Мониторинг и реагирование
Защита от утечек и взломов
Защита бренда и репутации
Аудит и оценка рисков
Аудит • Киберчекап • Стратегия ИБ • Оценка и управление рисками
Пентесты инфраструктуры
Внешний периметр • Внутренний периметр • Wi-Fi
Социотехнический пентест
Оценка уровня осведомленности сотрудников правилами ИБ
Пентесты цифровых продуктов
Сайт • Веб-приложения • Мобильные приложения • Анализ исходного кода
Системы менеджмента ISO
Проектирование и внедрение: 27001, 27701, 22301, 20000, 42001
Аутсорсинг ИБ
vCISO • vDPO • vCompliance • vКИИ • Подписка на ИБ • Vulnerability mgmt
Безопасность ИИ
Оценка зрелости и рисков • LLMSecOps • Red Teaming LLM • ISO 42001
Безопасность разработки
Анализ угроз • Анализ кода • Внедрение и сертификация процессов
Повышение осведомленности
Платформа Security Awareness • Учебный фишинг • Разработка курсов на заказ
Защита АСУ ТП
Категорирование • Проектирование • Внедрение • Испытания
Требования Банка России
Комплаенс для банков • 716-П, 833-П, 850-П, 851-П, SWIFT CSCF, ГОСТ 57580
Защита ГИС
Оценка зрелости • Проектирование • Аттестация • СМЭВ
Защита объектов КИИ
Категорирование • Проектирование • Внедрение • Испытания
Персональные данные
Аудит 152-ФЗ • Моделирование угроз • ТЗ/ТП СЗПДн • Оценка эффективности
Защита от утечек данных DLP
DRP-сервис
Защита бренда и обнаружение цифровых угроз • Облачный сервис
SOC
Центр мониторинга и реагирования на инциденты ИБ
CYBERID
Комплексная защита данных, репутации и цифровых активов топ-менеджмента
Защита устройств и серверов
EPP • EDR • XDR • Sandbox и AntiAPT
Сетевая защита
NGFW • VPN • Proxy NAC NTA Криптошлюзы и криптокоммутаторы
Защита доступа и учётных записей
MFA • PAM • IDM
Аудит и консалтинг
Получить консультацию
Оставьте ваши данные и мы с вами свяжемся!
06.11.2026
Информационная безопасность в финансовом секторе: новый подход к оценке и защите
Разберем, какие новые требования появились в Постановлении Правительства РФ № 92 от 6 февраля 2026 года «Об утверждении отраслевых особенностей категорирования объектов критической информационной инфраструктуры Российской Федерации в банковской сфере и иных сферах финансового рынка», и что изменится для банковских организаций в части защиты критической информационной инфраструктуры.
Гульназ Хабибуллина
Ведущий консультант департамента соответствия требованиям по информационной безопасности, дивизион консалтинга и развития практик кибербезопасности
Что такое критическая информационная инфраструктура (КИИ)?
Критическая информационная инфраструктура – это информационные системы, информационно-телекоммуникационные сети и автоматизированные системы управления (АСУ) субъектов КИИ, а также сети электросвязи, используемые для организации их взаимодействия.
Кто будет являться субъектом КИИ в банковской сфере и иных сферах финансового рынка?
- Государственные органы и подведомственные им организации – Центральный банк РФ, Росфинмониторинг, Социальный фонд России и другие.
- Юридические организации, выполняющие функции (полномочия) в банковской сфере и иных сферах финансового рынка.
- Кредитные и некредитные финансовые организации – банки, платёжные системы, страховые компании и микрофинансовые организации.
- Профессиональные участники рынка – те, кто оказывает услуги в сфере финансовых платформ, фондов, бирж, операторов цифровых активов и обменных платформ.
Ключевые изменения, которые вносит Постановление № 92
Постановление № 92 не отменяет общие правила категорирования, указанные в Постановлении Правительства № 127, оно их уточняет и дополняет.
