Состав по Методике ФСТЭК от 7 августа 2026

Отчёт об оценке уровня зрелости (Узи): состав по методике ФСТЭК и бланк

По результатам оценки уровня зрелости разрабатывается отчёт — так требует пункт 34 раздела VI Методики ФСТЭК России от 07.08.2026. Состав документа задан пунктом 35: тринадцать обязательных элементов от сведений об операторе до рекомендаций по совершенствованию. Утверждённой формы ФСТЭК не публиковала, поэтому оформление организация выбирает сама — обязателен именно состав.

Разбираем, что писать в каждом подпункте и откуда брать данные. Внизу — бланк в формате .docx и способ собрать отчёт автоматически из расчёта в калькуляторе.

Кто составляет отчёт и когда

Отчёт составляют по итогам оценки уровня зрелости — внутренней либо внешней. Внешнюю проводит организация с лицензией на деятельность по технической защите конфиденциальной информации (п. 6 Методики).

Сроки и субъект оценки заданы пунктом 32 Требований, утверждённых приказом ФСТЭК России от 11.04.2025 № 117, и они меняются:

Период	Кто рассчитывает и оценивает Узи	Периодичность
до 28 февраля 2027 года	оператор (обладатель информации)	не реже одного раза в два года
с 1 марта 2027 года	подрядная организация	до получения доступа к информационным системам, содержащейся в них информации и (или) передачи им информации, далее не реже одного раза в два года

Изменение внесено приказом ФСТЭК России от 08.05.2026 № 137 (зарегистрирован в Минюсте России 10.08.2026, рег. № 87797). Отдельно: с 1 сентября 2026 года абзац второй пункта 58 Требований обязывает оператора устанавливать в отношении подрядной организации требования не только по защите информации, к которой получен доступ, но и по расчёту и оценке показателя уровня зрелости Узи. Практический вывод для подрядчика: подтверждать зрелость придётся перед каждым заказчиком, и отчёт — основной способ это сделать.

Куда сдавать отчёт. Никуда.

Это внутренний документ: по пункту 36 раздела VI Методики он подписывается специалистами, проводившими оценку, и утверждается руководителем оператора либо ответственным за защиту информации. Во ФСТЭК России по пункту 32 Требований направляются результаты оценки показателей, а с 1 марта 2027 года в этом пункте остаётся только показатель защищённости Кзи.

Состав отчёта: 13 подпунктов пункта 35

Подпункт	Что включить	Откуда взять
а	сведения об операторе, включая действующие требования по защите информации	реквизиты организации; приказ, под который она подпадает — Методика привязана к пяти: № 117 (ГИС), № 239 (ЗОКИИ), № 21 (ИСПДн) и два приказа № 31 (ОПК и АСУ ТП)
б	дата проведения оценки	период работ, зафиксированный в приказе о проведении оценки
в	сведения о лицах, проводивших оценку: ФИО, должность, организация, контакты	приказ о создании комиссии либо договор с лицензиатом при внешней оценке
г	сведения об участниках, в том числе предоставлявших исходные данные	подразделения и работники, отвечавшие на запросы
д	результаты предыдущей оценки, достигнутые значения и графическая интерпретация — при её проведении	прошлый отчёт; при первой оценке пишется «оценка проводится впервые»
е	исходные данные, на основании которых проводилась оценка	перечень п. 19: политика защиты информации, ОРД о полномочиях лиц и подразделений, внутренние стандарты и регламенты, план мероприятий, отчёты и протоколы по результатам мер, результаты последней оценки, отчёты по контролю защищённости
ж	сведения об используемых методах и инструментах	как собирали данные и чем считали
з	перечень направлений деятельности — областей оценки	21 направление; исключённые направления перечисляют с обоснованием
и	результаты оценки Dij и расчёт Pзн по каждому направлению	таблица расчёта: 8 видов требований × 21 направление
к	текущие Узитi с подтверждающими документами, инструментальными средствами и отчётной документацией, вывод о достижении целевых уровней и расчёт итогового Узи	самая трудоёмкая часть — см. раздел ниже
л	графическая интерпретация целевых уровней на основе текущих	диаграмма профиля уровней зрелости, вид — радар
м	направления с недостигнутыми целевыми значениями и виды требований с недостатками	вывод из расчёта
н	рекомендации по совершенствованию: мероприятия, сроки, ответственные подразделения и работники	формируются под каждое недостигнутое направление
п. 36	подписи специалистов-оценщиков и утверждение руководителем либо ответственным за защиту информации	оператор несёт ответственность за качество и объективность проведённой оценки

Восемь видов требований, по которым оценивается каждое направление, имеют разные веса: выполнение — 0,2; документирование и контроль — по 0,15; инструменты, квалификация, обучение, внешний аудит и актуализация — по 0,1. Иерархия читается прямо: фактическое выполнение регламента весит больше, чем сам регламент.

