Новые требования по кибербезопасности. Что важно знать организациям

27 мая 2026 года Оперативно-аналитический центр при Президенте Республики Беларусь (ОАЦ) официально утвердил приказ №98, который вступил в силу 1 июля и кардинально изменил подход к обеспечению информационной безопасности в стране. Это событие стало важным шагом в реализации концепции кибербезопасности как основного элемента устойчивости государственных, коммерческих и социальных структур.

Что изменить в правовой сфере

Новый приказ вносит существенные коррективы в ряд ключевых документов, регулирующих вопросы технической и криптографической защиты информации:

• Положение о порядке проведения государственной экспертизы средств технической и криптографической защиты информации, утвержденного приказом ОАЦ  от 26 августа 2013 г. №60
• Приказ  ОАЦ от 20 февраля  2020 г. No 66  «О мерах  по реализации  Указа  Президента Республики Беларусь от 9 декабря 2019 г. No 449»
• Приказ  ОАЦ от 25 июля 2023 г. No 130 «О мерах по реализации Указа Президента Республики Беларусь от 14 февраля 2023 г. No 40»

Главная идея всех нововведений — переход к практическому и системному подходу. Теперь кибербезопасность воспринимается не как набор формальных процедур, а как стратегия обеспечения устойчивости организации, ее процессов, данных и взаимодействия с внешним миром.

Новые требования по кибербезопасности становятся более практичными - киберинциденты оцениваются по последствиям, аудит и оценка защищенности четко формализованы, центры кибербезопасности обязаны усиливать экспертные компетенции, а организациям необходимо привести в соответствие документацию, договоры, процессы реагирования и обеспечение защиты информации. Отметим, что выход новой редакции приказов неразрывно связаны с изменениями в КоАП Республики Беларусь, в котором прописана финансовая ответственность за вопросы кибербезопасности.

Подробнее об изменениях в экспертной статье рассказывает заместитель руководителя управления «Центр кибербезопасности» iqData Наталья Кийко.

Кого затронут новые требования

В той или иной степени – все организации Беларуси. В национальную систему кибербезопасности включены не только критически важная инфраструктура (КВОИ), но и все объекты информационной инфраструктуры организаций. Поэтому даже компания, которая не считает себя «интересной» для злоумышленников, может стать частью цепочки атаки.

Например, скомпрометированный сайт, почтовый сервер или рабочая станция небольшой организации могут использоваться для фишинговых рассылок, распространения вредоносного ПО, DDoS-атак или как промежуточная точка для дальнейшего проникновения. Поэтому базовая защита — это не формальность, а вопрос общей цифровой устойчивости.

Что изменится для организаций

1. Киберинциденты будут оценивать по последствиям

Один из важных акцентов — изменение подхода к классификации киберинцидентов. Теперь важна не только техническая природа атаки, но и масштаб ее последствий.

Одинаковая по механике атака может иметь разные последствия для небольшой компании и для объекта КВОИ. Поэтому система переходит к более риск-ориентированной модели, где ключевой вопрос звучит так: насколько инцидент повлиял на работу организации, данные, клиентов, государственные или общественно значимые процессы.

Особое значение это имеет в связи с административной ответственностью по новым статьям КоАП, которая наступает при возникновении киберинцидента высокого уровня. Поэтому корректная классификация инцидентов становится не только техническим, но и юридически значимым вопросом.

2. Документы должны работать

План реагирования и регламенты перестают быть формальностями. Они должны реально помогать быстро и слаженно действовать при возникновении угроз. Обновленный подход снижает избыточный документооборот, но не отменяет необходимость поддерживать порядок в процессах. У организации должны быть понятные ответы на базовые вопросы:

• кто фиксирует инцидент;
• кто принимает решение о реагировании;
• как связываться с ответственными лицами;
• какие системы нужно изолировать;
• как сохранять цифровые следы;
• кому и в какие сроки передается информация.

Если эти ответы существуют только «на бумаге», но не отработаны на практике, защита остается слабой.

3. Роль центров кибербезопасности возрастает

Для центров кибербезопасности требования становятся более зрелыми. Особенно это касается ЦКБ, которые оказывают услуги другим организациям.

Важный акцент сделан на наличии компетенций внутри команды. Для таких центров становятся обязательными наличие в штате профильных специалистов: экспертов по анализу вредоносного программного обеспечения и специалистов по оценке эффективности защищенности.

