---
title: "Приказ ФСТЭК России от 28.08.2024 N 159"
number: "159"
issuer: "Федеральная служба по техническому и экспортному контролю"
issued_on: 2024-08-28
redaction: 2026-03-01
status: действует
canonical: "https://bukva.ai/docs/prikaz-159-2024-fstek-rossii-federalnaya"
---

## Приказ ФСТЭК России от 28.08.2024 N 159

# Приказ ФСТЭК России от 28.08.2024 N 159

(ред. от 11.04.2025)

"О внесении изменений в Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденные приказом Федеральной службы по техническому и экспортному контролю от 11 февраля 2013 г. N 17, и Требования по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации, утвержденные приказом Федеральной службы по техническому и экспортному контролю от 25 декабря 2017 г. N 239"

(Зарегистрировано в Минюсте России 24.10.2024 N 79900)

> [!IMPORTANT]
> Начало действия редакции - 01.03.2026.
> Изменения, внесенные [Приказом](https://bukva.ai/docs/prikaz-117-2025-fstek-rossii-federalnaya#p100012) ФСТЭК России от 11.04.2025 N 117, [вступили](https://bukva.ai/docs/prikaz-117-2025-fstek-rossii-federalnaya#p100014) в силу с 1 марта 2026 года.


<a id="p100001"></a>Зарегистрировано в Минюсте России 24 октября 2024 г. N 79900

---


<div align="center">

<a id="p100002"></a>**ФЕДЕРАЛЬНАЯ СЛУЖБА ПО ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ КОНТРОЛЮ**

<a id="p100003"></a>**ПРИКАЗ**<br>
**от 28 августа 2024 г. N 159**

<a id="p100004"></a>**О ВНЕСЕНИИ ИЗМЕНЕНИЙ**<br>
**В ТРЕБОВАНИЯ О ЗАЩИТЕ ИНФОРМАЦИИ, НЕ СОСТАВЛЯЮЩЕЙ**<br>
**ГОСУДАРСТВЕННУЮ ТАЙНУ, СОДЕРЖАЩЕЙСЯ В ГОСУДАРСТВЕННЫХ**<br>
**ИНФОРМАЦИОННЫХ СИСТЕМАХ, УТВЕРЖДЕННЫЕ ПРИКАЗОМ ФЕДЕРАЛЬНОЙ**<br>
**СЛУЖБЫ ПО ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ КОНТРОЛЮ ОТ 11 ФЕВРАЛЯ**<br>
**2013 Г. N 17, И ТРЕБОВАНИЯ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ**<br>
**ЗНАЧИМЫХ ОБЪЕКТОВ КРИТИЧЕСКОЙ ИНФОРМАЦИОННОЙ ИНФРАСТРУКТУРЫ**<br>
**РОССИЙСКОЙ ФЕДЕРАЦИИ, УТВЕРЖДЕННЫЕ ПРИКАЗОМ ФЕДЕРАЛЬНОЙ**<br>
СЛУЖБЫ ПО ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ КОНТРОЛЮ

</div>

ОТ 25 ДЕКАБРЯ 2017 Г. N 239

<a id="p100005"></a>В соответствии с [частью 5 статьи 16](https://bukva.ai/docs/zakon-149-fz-2006/statya-1#p823) Федерального закона от 27 июля 2006 г. N 149-ФЗ "Об информации, информационных технологиях и о защите информации", [пунктом 4 части 3 статьи 6](https://bukva.ai/docs/zakon-187-fz-2017/statya-6#p100053) Федерального закона от 26 июля 2017 г. N 187-ФЗ "О безопасности критической информационной инфраструктуры Российской Федерации", [пунктом 2](https://bukva.ai/docs/ukaz-1085#p2), [подпунктом 9.1 пункта 8](https://bukva.ai/docs/ukaz-1085#p100268) Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085, приказываю:
<a id="p100006"></a>Внести в [Требования](https://bukva.ai/docs/prikaz-17-2013-fstek-rossii-federalnaya#p100010) о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденные приказом Федеральной службы по техническому и экспортному контролю от 11 февраля 2013 г. N 17 (зарегистрирован Министерством юстиции Российской Федерации 31 мая 2013 г., регистрационный N 28608) (с изменениями, внесенными приказами Федеральной службы по техническому и экспортному контролю от 15 февраля 2017 г. N 27 (зарегистрирован Министерством юстиции Российской Федерации 14 марта 2017 г., регистрационный N 45933), от 28 мая 2019 г. N 106 (зарегистрирован Министерством юстиции Российской Федерации 13 сентября 2019 г., регистрационный N 55924), и в [Требования](https://bukva.ai/docs/prikaz-239-2017-fstek-rossii-federalnaya#p100009) по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации, утвержденные приказом Федеральной службы по техническому и экспортному контролю от 25 декабря 2017 г. N 239 (зарегистрирован Министерством юстиции Российской Федерации 26 марта 2018 г., регистрационный N 50524) (с изменениями, внесенными приказами Федеральной службы по техническому и экспортному контролю от 9 августа 2018 г. N 138 (зарегистрирован Министерством юстиции Российской Федерации 5 сентября 2018 г., регистрационный N 52071), от 26 марта 2019 г. N 60 (зарегистрирован Министерством юстиции Российской Федерации 18 апреля 2019 г., регистрационный N 54443), от 20 февраля 2020 г. N 35 (зарегистрирован Министерством юстиции Российской Федерации 11 сентября 2020 г., регистрационный N 59793), изменения согласно [приложению](#p100009) к настоящему приказу.

