За грубые нарушения — до 10 лет лишения свободы. Что такое критическая информационная инфраструктура и почему бизнесу важно её защищать

Критическая информационная инфраструктура (КИИ) — это системы, сети и базы данных, которыми пользуются компании из ключевых отраслей экономики, например, банки или химические производства. Если программа или сеть в таких компаниях перестанет работать, это повлияет на государственную безопасность и экономику страны. Например, сбой системы у интернет-провайдера может оставить полгорода без сети. Чтобы таких ситуаций не было, правительство приняло федеральный закон № 187, который объясняет, кто и как должен защищать информационную инфраструктуру.

Зачем защищать компьютерные системы и сети:

За достижение целей закона отвечают Федеральная служба по техническому и экспортному контролю, которая отвечает за защиту информации.ФСТЭК и ФСБ. Они проверяют бизнес и накладывают санкции на те компании, которые нарушают правила.

Защищайте информационные системы организации, если подходите под три критерия:

С 2025 года 187-ФЗ не распространяется на индивидуальных предпринимателей. Но если ИП сотрудничает с ООО и обслуживает значимые объекты КИИ, то организация обяжет предпринимателя соблюдать правила информационной безопасности. Например, ИП должен будет использовать сертифицированные средства защиты информации, ограничивать доступы, реагировать на инциденты, выполнять предписания ФСТЭК и ФСБ.

В феврале 2026 года правительство распоряжением № 360-р утвердило перечень отраслевых объектов КИИ. В документе перечислено более 500 видов компьютерных систем и Системы для передачи данных, например, сотовая связь, интернет или локальная компьютерная сеть в компании.телекоммуникационных сетей в разных сферах:

Иногда компания относится к отрасли косвенно. Например, организация занята в сельском хозяйстве и напрямую не входит в перечень. Но у компании есть свой исследовательский центр, где специалисты разрабатывают удобрения. Бизнес вкладывает деньги в научно-исследовательские и опытно-конструкторские работы, а это уже сфера науки. Если в своей научной деятельности компания использует информационные системы, то она подпадает под 187-ФЗ.

Чтобы определить, входят ли ваши информационные системы в КИИ:

«Основной объём требований по защите информационных систем касается только тех компаний, которые владеют значимыми объектами критической информационной инфраструктуры, для них действуют наиболее строгие требования законодательства. Оцените, насколько каждая ваша система соответствует категории значимости. И уже в зависимости от этого будет понятно, какие требования вам нужно соблюдать», — Дмитрий Воронин, юрист Точка Банка.

Используйте российские программы и сервисы для защиты информации. Указ президента № 250 запрещает субъектам КИИ закупать и использовать средства защиты информации (например, антивирусы, межсетевые экраны или сервисы шифрования данных) из недружественных стран.

Ищите разрешённые отечественные программы в реестре российского ПО. Скоро в реестре появятся пометки о доверенном ПО — это программы и сервисы, которые не просто разработаны в России, но и прошли проверку на соответствие всем требованиям о защите КИИ.

Если у вас есть значимые объекты КИИ, перейдите на российские доверенные ПО до 1 января 2028 года — это требование и дедлайн прописаны в постановлении правительства № 1912. Если объекты не имеют категории значимости, переходить на импортозамещение необязательно, но рекомендовано.

Если у вас есть значимые объекты критической информационной инфраструктуры, защищайте их от атак и поломок. Найдите слабые места в информационной безопасности компании, разработайте план по защите от кибератак и воплотите его в жизнь — этого требует приказ ФСТЭК № 239. В частности, установите антивирусы, права доступа к разным системам и обучите сотрудников основам кибербезопасности.

Реагируйте на компьютерные атаки и уведомляйте о них государство. Объекты КИИ важны для государства, поэтому ФСБ контролирует их защиту и ведёт учёт всех компьютерных инцидентов, то есть атак, поломок и сбоев. Например, если сотрудники конструкторского бюро из-за хакеров теряют доступ к Система автоматизированного проектирования.CAD и всем чертежам, то руководитель завода должен передать это в Государственный контролёр, который помогает бизнесу взаимодействовать с ГосСОПКА.НКЦКИ в течение 24 часов — это правило закреплено приказом ФСБ № 547.

Сотрудничайте с ФСБ и ФСТЭК. Эти государственные структуры отвечают за безопасность КИИ, поэтому вы должны передать информацию о своих системах и мерах информационной безопасности в ГосСОПКА. Если во время проверки госструктуры дали предписания, например, устранить пробелы в информационной безопасности, следуйте им.

Определите, какие ваши системы входят в перечень объектов КИИ и требуют защиты. Проверьте, входят ли они в реестр российского ПО. У вас должен получиться список из всех объектов КИИ, которые есть в вашей компании: программы, которые установлены на ваших серверах или в облаке, сети и центры обработки данных, Программно-аппаратный комплекс, в котором оборудование и софт неразрывно связаны.ПАК.

