциальным изменениям.
Что предлагал проект: коротко о сути изменений
В проекте были заложены важные сдвиги в подходе к защите персональных данных:
Отказ от жёсткой таблицы мер в пользу риск‑ориентированной модели: оператор сам подбирает меры и обосновывает их достаточность под свою систему.
Показатель уровня зрелости (УЗИ): оценка перед началом обработки ПДн, далее не реже раза в три года и после каждого инцидента.
Новые технологические зоны риска: впервые отдельно прописаны требования по защите ИИ, IoT, облачных вычислений, контейнерных сред, API, мобильных устройств и удалённого доступа.
Защита от DDoS‑атак и учёт требований безопасной разработки (в т. ч. ГОСТ Р 56939–2024).
Требования к подрядчикам: оператор должен определять требуемый уровень зрелости для обработчиков и контролировать его соблюдение.
ГосСОПКА для операторов ПДн: ранее взаимодействие с ГосСОПКА требовалось только для субъектов КИИ, теперь круг расширяется.
При этом уровни защищённости СЗИ сохраняются без изменений.
Практические шаги для операторов прямо сейчас
Поскольку приказ №21 действует, работать нужно по нему. Но готовиться к возможным изменениям стоит уже сегодня — после официального вступления нового документа времени на перестройку может быть немного.
В инфографике, базовые шаги,которые нужно сделать уже сейчас💡
Важно: документы, подготовленные по приказу №21, не станут автоматически «незаконными» в день вступления нового приказа. Но при проверке регулятор будет оценивать соответствие уже новым требованиям — поэтому лучше не откладывать подготовку👍🏻
Мы продолжаем следить за развитием ситуации и будем оперативно публиковать обновления📢
🛡️🔒────────────
Защищаем данные, сохраняем доверие!
Подписывайтесь на наш канал!
Наш сайт
Наши проекты
В августе и начале сентября в профессиональных каналах и чатах было немало публикаций с формулировками вроде «новый приказ ФСТЭК вступил в силу» или «приказ №21 отменён». На деле инфошум заметно опередил реальность.
Что на самом деле: статус на 11 сентября 2026
Приказ ФСТЭК №21 от 18.02.2013 продолжает действовать. Проект нового приказа (ID 169583 на regulation.gov.ru) прошёл общественное обсуждение — оно завершилось 8 августа,но на сегодня не подписан и не зарегистрирован в Минюсте. А без этого документ не имеет юридической силы.
Дата 1 сентября 2026 года фигурировала в тексте проекта как планируемая дата вступления, но она прошла, а новый приказ так и не стал действующим. Проверять статус корректно только по карточке проекта на regulation.gov.ru: этап «Принятый документ» остаётся пустым.
⚠️Важное параллельное событие: методика оценки УЗИ
7 августа 2026 года ФСТЭК утвердила методику оценки уровня зрелости (УЗИ) деятельности в области технической защиты информации и обеспечения безопасности значимых объектов КИИ. Она прямо предусматривает применение и для операторов ИСПДн.
Это самостоятельный документ: он не отменяет приказ №21 и не вводит автоматически все положения проекта его замены. Но методику уже можно использовать для самооценки — чтобы заранее оценить зрелость процессов защиты и подготовиться к потенциальным изменениям.
Что предлагал проект: коротко о сути изменений
В проекте были заложены важные сдвиги в подходе к защите персональных данных:
Отказ от жёсткой таблицы мер в пользу риск‑ориентированной модели: оператор сам подбирает меры и обосновывает их достаточность под свою систему.
Показатель уровня зрелости (УЗИ): оценка перед началом обработки ПДн, далее не реже раза в три года и после каждого инцидента.
Новые технологические зоны риска: впервые отдельно прописаны требования по защите ИИ, IoT, облачных вычислений, контейнерных сред, API, мобильных устройств и удалённого доступа.
Защита от DDoS‑атак и учёт требований безопасной разработки (в т. ч. ГОСТ Р 56939–2024).
Требования к подрядчикам: оператор должен определять требуемый уровень зрелости для обработчиков и контролировать его соблюдение.
ГосСОПКА для операторов ПДн: ранее взаимодействие с ГосСОПКА требовалось только для субъектов КИИ, теперь круг расширяется.
При этом уровни защищённости СЗИ сохраняются без изменений.
Практические шаги для операторов прямо сейчас
Поскольку приказ №21 действует, работать нужно по нему. Но готовиться к возможным изменениям стоит уже сегодня — после официального вступления нового документа времени на перестройку может быть немного.
В инфографике, базовые шаги,которые нужно сделать уже сейчас💡
Важно: документы, подготовленные по приказу №21, не станут автоматически «незаконными» в день вступления нового приказа. Но при проверке регулятор будет оценивать соответствие уже новым требованиям — поэтому лучше не откладывать подготовку👍🏻
Мы продолжаем следить за развитием ситуации и будем оперативно публиковать обновления📢
🛡️🔒────────────
Защищаем данные, сохраняем доверие!
Подписывайтесь на наш канал!
Наш сайт
Наши проекты