Утверждено

постановлением Правительства

Российской Федерации

от 26 марта 2025 г. N 372

ПОЛОЖЕНИЕ
О ПРОВЕДЕНИИ ЭКСПЕРИМЕНТА ПО ПОВЫШЕНИЮ УРОВНЯ ЗАЩИЩЕННОСТИ
ГОСУДАРСТВЕННЫХ ИНФОРМАЦИОННЫХ СИСТЕМ ФЕДЕРАЛЬНЫХ ОРГАНОВ
ИСПОЛНИТЕЛЬНОЙ ВЛАСТИ И ПОДВЕДОМСТВЕННЫХ ИМ УЧРЕЖДЕНИЙ

1. Настоящее Положение устанавливает порядок проведения эксперимента по повышению уровня защищенности государственных информационных систем федеральных органов исполнительной власти и подведомственных им учреждений (далее - эксперимент).

2. Понятия, используемые в настоящем Положении, означают следующее:

"информационная система" - совокупность содержащейся в базах данных информации и обеспечивающих ее обработку информационных технологий и технических средств;

"государственная информационная система" - информационная система, которая создается в целях реализации полномочий участников эксперимента и обеспечения обмена информацией между ними, а также в иных установленных федеральными законами целях.

3. Участниками эксперимента являются:

а) Министерство цифрового развития, связи и массовых коммуникаций Российской Федерации;

б) федеральные органы исполнительной власти и подведомственные им учреждения (по согласованию с федеральными органами исполнительной власти, осуществляющими функции учредителя) - на добровольной основе и на основании совместных ведомственных актов (соглашений о взаимодействии).

4. Государственные органы, не являющиеся федеральными органами исполнительной власти, подведомственные им учреждения, государственные внебюджетные фонды и иные организации могут привлекаться к участию в эксперименте по согласованию с ними и по решению президиума Правительственной комиссии по цифровому развитию, использованию информационных технологий для улучшения качества жизни и условий ведения предпринимательской деятельности.

5. Целями эксперимента являются:

а) получение независимой оценки текущего уровня защищенности государственных информационных систем;

б) сбор информации (инвентаризация) о системах защиты информации, размещенной в государственных информационных системах, выявление недостатков (уязвимостей) систем защиты информации и программного обеспечения, применяемых в государственных информационных системах, а также оценка возможности их использования нарушителем;

в) проверка практической возможности использования нарушителем выявленных недостатков (уязвимостей) систем защиты информации и программного обеспечения, применяемых в государственных информационных системах;

г) получение оценки возможности возникновения недопустимых для процессов государственной информационной системы событий;

д) выявление существующих недостатков (уязвимостей) в инфраструктурных, архитектурных и организационных решениях государственных информационных систем, которые могут быть использованы внешними и внутренними нарушителями для осуществления несанкционированных действий, направленных на нарушение конфиденциальности, целостности и доступности обрабатываемой в государственной информационной системе информации;

е) разработка перечня мер, направленных на нейтрализацию выявленных в государственных информационных системах в рамках эксперимента недостатков (уязвимостей);

ж) проведение мероприятий по устранению выявленных в государственных информационных системах недостатков (уязвимостей).

6. Перечень государственных информационных систем, в отношении которых проводится эксперимент, утверждается решением президиума Правительственной комиссии по цифровому развитию, использованию информационных технологий для улучшения качества жизни и условий ведения предпринимательской деятельности.

7. Для участия в эксперименте федеральным органом исполнительной власти или подведомственным ему учреждением (по согласованию с федеральным органом исполнительной власти, осуществляющим функции его учредителя) в Министерство цифрового развития, связи и массовых коммуникаций Российской Федерации подается в письменной форме заявка на участие в эксперименте согласно приложению (далее - заявка), которой подтверждается готовность государственной информационной системы, указанной в заявке, к участию в эксперименте.

8. Министерство цифрового развития, связи и массовых коммуникаций Российской Федерации обеспечивает рассмотрение заявки в целях определения готовности государственной информационной системы, указанной в заявке, к участию в эксперименте и в 30-дневный срок со дня получения заявки уведомляет федеральный орган исполнительной власти или подведомственное ему учреждение о результатах рассмотрения заявки, а также о возможности проведения эксперимента в отношении заявленной государственной информационной системы и принятия совместного ведомственного акта (заключения соглашения о взаимодействии).

