---
title: "Приказ ФСТЭК России от 27.02.2026 N 60"
number: "60"
issuer: "Федеральная служба по техническому и экспортному контролю"
issued_on: 2026-02-27
status: действует
canonical: "https://bukva.ai/docs/prikaz-60-2026-fstek-rossii-federalnaya"
---
## Приказ ФСТЭК России от 27.02.2026 N 60
# Приказ ФСТЭК России от 27.02.2026 N 60
"О внесении изменений в Порядок организации и проведения работ по аттестации объектов информатизации на соответствие требованиям о защите информации ограниченного доступа, не составляющей государственную тайну, утвержденный приказом ФСТЭК России от 29 апреля 2021 г. N 77"
(Зарегистрировано в Минюсте России 24.06.2026 N 87202)
> [!IMPORTANT]
> Начало действия документа - [01.09.2026](#p100007).
Зарегистрировано в Минюсте России 24 июня 2026 г. N 87202
---
**ФЕДЕРАЛЬНАЯ СЛУЖБА ПО ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ КОНТРОЛЮ**
**ПРИКАЗ**
от 27 февраля 2026 г. N 60
**О ВНЕСЕНИИ ИЗМЕНЕНИЙ**
**В ПОРЯДОК ОРГАНИЗАЦИИ И ПРОВЕДЕНИЯ РАБОТ ПО АТТЕСТАЦИИ**
**ОБЪЕКТОВ ИНФОРМАТИЗАЦИИ НА СООТВЕТСТВИЕ ТРЕБОВАНИЯМ О ЗАЩИТЕ**
**ИНФОРМАЦИИ ОГРАНИЧЕННОГО ДОСТУПА, НЕ СОСТАВЛЯЮЩЕЙ**
**ГОСУДАРСТВЕННУЮ ТАЙНУ, УТВЕРЖДЕННЫЙ ПРИКАЗОМ ФСТЭК**
**РОССИИ ОТ 29 АПРЕЛЯ 2021 Г. N 77**
В соответствии с [подпунктом 13.3 пункта 8](https://bukva.ai/docs/ukaz-1085#p100269) Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085, приказываю:
1. Внести [изменения](#p100010) в [Порядок](https://bukva.ai/docs/prikaz-77-2021-fstek-rossii-federalnaya#p100010) организации и проведения работ по аттестации объектов информатизации на соответствие требованиям о защите информации ограниченного доступа, не составляющей государственную тайну, утвержденный приказом ФСТЭК России от 29 апреля 2021 г. N 77 (зарегистрирован Минюстом России 10 августа 2021 г., регистрационный N 64589), согласно приложению к настоящему приказу.
2. Установить, что настоящий приказ вступает в силу с 1 сентября 2026 г.
Директор Федеральной службы
по техническому и экспортному контролю
**В.СЕЛИН**
Приложение
к приказу ФСТЭК России
от 27 февраля 2026 г. N 60
**ИЗМЕНЕНИЯ,**
**КОТОРЫЕ ВНОСЯТСЯ В ПОРЯДОК ОРГАНИЗАЦИИ И ПРОВЕДЕНИЯ РАБОТ**
**ПО АТТЕСТАЦИИ ОБЪЕКТОВ ИНФОРМАТИЗАЦИИ НА СООТВЕТСТВИЕ**
**ТРЕБОВАНИЯМ О ЗАЩИТЕ ИНФОРМАЦИИ ОГРАНИЧЕННОГО ДОСТУПА,**
**НЕ СОСТАВЛЯЮЩЕЙ ГОСУДАРСТВЕННУЮ ТАЙНУ, УТВЕРЖДЕННЫЙ**
**ПРИКАЗОМ ФСТЭК РОССИИ ОТ 29 АПРЕЛЯ 2021 Г. N 77**
1. [Абзац первый сноски 1](https://bukva.ai/docs/prikaz-77-2021-fstek-rossii-federalnaya#p100014) к пункту 1 изложить в следующей редакции:
"<1> [Требования](https://bukva.ai/docs/prikaz-117-2025-fstek-rossii-federalnaya#p100017) о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений, утвержденные приказом ФСТЭК России от 11 апреля 2025 г. N 117 (зарегистрирован Минюстом России 16 июня 2025 г., регистрационный N 82619).".
2. [Пункт 3](https://bukva.ai/docs/prikaz-77-2021-fstek-rossii-federalnaya#p100021) изложить в следующей редакции:
"3. Настоящий Порядок распространяется на аттестацию на соответствие требованиям по защите информации (далее - аттестация) и проведение периодического контроля уровня защиты информации (далее - периодический контроль) следующих объектов информатизации <2>:
государственных и муниципальных информационных систем, в том числе государственных, муниципальных информационных систем персональных данных;
информационных систем управления производством, используемых организациями оборонно-промышленного комплекса, в том числе автоматизированных систем станков с числовым программным управлением;
помещений, предназначенных для ведения конфиденциальных переговоров (далее - защищаемые помещения) <3>.
