Федеральный закон от № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» являеться основополагающим нормативным правовым актом‚ регулирующим отношения в области обеспечения безопасности критической информационной инфраструктуры (КИИ). Закон вступил в силу 1 января 2018 года и заложил фундамент централизованного государственного подхода к защите информационных активов‚ от которых зависит функционирование ключевых отраслей экономики и социальной сферы страны.

На законодательная база продолжает эволюционировать: вносятся поправки‚ уточняются подзаконные акты (постановления Правительства‚ приказы ФСТЭК России)‚ меняются сроки и процедуры. Данная статья представляет подробный обзор требований закона‚ этапов работы по защите объектов КИИ‚ актуальных изменений и практики их применения.

Ключевые понятия и определения (ст. 2 ФЗ-187)

Понимание терминологии — первый шаг к соблюдению закона. Основные определения:

• Критическая информационная инфраструктура (КИИ) — совокупность объектов критической информационной инфраструктуры‚ информационных систем и телекоммуникационных сетей‚ объединенных едиными правилами функционирования и управления.
• Объект критической информационной инфраструктуры (Объект КИИ), информационная система‚ информационно-телекоммуникационная сеть или автоматизированная система управления‚ принадлежащая субъекту КИИ‚ нарушение безопасности которой приведет к недопустимым последствиям.
• Субъект КИИ — юридическое лицо‚ владеющее объектом КИИ на праве собственности или ином законном основании.
• Безопасность КИИ — состояние защищенности КИИ‚ обеспечивающее ее устойчивое функционирование при проведении в отношении ее компьютерных атак.
• Категория значимости — показатель степени воздействия недопустимых последствий нарушения безопасности объекта КИИ на безопасность Российской Федерации (1-я — высшая‚ 2-я‚ 3-я).
• ГосСОПКА — Государственная система обнаружения‚ предупреждения и ликвидации последствий компьютерных атак на объекты КИИ.

Кто является субъектом КИИ? (ст. 5‚ 6 ФЗ-187)

Субъектами КИИ признаются организации‚ осуществляющие деятельность в стратегически важных отраслях. Перечень отраслей устанавливается Постановлением Правительства РФ № 1319 от (с изменениями). К ним относяться:

1. Атомная энергия
2. Авиация и космическая деятельность
3. Обороно-промышленный комплекс
4. Связь и информирование
5. Банковская и финансовая деятельность
6. Транспорт
7. Топливно-энергетический комплекс
8. Здравоохранение
9. Наука
10. Химическая и лесная промышленность
11. Пищевая и перерабатывающая промышленность
12. Государственное управление (ГИС)
13. И другие отрасли‚ определенные Правительством.

Важно: Решение о том‚ относится ли конкретная информационная система к объектам КИИ‚ принимается субъектом КИИ самостоятельно на основании критериев недопустимых последствий (ст. 7 ФЗ-187).

Процедура категорирования объектов КИИ

Это ключевой этап‚ на котором осуществляется оценка угроз и формируются требования к необходимым мероприятиям и средствам защиты.

Этапы категорирования:

1. Выявление объектов: Инвентаризация ИС‚ ИТС‚ АСУ‚ принадлежащих субъекту.
2. Оценка недопустимых последствий: Анализ последствий нарушения конфиденциальности‚ целостности‚ доступности информации для безопасности РФ‚ оборотоспособности организации‚ прав граждан.
3. Присвоение категории значимости (1‚ 2‚ 3 или отсутствие категории): В соответствии с Приказом ФСТЭК России от № 239 (Методика определения категории значимости).
4. Уведомление ФСТЭК России: Направление сведений о присвоенной категории в установленном формате (утвержден Приказом ФСТЭК № 238).

Сроки уведомления: Не позднее 30 календарных дней со дня присвоения категории (п. 3 ст. 7 ФЗ-187). Несоблюдение сроков влечет административную ответственность (ст. 13.12.4 КоАП РФ).

Система мер по обеспечению безопасности (ст. 10‚ 11 ФЗ-187)

После категорирования субъект обязан создать и эксплуатировать систему защиты‚ включающую:

Организационные меры

• Назначение ответственного за безопасность КИИ (часто — руководитель или зам. по ИБ).
• Разработка и утверждение документации: Политика безопасности‚ Модель угроз‚ Перечень мероприятий‚ План реагирования на инциденты.
• Регламентация доступа персонала‚ обучение‚ допуск к работе с объектами КИИ.
• Учет и инвентаризация активов (аппаратное и программное обеспечение).

