📌 ФСТЭК готовит замену приказу № 21 по защите персональных данных

ФСТЭК России опубликовала для общественного обсуждения проект приказа «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».

Документ может заменить приказ ФСТЭК России №21 от 18 февраля 2013 года. Общественное обсуждение продлится до 8 августа 2026 года.

Основные положения проекта:
◽️приказ № 21 продолжает действовать до вступления в силу нового приказа;
◽️ перечень защитных мер дополняется требованиями к работе с подрядчиками, использованию искусственного интеллекта, защите от DDoS-атак и взаимодействию с ГосСОПКА;
◽️ предусматриваются отдельные меры для защиты конечных устройств, устройств интернета вещей (IoT), веб-технологий, электронной почты и беспроводных сетей;
◽️ уточняются требования к разработке и применению модели угроз;
◽️ предлагается использовать показатель уровня зрелости для оценки достаточности и эффективности принятых мер;
◽️ оценку показателя операторам требуется проводить до начала обработки персональных данных, после инцидентов и далее не реже одного раза в три года.

Оператор проводит оценку самостоятельно либо привлекает юридических лиц или индивидуальных предпринимателей, имеющих лицензию на деятельность по технической защите конфиденциальной информации.

⚠️ Что это означает для организаций
Сам проект пока не создаёт новых обязанностей для операторов персональных данных. Менять документацию только на основании его публикации не требуется. При этом организации уже могут сопоставить предлагаемые меры со своей системой защиты.

💡 К чему стоит подготовиться
Необходимо определить, потребуется ли актуализация организационно-распорядительной документации и реализация новых организационных мер защиты информации. Также следует проверить модели угроз, состав защитных мер, безопасность веб-сервисов, почтовой инфраструктуры и конечных устройств, порядок взаимодействия с подрядчиками.

При модернизации систем необходимо предусмотреть бюджет на приобретение новых средств защиты информации и составить план-график их внедрения для реализации технических мер.