Это означает, что рынок должен двигаться от формального мониторинга к полноценной экспертизе: анализу атак, расследованию, тестированию на проникновение  и проверке реальной устойчивости инфраструктуры.

4. Аудит и оценка защищенности станут более содержательными

Одно из самых полезных изменений для заказчиков — детализация аудита кибербезопасности и оценки эффективности защищенности. Эти изменения родились из практики, когда могли возникать вопросы - что именно входит в аудит, насколько глубокой должна быть проверка, чем отличается полноценная оценка защищенности от автоматического сканирования уязвимостей. Теперь подход становится более унифицированным.

Это важно по двум причинам. Во-первых, заказчику проще понимать, за что он платит. Во-вторых, добросовестные исполнители получают более прозрачные правила работы, а формальные проверки «для отчета» постепенно теряют ценность.

Особое внимание уделяется практическим методам - моделированию действий злоумышленника, проверке веб- и мобильных приложений, эксплуатации выявленных уязвимостей, элементам социальной инженерии. То есть акцент смещается от вопроса «есть ли защита» к вопросу «сработает ли она при настоящей атаке».

5. Пересмотр договоров

Организациям, которые приобретают услуги по обеспечению кибербезопасности, стоит пересмотреть действующие договоры. Изменения затрагивают существенные условия таких договоров, поэтому документы, заключенные до 1 июля 2026 года, необходимо привести в соответствие новым требованиям до 31 декабря 2026 года.

В договоре должны быть четко определены состав услуг, порядок взаимодействия, ответственность сторон, требования к реагированию, отчетности и качеству выполняемых работ.

Что значат изменения для организации

Даже если компания не создает собственный ЦКБ и не относится к критически важной инфраструктуре, важно провести ревизию собственных систем и процедур по информационной безопасности уже сегодня. Основные меры — это анализ подключенных к интернету сервисов, назначение ответственных лиц, обновление инструкций, разработка структурной и логической схемы, проверка резервных копий и актуальных версий обновлений и оснащения по обнаружению и фиксации инцидентов.Новые правила показывают общий вектор - государство ожидает не формальной, а реально работающей защиты.

Минимальный набор действий выглядит так:

1. проверить, какие информационные системы и сервисы подключены к интернету;
2. назначить ответственных за кибербезопасность и реагирование на инциденты;
3. обновить внутренние инструкции и контакты для экстренной связи;
4. настроить резервное копирование и проверить восстановление данных;
5. обновить ПО, а также разработать процесс обновления ПО активов в течение месяца после выхода обновлений;
6. оценить защищенность сайтов, почты, VPN, удаленного доступа и рабочих станций;
7. подготовить порядок сохранения цифровых следов при инциденте;
8. убедиться, что подрядчики и администраторы понимают свои обязанности.

Главное — не ждать атаки, чтобы впервые выяснить, кто за что отвечает.

Что важно сделать до конца 2026 года организациям с собственными центрами кибербезопасности или действующими договорами на услуги ЦКБ приоритеты будут конкретными:

• проверить соответствие структуры центра новым требованиям;
• оценить наличие обязательных специалистов;
• пересмотреть договоры на услуги кибербезопасности;
• подготовиться к аудитам и оценке защищенности по обновленной методологии;
• актуализировать планы реагирования;
• выстроить порядок взаимодействия с Национальным центром кибербезопасности;
• проверить готовность фиксировать ход реагирования и сохранять индикаторы компрометации.

Для государственных органов и бюджетных организаций предусмотрен более длительный срок приведения центров в соответствие — до 1 июля 2027 года. Для иных организаций срок короче — до 31 декабря 2026 года.

Почему это важно

Новые требования показывают переход от формального подхода к практическому. Теперь кибербезопасность оценивается не только по наличию документов, средств защиты и назначенных ответственных, а по способности организации обнаружить инцидент, правильно отреагировать, сохранить доказательства, восстановить работу и не стать источником угрозы для других.

Это выгодно и государству, и бизнесу. Государство получает более устойчивую национальную цифровую инфраструктуру. Организации — более понятные правила, меньше неопределенности при выборе услуг и более прозрачные критерии качества. Добросовестные центры кибербезопасности — равные условия работы на рынке.