Технические меры и средства защиты

Требования зависят от категории значимости (чем выше категория‚ тем строже требования). Базовый набор (согласно Приказу ФСТЭК № 239 и Приказу ФСТЭК от № 246 «Состав мер по обеспечению безопасности»):

• Управление доступом: Идентификация‚ аутентификация‚ авторизация (МФА для привилегированных учетных записей).
• Защита от НСД (несанкционированного доступа): Межсетевые экраны‚ системы предотвращения вторжений (IPS/IDS)‚ сегментация сети (DMZ‚ зоны безопасности).
• Антивирусная защита и контроль целостности: На всех конечных точках и серверах.
• Средства обнаружения компьютерных атак (СОКА): SIEM-системы‚ сбор и корреляция событий безопасности‚ мониторинг аномалий.
• Защита от утечек информации (DLP): Контроль каналов утечки.
• Резервное копирование и восстановление: Регламентированные процедуры Бэкап/Disaster Recovery.
• Управление уязвимостями и обновлениями: Своевременная установка патчей (в т.ч. нулевых дней);

Средства криптографической защиты информации (СКЗИ)

Обязательное применение сертифицированных ФСБ СКЗИ для:

• Защиты передаваемых данных (VPN‚ TLS с отечественными алгоритмами).
• Электронной подписи (ЭП) для авторизации администраторов и подписи журналов аудита.
• Защиты хранимых данных (шифрование дисков‚ БД).

Взаимодействие с ГосСОПКОЙ (ст. 12‚ 13 ФЗ-187)

Это одна из самых жестких и контролируемых требований закона. Субъекты КИИ обязаны обеспечить взаимодействие своих объектов с ГосСОПКОЙ (Государственная система обнаружения‚ предупреждения и ликвидации последствий компьютерных атак)‚ оператором которой является ФСБ России (через НКЦКИ).

Что требуется для подключения:

1. Установка сенсоров (агентов сбора телеметрии) на объекты КИИ (серверы‚ сетевое оборудование‚ АРМ администраторов).
2. Обеспечение передачи телеметрии (события безопасности‚ сетевой трафик‚ индикаторы компрометации) в НКЦКИ.
3. Реагирование на уведомления НКЦКИ о détectированных инцидентах/уязвимостях в установленные сроки.
4. Наличие сертифицированных средств защиты (СЗ)‚ совместимых с требованиями ГосСОПКИ.

Практика: Некорректная настройка сенсоров (пропуск критичных событий‚ флуд мусорным трафиком) — частая причина замечаний при проверках. Необходимо регулярно обновлять ПО сенсоров и проверять канал связи с НКЦКИ.

Реагирование на компьютерные инциденты (ст. 14 ФЗ-187)

Субъект КИИ обязан:

• Обнаруживать‚ регистрировать и классифицировать компьютерные инциденты.
• Принимать меры по их локализации и ликвидации последствий.
• Уведомлять НКЦКИ (ФСБ) о компьютерных инцидентах в течение установленных сроков (для 1-й категории, немедленно/в течение 2 часов‚ для остальных — в течение суток).
• Проводить расследование причин и разрабатывать меры по предотвращению повторения.

Актуальные изменения и тренды 2024–2026 гг.

Переход на доверенные ПАК (Постановление Правительства РФ от № 1912)

Введен порядок перехода субъектов КИИ на преимущественное применение доверенных программно-аппаратных комплексов (ПАК) на значимых объектах КИИ.

• Требуется формирование реестра используемого ПО и ОС.
• План поэтапной миграции на отечественные решения (Астра Линукс‚ РЕД ОС‚ Альт Линукс‚ ОСнова и др.; СУБД: PostgreSQL Pro‚ Яндекс БД‚ ClickHouse и др.).
• Сроки перехода устанавливаются индивидуально‚ но общее вектор, полная импортозамещение к 2025–2030 годам.

Ответственность поставщиков ИТ-продуктов (Поправки 2024–2025 гг.)

Расширена ответственность разработчиков и поставщиков ПО/оборудования для объектов КИИ. Им предписывают выполнять требования по ИБ‚ аналогичные субъектам КИИ (безопасная разработка — SDL‚ отсутствие закладок‚ уведомление об уязвимостях). Внедряется практика аудита кода и цепочки поставок (SBOM).

Ужесточение штрафов (КоАП РФ ст. 13.12.4‚ 13.12.5)

На 2026 год размеры штрафов составляют (с учетом индексации):

* Точные суммы необходимо сверять с актуальной редакцией КоАП РФ на момент рассмотрения дела.

Пересечение с 152-ФЗ (Персональные данные) и ГИС

Нередко объекты КИИ одновременно являются ИСПДн (Информационные системы персональных данных) и/или ГИС (Государственные информационные системы).

Практика: Рекомендуется строить единую систему управления ИБ (СУИБ)‚ покрывающую требования 187-ФЗ‚ 152-ФЗ (Приказ ФСТЭК № 21/17) и требований к ГИС (Приказ ФСТЭК № 17/11). Это позволяет избежать дублирования средств‚ документации и аудитов.

Порядок проведения проверок (ст. 16 ФЗ-187)

Проверки осуществляет ФСТЭК России (плановые и внеплановые).