Настоящий Порядок применяется также для аттестации следующих объектов информатизации, для которых их владельцами установлено требование по проведению оценки соответствия систем защиты информации этих объектов требованиям по защите информации в форме аттестации:
информационных систем государственных органов, государственных унитарных предприятий, государственных учреждений (за исключением государственных информационных систем);
значимых объектов критической информационной инфраструктуры Российской Федерации;
информационных систем персональных данных (за исключением государственных, муниципальных информационных систем персональных данных);
автоматизированных систем управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды.".
3. [Сноску 2](https://bukva.ai/docs/prikaz-77-2021-fstek-rossii-federalnaya#p100023) к абзацу первому пункта 3 изложить в следующей редакции:
"<2> Пункт 3.1 национального стандарта Российской Федерации ГОСТ Р 51275-2006 "Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения", утвержденного и введенного в действие [приказом](https://bukva.ai/docs/prikaz-374-st-2006) Ростехрегулирования от 27 декабря 2006 г. N 374-ст (Москва: Стандартинформ, 2007).".
4. [Сноску 3](https://bukva.ai/docs/prikaz-77-2021-fstek-rossii-federalnaya#p100028) к абзацу четвертому пункта 3 изложить в следующей редакции:
"<3> [Подпункт "г" пункта 4](https://bukva.ai/docs/postanovlenie-79-2012#p9) Положения о лицензировании деятельности по технической защите конфиденциальной информации, утвержденного постановлением Правительства Российской Федерации от 3 февраля 2012 г. N 79.".
5. [Абзац первый пункта 6](https://bukva.ai/docs/prikaz-77-2021-fstek-rossii-federalnaya#p100036) изложить в следующей редакции:
"6. По решению руководителя федерального органа государственной власти, органа государственной власти субъекта Российской Федерации, органа местного самоуправления аттестация, а также проведение периодического контроля принадлежащих этому органу объектов информатизации проводятся в соответствии с настоящим Порядком структурным подразделением (работниками) этого органа, ответственными за защиту информации, после информирования ФСТЭК России о принятом решении и при наличии необходимых для проведения работ по аттестации:".
6. [Пункт 7](https://bukva.ai/docs/prikaz-77-2021-fstek-rossii-federalnaya#p100040) изложить в следующей редакции:
"7. Для проведения аттестационных испытаний, а также периодического контроля на аттестованных объектах информатизации органом по аттестации из числа своих работников назначается аттестационная комиссия в составе руководителя комиссии и не менее двух экспертов, обладающих знаниями и навыками в области технической защиты конфиденциальной информации и аттестации объектов информатизации (далее - эксперты органа по аттестации).".
7. [Подпункт "б" пункта 16](https://bukva.ai/docs/prikaz-77-2021-fstek-rossii-federalnaya#p100085) изложить в следующей редакции:
"б) при проведении работ, предусмотренных подпунктом "и" пункта 15 настоящего Порядка, - тестирование объекта информатизации путем проверки реализованных мер по защите информационной системы (функциональное тестирование), автоматизированное и (или) ручное выявление уязвимостей объекта информатизации с последующей экспертной оценкой возможности их использования нарушителем для нарушения безопасности информации и (или) нарушения функционирования информационной системы (далее - анализ уязвимостей), а также тестирование объекта информатизации путем моделирования реализации актуальных угроз с целью оценки возможностей несанкционированного доступа к ней (воздействий на нее) или повышения привилегий при реализованных мероприятиях и мерах по защите информационной системы и содержащейся в ней информации (далее - тестирование на проникновение) проводятся в соответствии с методическими документами, утвержденными ФСТЭК России в соответствии с [подпунктом 4 пункта 8](https://bukva.ai/docs/ukaz-1085#p100086) Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085;".
8. [Дополнить](https://bukva.ai/docs/prikaz-77-2021-fstek-rossii-federalnaya#p100010) пунктами 16(1) - 16(3) следующего содержания:
"16(1). Тестирование на проникновение проводится в отношении государственных информационных систем, иных информационных систем государственных органов, государственных унитарных предприятий, государственных учреждений 1, 2 классов защищенности, которые имеют подключение к информационно-телекоммуникационной сети "Интернет" и (или) взаимодействуют с иными информационными системами, в том числе с информационными системами подрядных организаций (за исключением случаев, когда такое взаимодействие реализовано с использованием сети шифрованной связи или виртуальных частных сетей с применением сертифицированных шифровальных (криптографических) средств защиты информации).
