ФЕДЕРАЛЬНАЯ СЛУЖБА ПО ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ КОНТРОЛЮ

ПРИКАЗ

от 26 марта 2019 года N 60

О внесении изменений в Требования по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации, утвержденные приказом Федеральной службы по техническому и экспортному контролю от 25 декабря 2017 г. N 239

В соответствии с пунктом 4 части 3 статьи 6 Федерального закона от 26 июля 2017 г. N 187-ФЗ "О безопасности критической информационной инфраструктуры Российской Федерации" (Собрание законодательства Российской Федерации, 2017, N 31, ст.4736)

приказываю:

1. Внести в Требования по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации, утвержденные приказом Федеральной службы по техническому и экспортному контролю от 25 декабря 2017 г. N 239 (зарегистрирован Министерством юстиции Российской Федерации 26 марта 2018 г., регистрационный N 50524) (с изменениями, внесёнными приказом Федеральной службы по техническому и экспортному контролю от 9 августа 2018 г. N 138 (зарегистрирован Министерством юстиции Российской Федерации 5 сентября 2018 г., регистрационный N 52071), следующие изменения:

1) в пункте 10:

в подпункте "д" слова "организационные и технические меры, применяемые" заменить словами "требования к организационным и техническим мерам, применяемым";

дополнить подпунктом "к" следующего содержания:

"к) требования к составу и содержанию документации, разрабатываемой в ходе создания значимого объекта.";

2) абзац четырнадцатый пункта 11.1 после слов "последствия от" дополнить словами "реализации (возникновения)";

3) в пункте 11.2:

в подпункте "в" слово "обосновываются" заменить словами "определяются и обосновываются";

абзац двенадцатый дополнить словами ", разрабатываемой в соответствии с техническим заданием на создание значимого объекта и (или) техническим заданием (частным техническим заданием) на создание подсистемы безопасности значимого объекта";

после абзаца двенадцатого дополнить абзацем следующего содержания:

"В процессе проектирования значимого объекта его категория значимости может быть уточнена.";

4) пункт 12.5 дополнить предложением следующего содержания:

"По результатам опытной эксплуатации принимается решение о возможности (или невозможности) проведения приемочных испытаний значимого объекта и его подсистемы безопасности.";

5) в абзаце одиннадцатом пункта 12.6 слово "действие" заменить словом "эксплуатацию";

6) в абзаце пятом пункта 12.7 слово "действие" заменить словом "эксплуатацию";

7) подпункт "в" пункта 14 после слова "уничтожение" дополнить словами "или архивирование";

8) в пункте 29:

абзац пятый заменить абзацем следующего содержания:

"При этом в значимых объектах 1 категории значимости применяются сертифицированные средства защиты информации, соответствующие 4 или более высокому уровню доверия. В значимых объектах 2 категории значимости применяются сертифицированные средства защиты информации, соответствующие 5 или более высокому уровню доверия. В значимых объектах 3 категории значимости применяются сертифицированные средства защиты информации, соответствующие 6 или более высокому уровню доверия.";

абзац шестой после слов "Классы защиты" дополнить словами "и уровни доверия";

9) дополнить пунктом 29.1 следующего содержания:

"29.1. При проектировании вновь создаваемых или модернизируемых значимых объектов 1 категории значимости в качестве граничных маршрутизаторов, имеющих доступ к информационно-телекоммуникационной сети "Интернет", выбираются маршрутизаторы, сертифицированные на соответствие требованиям по безопасности информации (в части реализованных в них функций безопасности).

В случае отсутствия технической возможности применения в значимых объектах 1 категории значимости граничных маршрутизаторов, сертифицированных на соответствие требованиям по безопасности информации, функции безопасности граничных маршрутизаторов подлежат оценке на соответствие требованиям по безопасности в рамках приемки или испытаний значимых объектов.

Обоснование отсутствия технической возможности приводится в проектной документации на значимые объекты (подсистемы безопасности значимых объектов), разрабатываемой в соответствии с техническим заданием на создание значимых объектов и (или) техническим заданием (частным техническим заданием) на создание подсистемы безопасности значимых объектов.";

10) пункт 31 дополнить абзацем следующего содержания:

"Входящие в состав значимого объекта 1 категории значимости программные и программно-аппаратные средства, осуществляющие хранение и обработку информации, должны размещаться на территории Российской Федерации (за исключением случаев, когда размещение указанных средств осуществляется в зарубежных обособленных подразделениях субъекта критической информационной инфраструктуры (филиалах, представительствах), а также случаев, установленных законодательством Российской Федерации и (или) международными договорами Российской Федерации).".

11) в приложении к указанным Требованиям:

строку первую раздела I изложить в следующей редакции:

"

";

в разделе II:

строку первую изложить в следующей редакции:

"

";

строку третью изложить в следующей редакции:

"

";

строку девятую изложить в следующей редакции:

"

";

строку первую раздела III изложить в следующей редакции:

"

";

в разделе IV:

строку первую изложить в следующей редакции:

"

";

строки шестую - восьмую изложить в следующей редакции:

"

";

в разделе V:

строку первую изложить в следующей редакции:

"

";

строку десятую изложить в следующей редакции:

"

";

строку двенадцатую изложить в следующей редакции:

"

";

строку первую раздела VI изложить в следующей редакции:

"

";

строку первую раздела VII изложить в следующей редакции:

"