Предстоящий крайний срок 3 октября 2026 года знаменует собой заключительный этап регистрации в списке ключевых и важных субъектов, но он не завершает процесс адаптации к поправкам к Закону о национальной системе кибербезопасности. Наиболее важным обязательством является внедрение системы управления информационной безопасностью (СУИБ). Субъекты, которые соответствовали установленным законом критериям на 3 апреля 2026 года, должны сделать это к 3 апреля 2027 года.
Что подразумевается под ISMS в соответствии с Законом о KSC?
Система управления информационной безопасностью (СУИБ) представляет собой национальную структуру для реализации требований Директивы NIS2 в отношении управления рисками кибербезопасности. Это не набор политик, разработанных для целей аудита. В соответствии со статьей 8, разделом 1 Закона, система охватывает информационные системы, используемые в процессах, влияющих на предоставление услуг организацией. Она должна обеспечивать, в частности:
- Систематическая оценка рисков: Регулярное выявление, анализ, оценка и управление риском возникновения инцидента.
- Соразмерные технические и организационные меры: меры безопасности, адаптированные к оцененному риску, с учетом последних знаний, затрат на внедрение и размера организации. Закон определяет, среди прочего, политику безопасности, безопасность цепочки поставок, планы обеспечения непрерывности бизнеса, непрерывный мониторинг системы, управление активами и контроль доступа.
- Управление инцидентами и уязвимостями: сбор информации о киберугрозах, обработка инцидентов и меры по их смягчению, включая регулярные обновления программного обеспечения.
Оценка риска
Оценка рисков является отправной точкой для выбора всех мер безопасности. Отсутствие документированного анализа рисков подрывает эффективность любой внедренной меры. На этом этапе вам следует:
- Внедрить методологию: разработать и утвердить единый метод оценки рисков, а также критерии приемлемости рисков.
- Инвентаризация активов: Создайте реестр систем, данных, процессов и поставщиков, охватываемых системой управления информационной безопасностью (СУИБ).
- Разработайте план управления рисками: определите контрмеры, ответственных за риски и сроки их реализации. Решения в этом отношении принимает руководитель организации.
- Проведение обучения для руководителей: руководитель организации и лицо, ответственное за кибербезопасность, должны проходить обучение один раз в календарный год, при этом участие должно быть задокументировано. Желательно организовать первое обучение в 2026 году, до того, как совет директоров начнет принимать ключевые решения по внедрению.
Документирование и внедрение мер безопасности
После завершения анализа рисков организация переходит к внедрению конкретных решений:
- Документация по безопасности: Закон делит ее на нормативную и операционную. Нормативная документация включает, помимо прочего, документацию по системам управления информационной безопасностью (СУИБ), тематические политики, документацию по системам управления непрерывностью бизнеса и техническую документацию. Операционная документация состоит из записей, подтверждающих выполнение мероприятий, включая системные журналы. Вся документация требует контроля, версионирования и хранения в течение как минимум двух лет после вывода из эксплуатации.
- Процедура обработки инцидентов: пути эскалации и шаблоны отчетности для соблюдения установленных законом сроков с соответствующим отраслевым центром реагирования на инциденты: раннее предупреждение в течение 24 часов, сообщение о крупном инциденте в течение 72 часов и окончательный отчет в течение одного месяца.
- Обеспечение непрерывности бизнеса: Внедрение, документирование и тестирование планов обеспечения непрерывности бизнеса, планов действий в чрезвычайных ситуациях и планов восстановления бизнеса.
- Технические меры: непрерывный мониторинг системы, управление доступом, регулярные обновления и, при необходимости, шифрование и многофакторная аутентификация. Каждая мера безопасности должна основываться на плане управления рисками.
- Управление цепочкой поставок: анализ контрактов с поставщиками ИКТ-услуг и внедрение процедур оценки. Мы подробно рассмотрели это в предыдущей статье этой серии.
Запуск и проверка
Последние недели перед крайним сроком следует использовать для проверки работоспособности системы на практике:
- Использование системы S46: К 3 апреля 2027 года организации должны начать использовать ИТ-систему S46, которая используется, помимо прочего, для сообщения об инцидентах.
- Обучение персонала: Обучение сотрудников новым процедурам и основным принципам кибергигиены с документальным подтверждением участия.
- Проверка процедур: Настольные учения, имитирующие сценарий крупного инцидента, включая процесс сообщения в секторальную группу реагирования на инциденты и взаимодействие с руководством.
- Оценка эффективности: Внутренний или управленческий анализ для подтверждения полноты документации и эффективности реализованных мер.
Краткое содержание
Крайний срок 3 апреля 2027 года знаменует собой завершение разработки системы, а не прекращение ответственности. С этой даты система управления информационной безопасностью (СУИБ) должна функционировать непрерывно. Необходимо периодически оценивать риски, регистрировать инциденты и оценивать эффективность мер безопасности. Ключевые организации должны провести свой первый аудит безопасности до 3 апреля 2028 года, а затем повторять его не реже одного раза в три года. Аудит не может проводиться лицом, которое в течение последнего года выполняло задачи, связанные с СУИБ, в рамках данной организации. Для ключевых организаций регулирующий орган может назначить внешний аудит, например, после серьезного инцидента. С 3 апреля 2028 года надзорные органы, как правило, могут налагать штрафы как на организацию, так и на руководителя лично.
Данная статья носит исключительно информационный характер и не является юридической консультацией.
Законодательство действует по состоянию на 17 сентября 2026 года.
