Приказ ФСТЭК России № 117 от 11.04.2025

1. Оператором (обладателем информации) устанавливаются три класса защищенности информационных систем, определяющие уровни защищенности содержащейся в них информации. Самый низкий класс - третий, самый высокий - первый. Класс защищенности информационной системы (первый класс (далее - К1), второй класс (далее - К2), третий класс (далее - К3) определяется в зависимости от уровня значимости информации (далее - УЗ), обрабатываемой в этой информационной системе, и масштаба информационной системы. 

2. Уровень значимости информации определяется в зависимости от степени возможных негативных последствий (ущерба) для обладателя информации и (или) оператора от нарушения конфиденциальности (неправомерные доступ, копирование, предоставление или распространение), целостности (неправомерные уничтожение или модифицирование) или доступности (неправомерное блокирование) информации. Негативные последствия (ущерб) определяются в том числе на основе перечня негативных последствий, включенных в банк данных угроз безопасности информации ФСТЭК России. Степень возможного ущерба определяется обладателем информации или оператором (обладателем информации) в соответствии с таблицей 1:
Степень возможного ущерба
Высокая
Возможный ущерб от нарушения безопасности информации и (или) функционирования информационной системы
Возможны существенные негативные последствия в социальной, политической, международной, экономической, финансовой или иных областях деятельности и (или) информационная система и (или) оператор, обладатель информации не могут выполнять возложенные на них функции
Степень возможного ущерба
Средняя
Возможный ущерб от нарушения безопасности информации и (или) функционирования информационной системы
Возможны умеренные негативные последствия в социальной, политической, международной, экономической, финансовой или иных областях деятельности и (или) информационная система и (или) оператор, обладатель информации не могут выполнять хотя бы одну из возложенных на них функций
Степень возможного ущерба
Низкая
Возможный ущерб от нарушения безопасности информации и (или) функционирования информационной системы
Возможны незначительные негативные последствия в социальной, политической, международной, экономической, финансовой или иных областях деятельности и (или) информационная система и (или) оператор, обладатель информации могут выполнять возложенные на них функции с недостаточной эффективностью или выполнение функций возможно только с привлечением дополнительных сил и средств 

3. Высокий уровень значимости (далее - УЗ 1) должен устанавливаться, если хотя бы для одного из свойств безопасности информации (конфиденциальности, целостности, доступности) определена высокая степень ущерба. 
Средний уровень значимости (далее - УЗ 2) должен устанавливаться, если хотя бы для одного из свойств безопасности информации (конфиденциальности, целостности, доступности) определена средняя степень ущерба и нет ни одного свойства, для которого определена высокая степень ущерба. 
Низкий уровень значимости (далее - УЗ 3) должен устанавливаться, если для всех свойств безопасности информации (конфиденциальности, целостности, доступности) определены низкие степени ущерба. 

4. Для информации, которая отнесена к информации ограниченного распространения и для носителей которой установлена ограничительная пометка "для служебного пользования", должен быть установлен УЗ 1. 

5. При обработке в информационной системе двух и более видов информации УЗ определяется отдельно для каждого вида информации. Итоговый УЗ, обрабатываемой в информационной системе, устанавливается по наивысшим значениям степени возможного ущерба, определенным для конфиденциальности, целостности, доступности информации каждого вида информации. 

6. Для информационной системы должен быть определен федеральный масштаб, если она предназначена для решения задач на всей территории Российской Федерации или в пределах двух и более субъектов Российской Федерации. 
Для информационной системы должен быть определен региональный масштаб, если она предназначена для решения задач в пределах одного субъекта Российской Федерации.
Для информационной системы должен быть определен объектовой масштаб, если она предназначена для решения задач в пределах объекта (объектов) одного государственного органа, муниципального образования, организации. 

7. Класс защищенности информационной системы определяется в соответствии с таблицей 2:
УЗ
УЗ 1
Масштаб информационной системы
Федеральный К1
Региональный К1
Объектовый К1
УЗ
УЗ 2
Масштаб информационной системы
Федеральный К1
Региональный К2
Объектовый К2
УЗ
УЗ 3
Масштаб информационной системы
Федеральный К2
Региональный К3
Объектовый К3

8. Классы защищенности информационных систем, функционирующих на базе информационно-телекоммуникационной инфраструктуры, не должны быть выше класса защищенности этой информационно-телекоммуникационной инфраструктуры. 

9. Допускается присвоение отдельным сегментам информационной системы разных классов защищенности. В этом случае меры по защите информации сегментов информационной системы и содержащейся в них информации - должны приниматься в соответствии с присвоенными им классами защищенности. 

10. Результаты классификации оформляются актом, который утверждается оператором (обладателем информации). Акт классификации должен содержать наименование классифицируемой системы и сегментов информационной системы при их наличии, УЗ или УЗ в сегментах информационной системы при их наличии, масштаб информационной системы и (или) сегментов информационной системы при их наличии, присвоенный класс защищенности информационной системе или сегментам информационной системы при их наличии. Допускается оформление единого акта классификации на несколько сегментов информационной системы одного оператора (обладателя информации). 

11. Класс защищенности информационной системы (сегментов информационной системы) подлежит пересмотру при изменении масштаба информационной системы (сегментов информационной системы) или значимости содержащейся в ней информации (в сегментах информационной системы).