Гос.учреждение является оператором ГИС, владелец ГИС ОИВ, а заказчик другой ОИВ. Собственно сам вопрос модель угроз разрабатывает оператор, кто должен разрабатывать ТЗ на СЗИ? если оператор, то нужно ли ТЗ на СЗИ согласовывать с кем-то из вышеперечисленных?
На практике подготовку проекта ТЗ поручают организации - разработчику системы (информационной либо СЗИ - что там у вас). На основании договора, с оплатой. Это потому, что разработчик технически более подготовлен к подобным делам, по кр. мере, так должно быть.
Заказчик обязан ТЗ утвердить.
На тему ТЗ существуют и гос. стандарты.
Почитайте Постановление Правительства 676 2015 г (с изменениями), там более-менее расписано. Разработать ТЗ может кто угодно, даже исполнитель (хе-хе), а вот утверждает орган власти.