Для каждой системы из списка определите категорию значимости: от 1 (высшей) до 3. Это оценка, которая показывает, какой вред получит страна, если система перестанет работать.

Процесс присвоения категорий называется категорированием КИИ. Ориентируйтесь на постановление правительства № 127 и методические рекомендации по разным отраслям, например, в сфере науки.

Если вы присвоите системе одну из категорий, она попадёт в реестр значимых объектов КИИ. К этим объектам действуют более строгие требования, чем к незначимым. Например, при атаках на такие системы нужно оповещать государство не за 24, а за три часа. А если вы признаете объект незначимым, то применять дополнительные меры защиты не нужно.

Как присвоить категорию значимости:

Чем больший вред может принести кибератака населению и стране, тем выше категория КИИ и тем сильнее нужно защищать информацию. Например, на системы третьей категории можно установить более простые средства защиты информации, чем на системы первой категории. Подробные требования защиты по каждой категории — в приказе ФСТЭК № 239.

Перейдите на отечественное ПО до 1 января 2028 года.

«Сейчас нет реальных способов, которые позволяют предпринимателям массово сдвигать срок импортозамещения. Есть вероятность, что позже требование отсрочат, но пока Минцифры настроено решительно и хочет добиться импортозамещения к 2028 году. Надеяться на отсрочку не стоит — лучше искать российский софт уже сейчас», — Дмитрий Воронин, юрист Точка Банка.

В некоторых случаях можно увеличить дедлайн импортозамещения одним из способов:

Если российского аналога нет, ориентируйтесь на постановление правительства № 1135 и получите заключение Минпромторга. Для этого подайте заявление и приложите подробное обоснование: технические характеристики иностранного софта, сравнительные таблицы с российскими аналогами, заключение сторонних экспертов (если они есть) и дождитесь результатов от Минпромторга.

Что войдёт в систему, зависит от категории значимости каждого объекта КИИ и отрасли. Обычно это:

Аттестация — необязательный этап для частных компаний, но после экспертизы вы будете уверены, что готовы к проверкам, и точно избежите штрафов. Обратитесь в аккредитованную организацию, которая проведёт экспертизу системы информационной безопасности и выдаст вам аттестат соответствия требованиям ФСТЭК. Если экспертиза найдёт ошибки, вы сможете их устранить.

Для подключения к системе «ГосСОПКА» настройте защищённый канал, это возможно сделать через НКЦКИ. Чтобы присоединиться через Государственный контролёр, который помогает бизнесу взаимодействовать с ГосСОПКА.НКЦКИ, напишите и отправьте бумажное письмо на имя директора. Образец и порядок заполнения — в методических рекомендациях по организации взаимодействия. В ответном письме вы получите согласие на взаимодействие.

Чтобы подключиться к системе, установите одно из соединений: VipNet, Континент, С-Терра, Застава. Потом вы сможете авторизоваться в ГосСОПКА и через свой личный кабинет отправлять уведомления об инцидентах.

Обычно, когда ФСТЭК находит нарушения впервые, служба накладывает штраф и даёт предписания, как исправить ошибки. Например, по статье 13.12.2 КоАП компания может получить штраф от 100 до 500 тысяч рублей.

Но в случаях, когда компания грубо нарушает правила работы с КИИ или это влечёт тяжёлые последствия, руководитель может получить до 10 лет лишения свободы по 3−5 пунктам статьи 274.1 УК.

Кроме того, по словам главы Минцифры Максута Шадаева, правительство планирует ввести оборотные штрафы за отказ от перехода на отечественный софт. Размер таких штрафов будет зависеть от выручки компании.

КИИ — это все программы, системы и сети, которыми пользуются компании из значимых отраслей экономики: медицина, финансы, энергетика, химическая промышленность, наука, транспорт и так далее. Объекты критической информационной инфраструктуры — это программы, а субъекты КИИ — это компании, которые ими владеют.

Государственные органы и учреждения, а также частные компании, которые работают в значимых отраслях экономики и используют информационные системы, которые относятся к объектам КИИ. Например, банки и МФО, операторы мобильной связи и интернет-провайдеры, химические заводы и научные центры, медицинские клиники, стоматологии и аптеки.

Например, в энергетике объектом КИИ может быть сервер диспетчеризации энергосистемы, через который управляют электростанциями, трансформаторами и линиями электропередач. Если такой сервер сломается, половина города может остаться без света.

В стоматологической клинике пример КИИ — клиентская база данных, в банковской сфере — платёжный сервер, в связи и телекоммуникациях — ядро сети 4G и так далее.

Найдите своё ПО в перечне распоряжения правительства № 360-р. Здесь собрано более 500 объектов КИИ, которые распределены по отраслям экономики и кодам ОКВЭД. Если ваша программа есть в списке, — это объект КИИ.