В соответствии с п. 1.4.1. Определение уровня защиты информации должно осуществляться некредитной финансовой организацией ежегодно не позднее десятого рабочего дня календарного года определения уровня защиты информации (далее – дата определения уровня защиты информации).
В данном пункте не указано, и не разделено на организации попадающие под ГОСТ и не попадающие. Соответственно данное требование должны выполнять абсолютно все некредитные финансовые организации, в независимости от выбранного уровня защиты.