Подтверждающие документы для подпункта «к»

Пункт 35 требует не только цифры, но и доказательства: по каждому направлению — подтверждающие документы, инструментальные средства и отчётную документацию. Это самая объёмная часть работы, и её удобно собирать заранее, до расчёта.

документирование — утверждённые политика, стандарты, регламенты с отметками об ознакомлении и датами актуализации

выполнение — журналы, протоколы, заявки, тикеты, приказы, подтверждающие, что регламент исполняется

инструменты — перечень средств защиты и систем, скриншоты конфигураций, паспорта и формуляры

квалификация — должностные инструкции, дипломы, удостоверения о повышении квалификации

контроль — отчёты по контролю уровня защищённости, акты внутренних проверок

обучение — программы, ведомости, результаты проверки знаний

внешний аудит — отчёты внешних оценок и аттестационные документы

актуализация — листы регистрации изменений, приказы об утверждении новых редакций

Пункт 24: непредставление подразделением запрошенных данных — основание присвоить направлению нулевые значения. Молчание коллег обнуляет направление целиком, поэтому запросы фиксируют письменно.

Пункт 22: при внутренней оценке специалист не оценивает материалы о результатах собственных функций — состав комиссии подбирают с учётом этого ограничения.

Формы отчёта ФСТЭК не утвердила

Ни приложением к Методике, ни отдельным документом форма отчёта не установлена. Обязателен состав по пункту 35 и порядок утверждения по пункту 36 — всё остальное на усмотрение организации: структура разделов, оформление таблиц, вид диаграммы.

Отсюда практический принцип: разделы отчёта лучше называть словами Методики и нумеровать по подпунктам а–н. Проверяющему тогда очевидно, что состав соблюдён, а вам не придётся доказывать соответствие пересказом.

Уровни зрелости и целевые значения

Итоговый Узи — среднее арифметическое уровней зрелости по оцениваемым направлениям (п. 10 Методики). Неприменимые направления исключаются из области оценки (п. 13). Целевые уровни по п. 11: 3 класс — не ниже 1, 2 класс — не ниже 2, 1 класс — не ниже 3.

Четвёртый уровень «верифицируемый» недостижим без регулярных внешних оценок — по табл. 3 он требует максимального значения по виду требований «внешний аудит». Внешнюю оценку проводит лицензиат.

Бланк .docx

Шаблон отчёта с 14 разделами ровно по подпунктам а–н и грифом утверждения по пункту 36. Подходит, если оценку проводили вручную и нужно только оформить результат. Готового образца отчёта по этой методике в открытых источниках нет — документ появился 7 августа 2026 года, и наш бланк собран непосредственно по составу пункта 35.

Автоматическая сборка

Если считать в нашем калькуляторе уровня зрелости, отчёт формируется из фактического расчёта: значения Dij по восьми видам требований, Pзн и Узитi по каждому из 21 направления, итоговый Узи, диаграмма профиля, перечень недостигнутых целей и заготовка рекомендаций. Останется заполнить реквизитную часть — сведения об операторе, оценщиках, участниках и подтверждающих документах.

Рассчитать Узи и собрать отчёт

Пять ошибок при оформлении отчёта

Путаница двух пунктов 35. Состав отчёта — пункт 35 раздела VI Методики. Пункт 35 Требований приказа № 117 — про оценку достаточности мероприятий, и его правит приказ № 137. В документе ссылайтесь полно, иначе проверяющий читает не тот пункт.

Попытка сдать отчёт во ФСТЭК. Отчёт внутренний. Регулятору по пункту 32 Требований направляют результаты оценки показателей — и с 1 марта 2027 года только Кзи.

Цифры без доказательств. Подпункт «к» требует подтверждающие документы, инструментальные средства и отчётную документацию. Таблица с баллами без ссылок на доказательства состав отчёта не закрывает.