16(2). В случае если объект информатизации создается на базе информационно-телекоммуникационной инфраструктуры в соответствии с [абзацем третьим пункта 3](https://bukva.ai/docs/postanovlenie-900-2024#p100026) Положения об учете ИТ-активов, используемых для осуществления деятельности по цифровой трансформации системы государственного (муниципального) управления, утвержденного постановлением Правительства Российской Федерации от 1 июля 2024 г. N 900, такая инфраструктура аттестуется на соответствие требованиям по защите информации по классу защищенности не ниже класса защищенности объекта информатизации.
16(3). В состав аттестованного объекта информатизации допускается включать сегменты, аналогичные в части состава программных, программно-аппаратных средств и их конфигураций сегментам, входящим в состав аттестованного объекта информатизации.
В отношении включаемых в состав аттестованного объекта информатизации сегментов проводятся аттестационные испытания, определенные программой и методиками аттестационных испытаний объекта информатизации.
По результатам проведения аттестационных испытаний принимается решение о включении сегментов в состав аттестованной информационной системы либо о невозможности включения сегментов в состав аттестованной информационной системы.".
9. [Пункт 31](https://bukva.ai/docs/prikaz-77-2021-fstek-rossii-federalnaya#p100137) изложить в следующей редакции:
"31. Аттестат соответствия выдается на весь срок эксплуатации объекта информатизации.
Владелец аттестованного объекта информатизации обеспечивает поддержку его безопасности в соответствии с аттестатом соответствия путем реализации требований по защите информации в ходе эксплуатации аттестованного объекта информатизации и проведения самостоятельно или с привлечением организации, имеющей лицензию на осуществление деятельности по технической защите конфиденциальной информации (с правом проведения работ и оказания услуг по аттестационным испытаниям и аттестации на соответствие требованиям по защите информации, по контролю защищенности конфиденциальной информации от несанкционированного доступа и ее модификации в средствах и системах информатизации), выданную ФСТЭК России в соответствии с [Положением](https://bukva.ai/docs/postanovlenie-79-2012#p100012) о лицензировании деятельности по технической защите конфиденциальной информации, утвержденным постановлением Правительства Российской Федерации от 3 февраля 2012 г. N 79, периодического контроля уровня защищенности информации на аттестованном объекте информатизации, результаты которого оформляются отчетом (протоколами) и включаются в технический паспорт на объект информатизации.".
10. [Дополнить](https://bukva.ai/docs/prikaz-77-2021-fstek-rossii-federalnaya#p100010) пунктами 31(1) и 31(2) следующего содержания:
"31(1). Контроль уровня защищенности информации на аттестованном объекте информатизации проводится следующими методами:
анализ уязвимостей;
тестирование на проникновение.
31(2). По результатам проведения контроля уровня защищенности информации на аттестованном объекте информатизации оформляется отчет (протокол), содержащий сведения о:
а) наименовании объекта информатизации и его назначении, составе программно-технических, программных средств и средств защиты информации;
б) классе защищенности информационной (автоматизированной) системы, категории значимости значимого объекта;
в) фамилии, имени, отчестве (при наличии), должности экспертов, проводивших контроль уровня защищенности информации объекта информатизации;
г) сроке проведения контроля уровня защищенности информации;
д) дате и номере аттестата соответствия объекта информатизации;
е) порядке проведения работ по анализу уязвимостей, их результатах;
ж) порядке проведения работ по тестированию на проникновение, их результатах.
Указанный отчет (протокол) подписывается специалистами, проводившими контроль уровня защищенности информации объекта информатизации, и утверждается руководителем структурного подразделения органа по аттестации или работниками федерального органа государственной власти, органа государственной власти субъекта Российской Федерации, органа местного самоуправления.".
11. [Пункт 32](https://bukva.ai/docs/prikaz-77-2021-fstek-rossii-federalnaya#p100139) изложить в следующей редакции:
"32. Отчет (протокол) по результатам проведения контроля уровня защищенности информации на аттестованном объекте информатизации не реже одного раза в три года представляется владельцем объекта информатизации в ФСТЭК России (территориальный орган ФСТЭК России) в течение 5 рабочих дней с даты завершения проведения контроля уровня защищенности информации.
Непредставление отчета (протокола) по результатам проведения контроля уровня защищенности информации в ФСТЭК России (территориальный орган ФСТЭК России) является основанием для приостановления действия аттестата соответствия в соответствии с пунктами 34 - 37 настоящего Порядка.".
