У вас всего 10 дней на устранение замечаний, а не 10 на новое категорирование + 10 дней на отправку в фстэк

Просто меня удивило получение письма от ФСТЭК в конце рабочего дня 8 мая в режиме изоляции, введенной в стране. Т.о. на подготовку ответа даётся 5 рабочих дней.

Ответьте в разумные сроки, вряд ли к вам будут претензии

Всем привет! Получили письмо от ФСТЭК о внесении объекта в реестр значимых. Подскажите, в течении какого срока теперь необходимо выполнить все мероприятия по обеспечению безопасности?

Формально, уже надо все выполнить, но регулятор обещал лояльно подходить.

А сроки где-то прописаны?

Нет, поэтому и считается, что сразу все должно быть. Правда, проверять будут через 3 года в процессе гос контроля, но могут и раньше, если будут основания.

А если нет на это финансовых средств? Не нужно было подавать?

Нельзя эксплуатировать систему

А где об этом сказано?

ФСТЭК заявляла о выполнении 235/239 приказа в разумные сроки. Проверки прокуратуры показали, что разумный срок - 30 дней.

В УК РФ.

В приказе 239 установлено, что именно должно быть сделано до того, как можно будет начать эксплуатацию.

Это не значит, конечно, что вы немедленно должны прекратить эксплуатацию. Но сейчас вы нарушаете правила, установленные ФСТЭК для эксплуатации значимых объектов КИИ. Если произойдет инцидент, который может быть расценен как причинение вреда КИИ, это нарушение может быть квалифицировано как самостоятельное уголовное преступление, предусмотренное статьей 274.1 УК РФ

ФСТЭК по эксплуатации вообще ничего не выпускает. По обеспечению безопасности - да, но не по эксплуатации.  Для запрета эксплуатации ГИС потребовалось отдельное 676 ПП выпускать, хотя ст.274 УК РФ есть и 17 приказ в наличии. Но еще никто ее не применил ни разу за инциденты на не аттестованной ГИС

676 ПП уже вступило в силу?

В 2015 году. Оно только ГИС касается.

С некоторыми региональными регуляторами общался и они говорили, что необходимо будет разработать план создания системы защиты и постепенно внедрять в соответствии с планом.

"Постепенно" это какой может быть максимальный срок?

Про максимальный срок не спрашивал, но лучше не тянуть.

На практике чаще всего встречаю, что создание полноценной СЗИ разбивают на 3 года. Но если небольшие объекты, то в течение года реализуют.

Получается план составить и планировать по нему финансирование можно на 3 года?

Ну официально надо сразу выполнять требования 239/235 приказа Фстэк после включения в реестр ЗОКИИ.
Просто все понимают, что тут и сразу все не появится. План создания СЗИ в случае проверки поможет вам тем, что будет оправдание почему не создана СЗИ (Аля все в процессе деньги заложены).