<div align="right">

<a id="p100007"></a>Директор федеральной службы<br>
по техническому и экспортному контролю<br>
В.СЕЛИН

</div>






<div align="right">

<a id="p100008"></a>Приложение<br>
к приказу ФСТЭК России

</div>

<div align="center">

**от 28 августа 2024 г. N 159**

<a id="p100009"></a>**ИЗМЕНЕНИЯ,**<br>
**КОТОРЫЕ ВНОСЯТСЯ В ТРЕБОВАНИЯ О ЗАЩИТЕ ИНФОРМАЦИИ,**<br>
**НЕ СОСТАВЛЯЮЩЕЙ ГОСУДАРСТВЕННУЮ ТАЙНУ, СОДЕРЖАЩЕЙСЯ**<br>
**В ГОСУДАРСТВЕННЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ, УТВЕРЖДЕННЫЕ**<br>
**ПРИКАЗОМ ФЕДЕРАЛЬНОЙ СЛУЖБЫ ПО ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ**<br>
**КОНТРОЛЮ ОТ 11 ФЕВРАЛЯ 2013 Г. N 17, И В ТРЕБОВАНИЯ**<br>
**ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ЗНАЧИМЫХ ОБЪЕКТОВ КРИТИЧЕСКОЙ**<br>
**ИНФОРМАЦИОННОЙ ИНФРАСТРУКТУРЫ РОССИЙСКОЙ ФЕДЕРАЦИИ,**<br>
**УТВЕРЖДЕННЫЕ ПРИКАЗОМ ФЕДЕРАЛЬНОЙ СЛУЖБЫ ПО ТЕХНИЧЕСКОМУ**<br>
И ЭКСПОРТНОМУ КОНТРОЛЮ ОТ 25 ДЕКАБРЯ 2017 Г. N 239

