Приказ ФСТЭК № 117: что изменится в защите госсистем с 1 марта 2026 года

11 апреля 2025 года увидел свет новый Приказ ФСТЭК России № 117, который кардинально меняет привычные подходы к защите информации ограниченного доступа в государственных структурах.

С 1 марта 2026 года он заменит собой действующий уже более 10 лет Приказ № 17. Это не просто обновление — это смена парадигмы, которая потребует от ИБ-специалистов госсектора пересмотреть свои подходы к построению систем защиты.
В этой статье мы разберем ключевые нововведения приказа и расскажем, на что стоит обратить внимание уже сейчас, чтобы подготовиться к изменениям.

Сфера действия расширяется: под ударом все системы госорганов
Первое и самое важное изменение — приказ распространяется не только на государственные информационные системы (ГИС), но и на любые другие информационные системы государственных органов, учреждений и унитарных предприятий.

Под действие новых требований теперь попадают:

• Системы внутреннего электронного документооборота (ЭДО);
• Кадровые системы;
• Бухгалтерские и учетные системы;
• И другие ИС, обрабатывающие информацию ограниченного доступа.

Важный нюанс: Такая система не станет автоматически ГИС — от нее не потребуется обязательная аттестация и согласование модели угроз. Но защищать ее придется по новым, более строгим правилам.

Один из главных шоков для специалистов — в приказе № 117 отсутствует привычное деление на классы защищенности и нет базового набора мер защиты.

• Нет этапов жизненного цикла ИС;
• Нет таблицы с мерами для каждого класса;
• Нет самого понятия «базовый набор мер».

Возникает резонный вопрос: как же работать? Ответ есть: ФСТЭК России готовит методические документы, которые должны восполнить эти «пробелы» и детализировать требования с учетом классов защищенности. Пока же можно ориентироваться на ГОСТ 51583-2014 по жизненному циклу.

Ключевое изменение философии документа — переход от абстрактных «мер» к конкретным «мероприятиям». От организаций теперь требуется не просто «иметь средство защиты», а реализовывать четкий перечень действий.
Это позволяет уже сейчас начать подготовку:

1. Рассмотреть внедрение EDR-решений для защиты конечных устройств.
2. Проанализировать системы безопасного удаленного доступа к своим ИС.
3. Пересмотреть программы обучения пользователей, сделав их более практико-ориентированными.

Приказ описывает 17 подсистем защиты информации. Помимо классических (управление доступом, антивирусная защита), появились и абсолютно новые, отражающие современные угрозы.

Это сигнал: угрозы эволюционируют, и защита должна идти в ногу с ними. Просто «закрыть доступ в интернет» — уже недостаточно.

Мы уже анализируем новые требования и адаптируем наши решения под них:

• TS Hard — поможет привести системы к безопасным конфигурациям, соответствующим новым подсистемам
• ScanBox — протестирует устойчивость почты к атакам (критично при расширении периметра)
• Multicheck — экспресс-аудит вашей инфраструктуры на соответствие новым мерам
• Консультации и сопровождение — наши инженеры помогут разобраться в деталях и построить дорожную карту перехода

Приказ №117 — не просто замена документа. Это новая эра информационной безопасности в госсекторе, где важна не сама форма, а реальная защита.
Организациям нужно перестать думать в категориях «аттестовали — забыли». Теперь безопасность выглядит как процесс, с постоянным контролем, обучением и внедрением современных технологий.

Начните подготовку уже сегодня. Потому что с 1 марта 2026 года отсрочки не будет.