• Плановые: Не чаще 1 раза в 3 года (с учетом моратория на проверки МСБ‚ действуют исключения для КИИ).
• Внеплановые: По обращениям НКЦКИ‚ по фактам инцидентов‚ по жалобам.

Что проверяют инспекторы (чек-лист):

1. Наличие актуального уведомления о категории в ФСТЭК.
2. Наличие утвержденной Модели угроз и Перечня мероприятий.
3. Соответствие реализованных средств защиты категории значимости (сертификаты ФСТЭК/ФСБ‚ сроки действия).
4. Работоспособность взаимодействия с ГосСОПКОЙ (логи сенсоров‚ ответы на инциденты НКЦКИ).
5. Наличие и актуальность Плана реагирования на инциденты‚ проведение учений.
6. Учет и защита критически важных активов (инвентаризация).
7. Компетенция персонала (допуски‚ обучение).
8. Использование доверенных ПАК (соответствие Плану миграции).

Практический алгоритм доведения до соответствия (Roadmap)

Рекомендации экспертов (в т.ч. методология STEP LOGIC и практика интеграторов):

1. Инициация и инвентаризация (1–2 мес.): Создание рабочей группы‚ инвентаризация ИС/АСУ/ИТС‚ определение границ объектов КИИ.
2. Категорирование (1 мес.): Расчет недопустимых последствий‚ присвоение категории‚ уведомление ФСТЭК.
3. Проектная документация (2–3 мес.): Разработка Модели угроз‚ Перечня мероприятий‚ Политики безопасности‚ Плана реагирования. Согласование с ФСТЭК (при необходимости) или самостоятельное утверждение.
4. Техническая реализация (3–6 мес.): Закупка и внедрение СЗ (СКЗИ‚ МЭ‚ SIEM‚ DLP‚ СОКА‚ СКЗИ‚ средства управления уязвимостями)‚ настройка сегментации‚ развертывание сенсоров ГосСОПКИ.
5. Документальное оформление (параллельно): Приказы‚ журналы‚ инструкции‚ акты категорирования‚ протоколы учений.
6. Пилотная эксплуатация и настройка (1–2 мес.): Тюнинг правил корреляции SIEM‚ настройка сенсоров ГосСОПКИ (исключение ложных срабатываний)‚ обучение персонала.
7. Ввод в промышленную эксплуатацию: Подписание акта готовности‚ начало регулярной отчетности перед НКЦКИ.
8. Непрерывное поддержание (Continuous Compliance): Ежеквартальные учения‚ ежегодное пересмотр Модели угроз‚ мониторинг уязвимостей (БДУ ФСТЭК)‚ обновление ПО сенсоров‚ аудит поставщиков.

Типичные ошибки и риски

• Формализм: Написание документов «для галочки» без реальной настройки средств защиты. Выявляется на проверке ФСТЭК и при инцидентах.
• Игнорирование ГосСОПКИ: Установка сенсора «просто чтобы было»‚ без передачи полной телеметрии или без процесса реагирования на алерты НКЦКИ. Это грубое нарушение ст. 12 ФЗ-187.
• Отсутствие актуализации Модели угроз: Изменение инфраструктуры (новые серверы‚ миграция в облако‚ контейнеры) не отражается в документации.
• Проблемы с импортозамещением: Отсутствие плана перехода на доверенные ПАК или использование неподдерживаемых версий ОС/СУБД (Windows Server 2012 R2‚ старые Linux).
• Неучет пересечений: Разные отделы защищают один и тот же сервер под 187-ФЗ‚ 152-ФЗ и ГИС по-разному‚ тратя бюджет впустую и создавая конфликты настроек.

Соблюдение требований 187-ФЗ, это не разовое проектное мероприятие‚ а процесс непрерывного управления киберрисками на уровне предприятия. Ключевыми факторами успеха являются:

• Интеграция защиты КИИ в общую корпоративную стратегию кибербезопасности.
• Автоматизация рутинных процессов (сбор логов‚ сканирование уязвимостей‚ инвентаризация).
• Квалифицированные кадры (внутренние или аутсорсинг MSSP/СОС) способные реагировать на инциденты и взаимодействовать с НКЦКИ.
• Планирование бюджета на импортозамещение и обновление парка средств защиты с учетом сроков действия сертификатов ФСТЭК/ФСБ.

На 2026 год регулятор (ФСТЭК‚ ФСБ/НКЦКИ) делает акцент на реальной эффективности защиты (реакция на инциденты‚ работа с ГосСОПКОЙ‚ отсутствие критических уязвимостей в периметре) и технологическом суверенитете (доверенные ПАК). Формальное соблюдение процедур без технического наполнения ведет к серьезным санкциям и‚ что важнее‚ к риску недопустимых последствий для бизнеса и государства.

Данная статья носит информационный характер и не является правовым консультированием; Для принятия управленческих решений рекомендуется обратиться к актуальным текстам законодательства (пravo.gov.ru‚ consultant.ru) и привлечь аккредитованных специалистов по защите КИИ.