Закон 187-ФЗ и обязанности субъектов КИИ
Федеральный закон № 187-ФЗ обязывает владельцев критической информационной инфраструктуры (КИИ) защищать цифровые активы. Государство контролирует стабильность систем в ключевых отраслях. Субъектами КИИ выступают государственные органы и частные компании, которые используют информационные системы в стратегических сферах экономики. Ошибки в соблюдении регламентов приводят к блокировкам работы и уголовному преследованию менеджмента.
К субъектам КИИ закон относит организации из следующих отраслей:
- Здравоохранение и фармакология.
- Транспортная логистика и связь.
- Энергетика и топливно-энергетический комплекс.
- Банковский сектор и финансовые рынки.
- Горнодобывающая, металлургическая и химическая промышленность.
- Оборонная и ракетно-космическая отрасль.
Закон требует от руководителей компаний не только внедрения технических средств, но и полного юридического оформления процессов защиты информации.
Этапы категорирования объектов КИИ
Соблюдение требований ФСТЭК начинается с процедуры категорирования. Руководитель организации издает приказ о создании комиссии. В состав входят штатные специалисты по безопасности, ИТ-директора и юристы. Комиссия выявляет информационные системы, автоматизированные системы управления (АСУ ТП) и информационно-телекоммуникационные сети. Каждый объект проходит оценку по показателям значимости.
Регулятор выделяет пять групп показателей для присвоения категории:
- Социальный вред. Оценивается риск для жизни людей или угроза сбоя в оказании экстренных услуг.
- Политический ущерб. Анализируются угрозы международным отношениям и репутации страны.
- Экономические потери. Рассчитывается прямой ущерб бюджету или рыночной капитализации.
- Экологические последствия. Проверяется вероятность загрязнения среды при сбое системы.
- Оборонное значение. Учитывается влияние на выполнение государственного оборонного заказа.
По результатам анализа комиссия присваивает объекту одну из трех категорий значимости. Если система не соответствует критериям, ее признают незначимым объектом. Сведения о результатах категорирования компания направляет во ФСТЭК России. Регулятор проверяет обоснованность выводов в течение 30 дней. При обнаружении неточностей ведомство возвращает документы на доработку.
Техническая защита и импортозамещение
Владельцы значимых объектов КИИ (ЗОКИИ) обязаны построить систему безопасности. Приказы ФСТЭК № 235 и № 239 определяют правила проектирования и эксплуатации таких систем. Организация внедряет сертифицированные средства защиты информации. Персонал проходит обучение работе в условиях киберугроз. Компания регулярно проводит аудит безопасности и устраняет уязвимости в коде.
Указ Президента № 166 устанавливает жесткий график перехода на отечественное программное обеспечение. С 1 января 2026 года государственным органам и компаниям-заказчикам запрещено использовать иностранный софт на значимых объектах КИИ. Это требование касается и средств защиты информации. Замена продуктов из недружественных стран требует предварительного планирования и тестирования совместимости.
Взаимодействие с ГосСОПКА
Субъекты КИИ обязаны уведомлять Национальный координационный центр по компьютерным инцидентам (НКЦКИ) о любых атаках. Для этого компания подключается к государственной системе обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА). Информация об инциденте передается в течение 24 часов. Невыполнение этой обязанности влечет санкции со стороны регуляторов.
Отсутствие связи с ГосСОПКА лишает организацию поддержки со стороны государственных центров мониторинга в момент масштабной хакерской атаки.
Уголовная ответственность по статье 274.1 УК РФ
Законодательство России предусматривает суровое наказание за нарушения в сфере КИИ. Статья 274.1 УК РФ содержит нормы, по которым судят не только хакеров, но и должностных лиц. Нарушение правил эксплуатации средств хранения или обработки данных ведет к лишению свободы на срок до 6 лет. Если халатность повлекла тяжкие последствия, срок увеличивается до 10 лет.
Следственные органы привлекают к ответственности генеральных директоров и руководителей служб безопасности. Прокуратура доказывает вину через отсутствие необходимых регламентов или дефицит финансирования систем защиты. Грамотный регуляторный комплаенс исключает риск личного преследования менеджмента.
Юридические услуги по сопровождению КИИ
Наши юристы сопровождают бизнес на всех стадиях выполнения закона 187-ФЗ. Мы берем на себя взаимодействие с государственными ведомствами и подготовку документов. Прозрачный аудит систем позволяет избежать лишних расходов на избыточную защиту. Мы фокусируемся на минимизации юридических рисков для собственников.
В пакет услуг по комплаенсу КИИ входят следующие действия:
- Проведение инвентаризации ИТ-ландшафта компании.
- Разработка внутренних приказов о создании комиссии и регламентов защиты.
- Подготовка актов категорирования и обоснований для ФСТЭК.
- Юридическая экспертиза договоров с поставщиками СЗИ и ИТ-решений.
- Представительство интересов компании при выездных проверках ФСБ и ФСТЭК.
- Консультации по внедрению политики импортозамещения до 2026 года.
Правильное категорирование экономит средства компании. Объекты без категории требуют меньшего объема инвестиций в инфраструктуру. Мы помогаем найти баланс между требованиями безопасности и интересами бизнеса. Качественная документация служит доказательством добросовестности компании в случае судебных разбирательств или проверок регуляторов.