Камень преткновения – проект N 169583

Если посмотреть на изменения законодательства в области ИБ, в них можно увидеть определенную цикличность.

Сначала изменения касаются требований для ГИС и иных информационных систем органов государственной власти и ФОИВ. Затем тенденция затрагивает процессы обработки персональных данных. После этого регулятор обращает внимание на производственный сектор — ОПК, КИИ. ЦБ при этом стоит несколько обособленно, но учитывает опыт коллег и формирует нормативную базу уже для финансового сектора.

В 2025 году начался новый виток развития.

И если изменения, касающиеся ГИС и иных ИС ОГВ и ФОИВ, прошли достаточно спокойно, то второй шаг этого цикла уже идет со скрипом.

Речь о проекте № 169583 — проекте приказа «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».

Документ должен заменить действующий приказ ФСТЭК № 21 и расширить требования к защите персональных данных.

Сам проект размещен на Федеральном портале проектов нормативных правовых актов.

Что же пошло не так?

На определенных этапах разработки проект нормативного правового акта размещается на regulation.gov.ru и проходит предусмотренные процедуры обсуждения и экспертизы.

В общем виде цепочка выглядит так:

уведомление о подготовке проекта → разработка проекта и публичное обсуждение → независимая антикоррупционная экспертиза → доработка с учетом замечаний → дальнейший внутренний маршрут.

И именно публичное обсуждение стало здесь стоп-фактором.

Основная проблема документа в том, что он затрагивает очень широкую тему — безопасность персональных данных. И мести всех под одну гребенку здесь не стоит.

Нет явной привязки к уровням защищенности, установленным ПП РФ № 1119, что усложняет практическую реализацию мер защиты информации.

Снова возникают неоднозначные формулировки.

Например:
«При использовании в информационных системах сертифицированных по требованиям безопасности информации средств защиты информации...»

В российском инфобезе такую конструкцию легко прочитать примерно так:

«Несертифицированные СЗИ использовать можно, но сертифицированные приветствуются больше».

Ну и, конечно, остается мало конкретики в части формирования требований по ИБ для операторов персональных данных.

И в этот виток развития ИБ-комьюнити молчать не стало.

Какой здесь видим плюс?

Документ ушел на переработку. А значит, замечания профессионального сообщества как минимум услышаны.
И это, на наш взгляд, хорошая тенденция: между регулятором и отраслью появляется диалог.

Ну что, продолжаем наблюдать.

#ПрактикаИБ #ИБвзаконе #ЭкспертизаAxxtel