12. [Пункт 33](https://bukva.ai/docs/prikaz-77-2021-fstek-rossii-federalnaya#p100141) изложить в следующей редакции:
"33. В случае развития (модернизации) объекта информатизации, в ходе которого изменены архитектура системы защиты информации объекта информатизации (изменены виды и типы программных, программно-технических средств и средств защиты информации), структура системы защиты информации (изменены состав и места расположения объекта информатизации и его компонентов), исключены программные, программно-технические средства и средства защиты информации, дополнительно включены аналогичные средства или заменены на аналогичные средства, проводятся дополнительные аттестационные испытания в соответствии с настоящим Порядком. Сведения об изменениях аттестованного объекта информатизации и проведенных при этом аттестационных испытаниях включаются владельцем объекта информатизации в технический паспорт. Действие аттестата соответствия не прекращается.".
13. [Дополнить](https://bukva.ai/docs/prikaz-77-2021-fstek-rossii-federalnaya#p100010) пунктами 33(1) - 33(3) следующего содержания:
"33(1). Дополнительные аттестационные испытания объекта информатизации должны проводиться в отношении компонентов объекта информатизации, измененных в ходе развития (модернизации) объекта информатизации, следующими методами:
функциональное тестирование;
анализ уязвимостей.
33(2). По результатам проведения дополнительных аттестационных испытаний объекта информатизации оформляется отчет (протокол), содержащий сведения о:
а) наименовании объекта информатизации и его назначении, составе программно-технических, программных средств и средств защиты информации;
б) классе защищенности информационной (автоматизированной) системы, категории значимости значимого объекта;
в) фамилии, имени, отчестве (при наличии), должности экспертов, проводивших дополнительные аттестационные испытания объекта информатизации;
г) сроке проведения дополнительных аттестационных испытаний объекта информатизации;
д) дате и номере аттестата соответствия объекта информатизации;
е) порядке проведения работ по функциональному тестированию, их результатах;
ж) порядке проведения работ по анализу уязвимостей, их результатах.
Указанный отчет (протокол) подписывается специалистами, проводившими дополнительные аттестационные испытания объекта информатизации, и утверждается руководителем структурного подразделения органа по аттестации или работниками федерального органа государственной власти, органа государственной власти субъекта Российской Федерации, органа местного самоуправления.
33(3). В случае развития (модернизации) объекта информатизации, приводящего к повышению класса защищенности (уровня защищенности, категории значимости) объекта информатизации, проводится повторная аттестация в соответствии с пунктом 15 настоящего Порядка.".
14. В [пункте 34](https://bukva.ai/docs/prikaz-77-2021-fstek-rossii-federalnaya#p100143):
[подпункт "в"](https://bukva.ai/docs/prikaz-77-2021-fstek-rossii-federalnaya#p100146) изложить в следующей редакции:
"в) непредставления отчетов (протоколов) по результатам проведения контроля уровня защищенности информации на аттестованном объекте информатизации в соответствии с пунктом 32 настоящего Порядка;";
в [подпункте "г"](https://bukva.ai/docs/prikaz-77-2021-fstek-rossii-federalnaya#p100147) слово "архитектуры" исключить.
15. [Пункт 38](https://bukva.ai/docs/prikaz-77-2021-fstek-rossii-federalnaya#p100157) изложить в следующей редакции:
"38. Действие аттестата соответствия возобновляется ФСТЭК России (территориальным органом ФСТЭК России) в случае:
а) устранения несоответствия объекта информатизации требованиям по защите информации и представления владельцем объекта информатизации в ФСТЭК России (территориальный орган ФСТЭК России) материалов, подтверждающих устранение недостатков;
б) представления в ФСТЭК России отчета (протокола) по результатам проведения контроля уровня защищенности информации на аттестованном объекте информатизации в соответствии с пунктом 32 настоящего Порядка;
в) обращения владельца объекта информатизации о возобновлении действия аттестата соответствия на объект информатизации в случае, если решение о приостановлении его действия было принято по обращению владельца объекта информатизации.".
16. [Пункт 40](https://bukva.ai/docs/prikaz-77-2021-fstek-rossii-federalnaya#p100164) изложить в следующей редакции:
"40. Действие аттестата соответствия прекращается ФСТЭК России (территориальным органом ФСТЭК России) в случае:
а) непредставления владельцем объекта информатизации в установленный в уведомлении о приостановлении действия аттестата соответствия срок материалов, подтверждающих устранение недостатков;
б) непредставления владельцем объекта информатизации в установленный в уведомлении о приостановлении действия аттестата соответствия срок отчета (протокола) по результатам проведения контроля уровня защищенности информации на аттестованном объекте информатизации;
в) обращения владельца объекта информатизации о прекращении действия аттестата соответствия.".
---