ГосСОПКА в 2026: новые требования, риски и план действий для субъектов КИИ

С января 2026 года вступили в силу обновленные приказы ФСБ России, регулирующие процесс взаимодействия между ГосСОПКА и субъектов КИИ. Теперь формальное выполнение требований без системной настройки процессов создает прямые регуляторные и управленческие риски. Разберем все изменения в этой статье.

ГосСОПКА – Государственная система обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации.
Данная система создана для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты в целях обеспечения безопасности критической информационной инфраструктуры (КИИ) Российской Федерации.
В этой системе собираются и накапливаются данные о компьютерных атаках на КИИ и компьютерных инцидентах (в том числе об утечках данных).

Координацию деятельности субъектов КИИ, направленную на обнаружение, предупреждение и ликвидацию последствий компьютерных атак и реагирования на компьютерные инциденты, осуществляет НКЦКИ (Национальный координационный центр по компьютерным инцидентам), созданный ФСБ России.

В процессе взаимодействия участники ГосСОПКА и НКЦКИ обмениваются следующей информацией:

• сведения об актуальных угрозах и уязвимостях;
• сведения о признаках компьютерных инцидентов;
• индикаторы вредоносной активности;
• сведения о способах и средствах проведения компьютерных атак;
• рекомендации по защите.

ФСБ России выпустила сразу несколько новых приказов о взаимодействии участников ГосСОПКА и НКЦКИ – что вполне закономерно, ведь предыдущие приказы были датированы 2018-2019 годами. Вот основные из них:

• № 546 — утверждает порядок обмена информацией о компьютерных атаках и инцидентах (вместо приказа № 368);
• № 547 — утверждает порядок информирования ФСБ о компьютерных атаках и инцидентах и реагирования на них (вместо приказов № 282 и № 348);
• № 548 — утверждает порядок непрерывного взаимодействия с ГосСОПКА для владельцев значимых объектов КИИ (новый документ, ранее такой порядок не был закреплен);
• № 553 — утверждает порядок и технические условия установки и эксплуатации средств обнаружения компьютерных атак и реагирования на инциденты, в том числе средств, предназначенных для поиска признаков компьютерных атак (вместо приказа № 281);
• № 554 — устанавливает требования к средствам обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на инциденты, в том числе к средствам, предназначенным для поиска признаков компьютерных атак (вместо приказа № 196).

Для субъектов КИИ, эксплуатирующих значимые объекты, устанавливается обязательный режим непрерывного взаимодействия через подключение к технической инфраструктуре НКЦКИ.

Новые приказы закрепляют обязанность фиксировать и направлять уведомления не только о компьютерных инцидентах, но и о компьютерных атаках.

Порядок взаимодействия с ГосСОПКА должны соблюдать не только субъекты КИИ, но и государственные унитарные предприятия, государственные учреждения, государственные фонды, государственные корпорации (компании).

НКЦКИ получает расширенные полномочия по координации, запросу результатов мероприятий и контролю устранения выявленных уязвимостей.

Приказ № 547 устанавливает чёткие сроки информирования об инцидентах:

• 3 часа с момента обнаружения – для компьютерных инцидентов на значимых объектах КИИ;
• 24 часа – для инцидентов на иных объектах КИИ и информационных ресурсах государственных унитарных предприятий, государственных учреждений, государственных фондов, государственных корпораций (компаний);
• 24 часа – для компьютерных атак на любой объект.

Срок ответа на запрос НКЦКИ или уведомление об угрозе составляет 24 часа. После завершения мероприятий по реагированию на инцидент необходимо направить итоговые сведения в НКЦКИ не позднее 48 часов после завершения работ.

Владельцы значимых объектов КИИ, а также руководители государственных унитарных предприятий, государственных учреждений, государственных фондов, государственных корпораций (компаний) обязаны разработать план реагирования на компьютерные инциденты в течение 90 дней со дня включения объекта КИИ в реестр значимых. Копия плана направляется в НКЦКИ в течение 7 дней после утверждения.

Приказ № 548 предписывает владельцам значимых объектов КИИ и руководителей государственных унитарных предприятий, государственных учреждений, государственных фондов, государственных корпораций (компаний) обеспечить:

• подключение к технической инфраструктуре НКЦКИ;
• наличие резервных каналов связи;
• назначение ответственного за взаимодействие с НКЦКИ.

Приказ ФСБ № 554 от 26.12.2025 заменяет приказ № 196 и задаёт новые стандарты для средств ГосСОПКА:

• Вводится новая категория технических средств – средства, предназначенные для поиска признаков компьютерных атак (средства ППКА);
• Мониторинг пользовательской активности — прямое требование наблюдения за действиями пользователей;
• Удаленное управление — закреплено право на удалённое управление средствами со стороны аккредитованных центров ГосСОПКА;
• Сертификация — для средств обнаружения требуется сертификат классов «Г» или «ГП», для средств ППКА — классов «В» или «ВП» по приказу ФСБ № 564;
• Хранение данных — события ИБ должны храниться не менее 6 месяцев;
• Российское происхождение — производство и поддержка средств ГосСОПКА только российскими юрлицами, обслуживание иностранными компаниями запрещено.

Выделяются 7 ключевых рисков:

1. Отсутствие подключения к технической инфраструктуре НКЦКИ.
2. Нет резервного канала взаимодействия с НКЦКИ.
3. Несоблюдение 24-часового тайминга информирования.
4. Использование несертифицированных средств защиты.
5. Неподготовленность к установке ППКА.
6. Устаревшие внутренние регламенты реагирования.
7. Отсутствие внутренней модели ответственности за взаимодействие с регулятором.

Также с мая 2026 года вступает в силу обязательная аккредитация центров ГосСОПКА, которую осуществляет ФСБ России.

30-дневный план первоочередных действий:

1. Провести аудит соответствия новым приказам ФСБ.
2. Проверить подключение к технической инфраструктуре НКЦКИ.
3. Обновить внутренние регламенты реагирования на инциденты и атаки.
4. Пересмотреть SLA с учётом новых сроков информирования.
5. Проверить средства защиты на соответствие приказу № 554.
6. Назначить ответственных за взаимодействие с НКЦКИ.
7. Подготовить техническую инфраструктуру к возможной установке средств ППКА.

Обновления в приказах ФСБ направлены на повышение степени ответственности, а также на формирование проактивной позиции у руководителей объектов КИИ и приравненных к ним организаций (государственных унитарных предприятий, государственных учреждений, государственных фондов, государственных корпораций (компаний), регулярное взаимодействие с надзорными органами и подключение к технической инфраструктуре ГосСОПКА.
Теперь одно лишь формальное выполнение требований будет приводить к управленческим рискам.