Пропущенная ретроспектива. Подпункт «д» требует результаты предыдущей оценки, а пункт 33 задаёт четыре официальные категории динамики: позитивная, положительная, нулевая и негативная. Это разные термины: позитивная — переход организации на следующий уровень, положительная — рост по отдельным направлениям.

Исключение направлений без следа в отчёте. Методика разрешает исключить неприменимые направления и уменьшить их число в расчёте (п. 13), но подпункт «з» требует перечень направлений — областей оценки. Логично привести там и исключённые направления с причиной: иначе из отчёта не видно, почему в расчёте не 21 направление.

Частые вопросы

Есть ли утверждённая форма отчёта об оценке уровня зрелости?

Нет. ФСТЭК России установила состав отчёта — тринадцать элементов пункта 35 раздела VI Методики от 07.08.2026 — и порядок его утверждения по пункту 36. Форму, бланк или шаблон регулятор не публиковал. Организация оформляет отчёт самостоятельно, главное — чтобы все обязательные элементы состава присутствовали. Удобный приём: называть разделы формулировками Методики и нумеровать по подпунктам а–н.

Кто утверждает отчёт об оценке уровня зрелости?

Отчёт подписывают специалисты, проводившие оценку, и утверждает руководитель оператора либо лицо, ответственное за защиту информации — так требует пункт 36 раздела VI Методики. Там же закреплено, что ответственность за качество и объективность проведённой оценки несёт оператор. Поэтому подписи оценщиков и гриф утверждения — обязательные реквизиты, без них документ не считается оформленным.

Нужно ли направлять отчёт во ФСТЭК России?

Нет, отчёт остаётся внутренним документом организации. Во ФСТЭК России по пункту 32 Требований направляются результаты оценки показателей в срок не позднее 5 рабочих дней после дня расчёта. С 1 марта 2027 года в новой редакции пункта 32 остаётся только показатель защищённости Кзи — приказ ФСТЭК России от 08.05.2026 № 137. Сам отчёт по составу пункта 35 регулятору не сдаётся ни сейчас, ни после этой даты.

Кто должен составлять отчёт — оператор или подрядчик?

Сейчас расчёт и оценку уровня зрелости проводит оператор не реже одного раза в два года, значит и отчёт готовит он. С 1 марта 2027 года пункт 32 Требований действует в новой редакции: расчёт и оценку Узи проводит подрядная организация до получения доступа к информационным системам, содержащейся в них информации и (или) передачи им информации, далее не реже одного раза в два года. Кроме того, с 1 сентября 2026 года оператор обязан устанавливать подрядчику требования по расчёту и оценке Узи — абзац второй пункта 58 Требований.

Нужен ли лицензиат ФСТЭК для оценки уровня зрелости?

Для внутренней оценки — нет, её проводят силами организации. Внешнюю оценку по пункту 6 Методики проводит организация, имеющая лицензию на деятельность по технической защите конфиденциальной информации. Практический нюанс: четвёртый уровень зрелости «верифицируемый» требует максимального значения по виду требований «внешний аудит», поэтому без регулярных внешних оценок он недостижим — организация останется на третьем уровне.

Чем отчёт об оценке зрелости отличается от отчётности по показателю Кзи?

Это разные документопотоки. Кзи — показатель защищённости, его рассчитывает оператор не реже одного раза в шесть месяцев, а результаты направляются во ФСТЭК России в срок не позднее 5 рабочих дней после дня расчёта. Узи — показатель уровня зрелости, он считается по отдельной методике от 07.08.2026, оформляется отчётом по пункту 35 раздела VI и утверждается внутри организации. Совпадение номеров пунктов и похожие названия документов — источник большинства ошибок.

Что писать в подпункте «д», если оценка проводится впервые?

Подпункт «д» требует результаты предыдущей оценки и их графическую интерпретацию «при её проведении» — то есть при первой оценке раздел не пропускают, а заполняют указанием, что оценка проводится впервые и данных для сравнения нет. Со второй оценки в этом разделе появляется сравнение и вывод о динамике по четырём официальным категориям пункта 33: позитивная, положительная, нулевая или негативная.

Нужна внешняя оценка или разбор отчёта специалистом

Проведём оценку уровня зрелости как лицензиат ФСТЭК и поможем собрать отчёт по составу пункта 35

Рассчитать Узи