Теперь для банковской сферы закреплены:
- соотнесение критериев значимости с конкретными типами объектов КИИ;
- указаны конкретные формулы расчёта показателей (включая показатели № 9, № 10, № 101–107);
- особенности расчёта ущерба для бюджетов РФ (показатель № 9) – теперь к расчёту в обязательном порядке привлекаются сотрудники, отвечающие за управление рисками.
Обратим внимание, что раньше единых утверждённых подходов к расчётам не было – каждая организация считала по-своему. Теперь так делать нельзя.
Введена ежегодная отчётность по значимым объектам КИИ
Теперь банки и финансовые организации обязаны ежегодно направлять информацию о перечне своих значимых объектов КИИ:
- Срок – не позднее 10-го рабочего дня календарного года.
- Кому – в Банк России или Минфин России (в зависимости от типа организации).
Направлению подлежат:
- действующий перечень значимых объектов КИИ;
- решение о пересмотре или непересмотре установленных категорий по итогам предыдущего года.
Закреплена обязанность утвердить положение о комиссии по категорированию
В каждой организации теперь должно быть утверждено внутреннее положение о комиссии, которая занимается категорированием объектов КИИ.
Что делать банкам уже сейчас?
Пересмотреть ранее проведённое категорирование. Это ключевое требование, которое нельзя игнорировать.
Все субъекты КИИ из финансового сектора обязаны пересмотреть результаты категорирования с учётом Постановления № 92 и, в случае изменения результатов, направить обновлённые сведения во ФСТЭК России.
Если окажется, что объект, который раньше не считался значимым, теперь по новым правилам подпадает под категорию, — нужно вносить изменения и применять соответствующие меры защиты.
Что будет, если ничего не делать?
Нарушение требований по категорированию объектов КИИ влечёт административную ответственность по ст. 13.12.2 КоАП РФ:
- штраф на должностных лиц – от 10 000 до 50 000 рублей;
- на юридических лиц – от 100 000 до 500 000 рублей.
Кроме того, некатегорированный или неверно категорированный объект КИИ – это прямой риск для бизнеса, особенно с учётом ужесточения требований и обязанности по непрерывному взаимодействию с ГосСОПКА.
Чем быстрее финансовая организация проведёт такие работы, тем меньше риск получить предписание или штраф. Оптимальный сценарий: провести ревизию объектов КИИ и пересчитать критерии по новым формулам уже в ближайшие месяцы, чтобы к началу следующего календарного года быть полностью готовым к отчётности.
Читайте также:
Остались вопросы?
Оставьте свои контактные данные, чтобы мы могли связаться с вами для дальнейших шагов.
Информационная безопасность в финансовом секторе: новый подход к оценке и защите
Постановление № 92 от 06.02.2026: новые правила категорирования КИИ в банках, ежегодная отчётность, штрафы по ст. 13.12.2 КоАП и что делать банкам.
06.11.2026
Cookie и персональные данные: что нужно учитывать владельцам сайтов
Когда cookie считаются персональными данными, какие можно без согласия, что указать в cookie-баннере и почему мало политики конфиденциальности.
07.11.2026
Этапы подготовки к сертификации ISO/IEC 42001
Что такое ISO/IEC 42001 и как подготовиться к сертификации: структура стандарта, 5 этапов от обследования до аудита, цикл PDCA.
10.11.2026
10 шагов по внедрению ISO/IEC 27001
Пошаговый план внедрения ISO/IEC 27001 в 10 шагов: от области применения СУИБ до внутреннего аудита. Типовой срок подготовки — 5–12 месяцев.
05.11.2026
Другие статьи
Получайте новости из мира кибербезопасности, полезные материалы и специальные предложения для бизнеса. Отправляем только актуальную информацию — без лишних писем.
Оставайтесь на шаг впереди
Дайджесты
Акции
Чек-листы
Памятки
Новые услуги