</div>


1. <a id="p1"></a>Утратил силу с 1 марта 2026 года. - [Приказ](https://bukva.ai/docs/prikaz-117-2025-fstek-rossii-federalnaya#p100012) ФСТЭК России от 11.04.2025 N 117.
2. <a id="p100054"></a>В [Требованиях](https://bukva.ai/docs/prikaz-239-2017-fstek-rossii-federalnaya#p100009) по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации, утвержденных приказом Федеральной службы по техническому и экспортному контролю от 25 декабря 2017 г. N 239:
1) <a id="p100055"></a>[пункт 22](https://bukva.ai/docs/prikaz-239-2017-fstek-rossii-federalnaya#p100230) изложить в следующей редакции:
<a id="p100056"></a>"22. В значимых объектах в зависимости от их категории значимости и угроз безопасности информации посредством исполнения организационных и технических мер, определяемых в соответствии с приложением к настоящим Требованиям, осуществляются:
<a id="p100057"></a>а) идентификация и аутентификация субъектов доступа и объектов доступа;
<a id="p100058"></a>б) управление доступом субъектов доступа к объектам доступа;
<a id="p100059"></a>в) ограничение программной среды;
<a id="p100060"></a>г) защита машинных носителей информации;
<a id="p100061"></a>д) аудит безопасности;
<a id="p100062"></a>е) антивирусная защита;
<a id="p100063"></a>ж) предотвращение вторжений (компьютерных атак);
<a id="p100064"></a>з) обеспечение целостности;
<a id="p100065"></a>и) обеспечение доступности;
<a id="p100066"></a>к) защита технических средств и систем;
<a id="p100067"></a>л) защита информационной (автоматизированной) системы и ее компонентов;
<a id="p100068"></a>м) планирование мероприятий по обеспечению безопасности;
<a id="p100069"></a>н) управление конфигурацией;
<a id="p100070"></a>о) управление обновлениями программного обеспечения;
<a id="p100071"></a>п) реагирование на инциденты информационной безопасности;
<a id="p100072"></a>р) обеспечение действий в нештатных ситуациях;
<a id="p100073"></a>с) информирование и обучение персонала;
<a id="p100074"></a>т) защита значимых объектов от атак, направленных на отказ в обслуживании.".
2) <a id="p100075"></a>[дополнить](https://bukva.ai/docs/prikaz-239-2017-fstek-rossii-federalnaya#p100009) пунктом 22(1) следующего содержания:
<a id="p100076"></a>"22(1). При реализации мер по обеспечению безопасности значимых объектов применяются методические документы, разработанные ФСТЭК России в соответствии с [подпунктом 4 пункта 8](https://bukva.ai/docs/ukaz-1085#p100086) Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085.";
3) <a id="p100077"></a>[дополнить](https://bukva.ai/docs/prikaz-239-2017-fstek-rossii-federalnaya#p100009) пунктом 22(2) следующего содержания:
<a id="p100078"></a>"22(2). Меры по обеспечению защиты значимых объектов от атак, направленных на отказ в обслуживании, должны приниматься в отношении значимых объектов, имеющих интерфейсы и сервисы, к которым должен быть обеспечен постоянный доступ из информационно-телекоммуникационной сети "Интернет" (далее - сеть "Интернет"), и должны предусматривать:
<a id="p100079"></a>а) выявление интерфейсов и сервисов значимых объектов, к которым должен быть обеспечен постоянный доступ из сети "Интернет", определение их принадлежности и назначения;
<a id="p100080"></a>б) выявление публичных сетевых адресов, зарегистрированных за субъектом критической информационной инфраструктуры и (или) полученных от провайдера хостинга, и доменных имен, используемых для обеспечения функционирования значимых объектов, определение их назначения;
<a id="p100081"></a>в) выявление и исключение из значимых объектов интерфейсов и сервисов значимых объектов, к которым обеспечен доступ из сети "Интернет", публичных сетевых адресов и доменных имен, не используемых для обеспечения функционирования значимых объектов и (или) принадлежность которых не установлена;
<a id="p100082"></a>г) формирование перечня ресурсов сети "Интернет", с которыми могут взаимодействовать значимые объекты, включающего исходящий и входящий сетевые потоки, их характеристики и используемые протоколы (далее - матрица коммуникаций значимых объектов с сетью "Интернет");
<a id="p100083"></a>д) определение сетевых адресов, с которыми должно быть обеспечено взаимодействие значимых объектов, формирование списка разрешенных сетевых адресов в условиях реализации атак, направленных на отказ в обслуживании;
<a id="p100084"></a>е) использование программных, программно-аппаратных средств, обеспечивающих анализ и фильтрацию сетевых запросов в соответствии с матрицей коммуникаций значимых объектов с сетью "Интернет" на максимально возможной скорости для этих каналов связи и возможность блокирования сетевых запросов, обладающих признаками атак, направленных на отказ в обслуживании, на сетевом и прикладном уровнях значимых объектов;
