Нормативная база

NIST, CIS и OWASP не выдаются за требования российского законодательства. Статус указан явно.

Категорирование объектов КИИ и информирование о компьютерных инцидентах.

Меры защиты ПДн в ИСПДн. Обязательный регуляторный документ.

Добровольная рамка управления киберрисками. Это не закон РФ.

Приоритетные защитные меры. Методика, не замена приказов ФСТЭК.

Ориентир AppSec, не нормативный акт.

Требования к СУИБ. Сертификация возможна, российское право не заменяет.

Обязательные требования к обработке и защите ПДн. Не путать с NIST/CIS.