США: Новое руководство ISOO предписывает федеральным органам предоставлять подрядчикам более подробные разъяснения по вопросам работы с контролируемой несекретной информацией

Данная заметка была опубликована 11 сентября 2026 года на сайте юридической фирмы Crowell.

Мой комментарий: Здесь речь идёт о руководстве, выпущенном Офисом по контролю над информационной безопасностью (Information Security Oversight Office, ISOO, https://www.archives.gov/isoo ), входящим в структуру Национальных Архивов США. Речь идёт о «контролируемой несекретной информации» (Controlled Unclassified Information, CUI), которая примерно соответствует российским грифам «для служебного использования» и «служебная тайна». Подробнее о CUI см. подборку моих постов на блоге https://rusrim.blogspot.com/search/label/CUI.

2 сентября 2026 года Офис по контролю над информационной безопасностью (Information Security Oversight Office, ISOO) Национальных Архивов США (NARA) выпустил два новых уведомления (страница уведомлений располагается по адресу https://www.archives.gov/isoo/notices ), касающихся «контролируемой несекретной информации» (Controlled Unclassified Information, CUI): 

• уведомление ISOO № 2026-07 «Руководство для агентов федерального правительства по внедрению программы управления контролируемой несекретной информацией» (Executive Agent Guidance for Implementation of the Controlled Unclassified Information Program, см. https://www.archives.gov/files/isoo/notices/isoo-notice-2026-07-executive-agent-guidance-on-implementation-of-cui-program-508.pdf ); и 
  
  
• уведомление ISOO № 2026-08 «Программа управления контролируемой несекретной информации (CUI): Пересмотренные требования к исключениям» (Controlled Unclassified Information (CUI) Program Revised Requirements for Waivers, https://www.archives.gov/files/isoo/notices/isoo-notice-2026-08-cui-program-revised-requirements-for-waivers-508.pdf ).

«Контролируемая несекретная информация» (CUI) - это, согласно определению, данному в разделе 2002.4(h) части 32 Свода федеральных нормативных актов США (CFR, см. https://www.ecfr.gov/current/title-32/part-2002#p-2002.4(h) ) - категория информации, создаваемой или находящейся во владении федерального правительства (либо создаваемой или находящейся во владении сторонней организации по поручению или от имени федерального правительства), которая требует защиты или контроля распространения, но не относится к категории секретной информации. 

Контракты с федеральным правительством часто обязывают подрядчиков применять повышенные меры кибербезопасности и физической защиты для обеспечения сохранности CUI. Предполагается, что федеральные органы исполнительной власти должны информировать подрядчиков о том, какая именно относящаяся к контракту информация имеет статус CUI. Однако на практике подрядчикам зачастую сложно определить, что относится к «контролируемой несекретной информации». Кроме того, положения контрактов о защите и порядке обращения с CUI часто различаются в зависимости от конкретных программ и ведомств, а процессы выявления CUI-информации не унифицированы и порой недостаточно ясны.

Уведомление ISOO № 2026-07 «Руководство для агентов федерального правительства по внедрению программы управления контролируемой несекретной информацией» стремится решить некоторые из этих проблем. Ни данное уведомление, ни сопутствующее ему уведомление, касающееся исключений из требований к CUI (№ 2026-08), не адресованы и не применимы непосредственно к подрядчикам (оба документа предназначены для федеральных органов исполнительной власти), - однако они, тем не менее, может быть полезны и для подрядчиков. 

Важно отметить, что в уведомлении ISOO № 2026-07 федеральным органам исполнительной власти предписывается, в рамках «всех контрактов, требующих доступа к контролируемой несекретной информации», предоставлять генеральным подрядчикам как минимум следующие разъяснения:

• Выявление / идентификация конкретной информации, предоставленной государственным органом и отнесенной к категории CUI;
  
  
• Порядок отнесения созданной подрядчиком информации к категории CUI;
  
  
• Порядок оспаривания отнесения информации к категории CUI;
  
  
• Требования к обучению и соответствующие ресурсы;
  
  
• Требования к доступу;
  
  
• Требования к маркировке;
  
  
• Требования к обеспечению защиты;
  
  
• Требования к снятию с контроля и к проведению уничтожения CUI-информации;
  
  
• Требования к отчетности;
  
  
• Требования к проведению самопроверок;
  
  
• Порядок информирования о случаях ненадлежащего использования CUI; и
  
  
• Санкции за ненадлежащее использование CUI.

В уведомлении ISOO № 2026-07 содержатся дополнительные подробности по ряду указанных вопросов. Например, уведомление предписывает федеральным органам своевременно снимать статус CUI, когда информация более не требует защиты, а также «для всех видов CUI-информации указывать конкретную дату или событие, при наступлении которых снимается статус CUI». Кроме того, данный документ обязывает федеральные органы исполнительной власти внедрить процессы своевременного доведения до сведения заинтересованных сторон решений, принятых в случае оспаривания статуса CUI (т.е. решений, принятых по результатам рассмотрения возражений относительно отнесения информации к категории CUI).

Ключевые выводы для подрядчиков федеральных органов власти

Данное руководство служит очередным свидетельством того, что федеральной правительство США стремится более четко доводить до подрядчиков требования по обращению с CUI-информацией (контролируемой несекретной информацией). 

Ранее этим летом Совет по правилам федеральных закупок (Federal Acquisition Regulatory Council, FAR Council) опубликовал обновленный проект долгожданного «правила FAR в отношении CUI» (см. https://www.crowell.com/en/insights/client-alerts/last-call-far-cui-rule-draft-language-provides-an-opportunity-for-contractors-to-weigh-in-by-this-week ), предусматривающий введение новой стандартной формы, в которой будут перечислены все виды CUI, с которыми предполагается работать в ходе исполнения контракта. 

В то время. пока идет рассмотрение замечаний и предложений, поступивших на предложенный проект правилу, новые уведомления ISOO могут стать первым шагом к обеспечению большей ясности в отношении требований к работе с CUI в рамках контрактов. 

По мере того как федеральные ведомства начнут применять эти рекомендации, подрядчикам, со своей стороны, следует рассмотреть возможность инициативного запроса предусмотренной данным документом информации. Получение таких четких разъяснений в письменном виде на начальном этапе договорных отношений поможет четко определить обязательства по исполнению существующих требований и минимизировать риски, связанные как с избыточной, так и с недостаточной защитой CUI-информации.

Источник: сайт фирмы Crowell
https://www.crowell.com/en/insights/client-alerts/new-isoo-guidance-directs-federal-agencies-to-provide-more-cui-guidance-to-contractors