9. Организация проведения работ по повышению уровня защищенности государственных информационных систем федеральных органов исполнительной власти и подведомственных им учреждений в рамках эксперимента осуществляется Министерством цифрового развития, связи и массовых коммуникаций Российской Федерации в соответствии с совместным ведомственным актом (соглашением о взаимодействии).

10. Министерство цифрового развития, связи и массовых коммуникаций Российской Федерации за 3 календарных дня до начала выполнения работ по повышению уровня защищенности государственных информационных систем в рамках эксперимента уведомляет об их выполнении:

участников эксперимента, указанных в подпункте "б" пункта 3 настоящего Положения;

Федеральную службу безопасности Российской Федерации;

Федеральную службу по техническому и экспортному контролю.

В случае привлечения к выполнению работ по повышению уровня защищенности государственных информационных систем федерального государственного учреждения, подведомственного Министерству цифрового развития, связи и массовых коммуникаций Российской Федерации, обязанность уведомления о выполнении работ участников эксперимента, указанных в подпункте "б" пункта 3 настоящего Положения, а также Федеральной службы безопасности Российской Федерации и Федеральной службы по техническому и экспортному контролю возлагается на указанное учреждение.

Для проведения эксперимента участники эксперимента, указанные в подпункте "б" пункта 3 настоящего Положения, по запросу представляют в Министерство цифрового развития, связи и массовых коммуникаций Российской Федерации информацию, необходимую для выполнения работ по повышению уровня защищенности государственных информационных систем.

11. Министерство цифрового развития, связи и массовых коммуникаций Российской Федерации в рамках эксперимента:

а) обеспечивает принятие совместных ведомственных актов (заключение соглашений о взаимодействии), предусмотренных пунктом 9 настоящего Положения, на основании которых организует выполнение работ по повышению уровня защищенности государственных информационных систем участников эксперимента, указанных в подпункте "б" пункта 3 настоящего Положения;

б) в 30-дневный срок со дня завершения выполнения работ по повышению уровня защищенности государственных информационных систем направляет участникам эксперимента, указанным в подпункте "б" пункта 3 настоящего Положения, информацию о результатах выполненных работ по повышению уровня защищенности государственных информационных систем;

в) осуществляет совместно с Федеральной службой безопасности Российской Федерации и Федеральной службой по техническому и экспортному контролю контроль за ходом реализации участниками эксперимента, указанными в подпункте "б" пункта 3 настоящего Положения, мероприятий по устранению выявленных в государственных информационных системах в рамках эксперимента недостатков (уязвимостей);

г) разрабатывает и согласовывает техническое задание на проведение работ по анализу защищенности государственных информационных систем федеральных органов исполнительной власти и подведомственных им учреждений с Федеральной службой безопасности Российской Федерации и Федеральной службой по техническому и экспортному контролю.

12. Участники эксперимента, указанные в подпункте "б" пункта 3 настоящего Положения:

а) в 30-дневный срок со дня получения информации, указанной в подпункте "б" пункта 11 настоящего Положения, разрабатывают и согласовывают с Федеральной службой безопасности Российской Федерации, Федеральной службой по техническому и экспортному контролю перечень мер, направленных на нейтрализацию выявленных в государственных информационных системах в рамках эксперимента недостатков (уязвимостей);

б) в течение 15 дней с даты согласования Федеральной службой безопасности Российской Федерации, Федеральной службой по техническому и экспортному контролю перечня мер, указанного в подпункте "а" настоящего пункта, утверждают его ведомственным актом и направляют в Министерство цифрового развития, связи и массовых коммуникаций Российской Федерации, Федеральную службу безопасности Российской Федерации и Федеральную службу по техническому и экспортному контролю;

в) проводят в соответствии с утвержденным перечнем мер, указанным в подпункте "а" настоящего пункта, мероприятия по устранению выявленных в государственных информационных системах в рамках эксперимента недостатков (уязвимостей);

г) до устранения всех выявленных в рамках эксперимента недостатков (уязвимостей) ежеквартально, не позднее 15-го числа месяца, следующего за отчетным кварталом, представляют в Федеральную службу безопасности Российской Федерации, Федеральную службу по техническому и экспортному контролю, Министерство цифрового развития, связи и массовых коммуникаций Российской Федерации информацию об устранении выявленных в государственных информационных системах в рамках эксперимента недостатков (уязвимостей).