<a id="p100085"></a>ж) наличие двукратного резерва пропускной способности каналов передачи данных относительно объемов трафика в условиях отсутствия реализации атак, направленных на отказ в обслуживании;
<a id="p100086"></a>з) использование данных, полученных при взаимодействии с Центром мониторинга и управления сетью связи общего пользования <1>;
<a id="p100087"></a>и) обеспечение хранения в течение трех лет следующей информации о фактах реализации атак, направленных на отказ в обслуживании: дата и время начала и окончания реализации атаки, тип атаки, объем (Гбит/с, сетевых пакетов/с), перечень сетевых адресов, являющихся источником атак, и сетевых адресов, подверженных атакам, принимаемые меры.";
4) <a id="p100088"></a>[дополнить](https://bukva.ai/docs/prikaz-239-2017-fstek-rossii-federalnaya#p100009) сноской 1 к пункту 22(2) следующего содержания:
<a id="p100089"></a>"<1> [Пункт 4](https://bukva.ai/docs/prikaz-225-2019-roskomnadzor-federalnaya#p100023) Положения о Центре мониторинга и управления сетью связи общего пользования, утвержденного приказом Роскомнадзора от 31 июля 2019 г. N 225 (зарегистрирован Минюстом России 22 ноября 2019 г., регистрационный N 56583), с изменениями, внесенными приказом Роскомнадзора от 24 апреля 2024 г. N 73 (зарегистрирован Минюстом России 6 июня 2024 г., регистрационный N 78486) (далее - Положение о Центре мониторинга).";
5) <a id="p100090"></a>[дополнить](https://bukva.ai/docs/prikaz-239-2017-fstek-rossii-federalnaya#p100009) пунктом 26(2) следующего содержания:
<a id="p100091"></a>"26(2). Организационные меры, направленные на защиту значимых объектов от атак, направленных на отказ в обслуживании, должны предусматривать:
<a id="p100092"></a>а) взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации <2>;
<a id="p100093"></a>б) взаимодействие в автоматизированном режиме с Центром мониторинга и управления сетью связи общего пользования <3> в рамках противодействия атакам, направленным на отказ в обслуживании;
<a id="p100094"></a>в) взаимодействие с провайдером хостинга или организацией, предоставляющей услуги связи, программно-аппаратные средства которых, участвующие в контроле, фильтрации и блокировании сетевых запросов, обладающих признаками атак, направленных на отказ в обслуживании, должны быть расположены на территории Российской Федерации;
<a id="p100095"></a>г) определение порядка взаимодействия с провайдером хостинга или организацией, предоставляющей услуги связи, по совместному блокированию атак, направленных на отказ в обслуживании, и разграничению зон ответственности при таком блокировании;
<a id="p100096"></a>д) обеспечение доступности из сети "Интернет" интерфейсов и сервисов значимых объектов, подлежащих защите от атак, направленных на отказ в обслуживании, по согласованию со структурным подразделением, специалистами по защите информации после принятия мер по контролю и фильтрации исходящего и входящего сетевого трафика в соответствии с матрицей коммуникаций значимых объектов с сетью "Интернет";
<a id="p100097"></a>е) возможность размещения значимых объектов в информационно-телекоммуникационной инфраструктуре провайдера хостинга, обеспечивающего защиту от атак, направленных на отказ в обслуживании, или осуществление защиты значимых объектов путем перенаправления сетевого трафика на программно-аппаратные средства организации, оказывающей услуги по контролю, фильтрации и блокированию сетевых запросов, обладающих признаками атак, направленных на отказ в обслуживании, при отсутствии технической возможности у субъекта критической информационной инфраструктуры самостоятельно организовать защиту значимых объектов от атак, направленных на отказ в обслуживании.";
6) <a id="p100098"></a>[дополнить](https://bukva.ai/docs/prikaz-239-2017-fstek-rossii-federalnaya#p100009) сносками 2 и 3 к пункту 26(2) следующего содержания:
<a id="p100099"></a>"<2> [Подпункт "б" пункта 2](https://bukva.ai/docs/ukaz-620-2017#p100010) Указа Президента Российской Федерации от 22 декабря 2017 г. N 620 "О совершенствовании государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации".
<a id="p100100"></a><3> [Пункт 5](https://bukva.ai/docs/prikaz-225-2019-roskomnadzor-federalnaya#p100024) Положения о Центре мониторинга.";
7) <a id="p100101"></a>[дополнить](https://bukva.ai/docs/prikaz-239-2017-fstek-rossii-federalnaya#p100009) пунктом 26(3) следующего содержания:
<a id="p100102"></a>"26(3). Программно-аппаратные средства, используемые для осуществления контроля, фильтрации и блокирования сетевых запросов, обладающих признаками атак, направленных на отказ в обслуживании, должны быть расположены на территории Российской Федерации.";
8) <a id="p100103"></a>в [абзаце первом пункта 29.1](https://bukva.ai/docs/prikaz-239-2017-fstek-rossii-federalnaya#p154) слова "информационно-телекоммуникационной" исключить.



<a id="p100104"></a>

---