187-ФЗ «О безопасности критической информационной инфраструктуры» работает уже второй год, но большинство субъектов КИИ до сих пор не закончили категорирование. Между тем ФСТЭК ведёт реестр значимых объектов, а за срыв требований предусмотрена не только административная, но и уголовная ответственность. Разберём, кто, что и в какие сроки обязан сделать.

Кто попадает под закон и что нужно сделать

Субъект КИИ – это госорган, госучреждение или компания, которой принадлежат информационные системы, АСУ ТП или сети в одной из 13 сфер: здравоохранение, наука, транспорт, связь, энергетика, банки и финансы, ТЭК, атомная промышленность, оборонка, ракетно-космическая, горнодобывающая, металлургическая и химическая.

Если вы под это подпадаете, алгоритм такой:

  1. Создать комиссию по категорированию и утвердить перечень объектов КИИ.
  2. Направить перечень во ФСТЭК (срок – 5 рабочих дней после утверждения).
  3. Провести категорирование каждого объекта по постановлению Правительства № 127: оценить ущерб по социальной, политической, экономической, экологической значимости и значимости для обороны и безопасности.
  4. Присвоить одну из трёх категорий значимости либо обосновать её отсутствие.
  5. Отправить сведения о результатах во ФСТЭК. Регулятор проверяет их и вносит объект в реестр значимых объектов КИИ.

Категорирование нужно завершить в течение одного года с момента утверждения перечня. Перечень многие субъекты согласовали ещё в 2018 году – значит, дедлайны уже подходят.

Реестр, защита и сроки

После внесения в реестр объект получает статус значимого, и на него ложатся требования по защите из приказа ФСТЭК № 235 и № 239. Нужно построить систему безопасности: подсистемы управления доступом, регистрации событий, антивирусной защиты, контроля целостности, обнаружения вторжений. Для значимых объектов первой категории требования жёстче всего.

Отдельная обязанность – подключение к ГосСОПКА и информирование НКЦКИ о компьютерных инцидентах. Срок уведомления об инциденте – 24 часа.

На практике защита упирается в технологический стек. Импортозамещение и переход на отечественное ПО давно перестали быть лозунгом: для значимых объектов это требование регулятора. Если вы переводите критичные системы с проприетарных СУБД, посмотрите наш разбор миграции на PostgreSQL – это типовой сценарий для субъектов КИИ. А прежде чем строить систему защиты, стоит честно оценить периметр и риски: аудит информационной безопасности выявляет объекты, попавшие под 187-ФЗ, но не учтённые в перечне.

Ответственность: штрафы и уголовная статья

С 1 января 2018 года в УК РФ действует статья 274.1 – «Неправомерное воздействие на критическую информационную инфраструктуру». Это самый жёсткий рычаг: за нарушение правил эксплуатации значимого объекта, повлёкшее вред, грозит лишение свободы до шести лет, а при тяжких последствиях – до десяти. Ответственность несёт конкретное должностное лицо, а не абстрактная организация.

Параллельно готовятся поправки в КоАП с административными штрафами за нарушение порядка категорирования и сроков предоставления сведений во ФСТЭК. Игнорировать дедлайны – значит сознательно копить риск.

Важно понимать: реальные инциденты всё чаще завязаны на новые технологии. Машинное обучение помогает не только защите, но и атакующим – генеративные модели уже умеют убедительно подделывать текст, мы писали об этом в материале про GPT-2 и генеративные модели. Системы анализа угроз тоже эволюционируют – достаточно посмотреть, как NLP-модели вроде BERT меняют обработку текстовых данных в SOC.

Вывод

Категорирование и попадание в реестр КИИ – не разовая бумажная процедура, а постоянная работа: перечень, оценка ущерба, построение защиты, подключение к ГосСОПКА. Сроки уже горят, а ответственность персональная и уголовная. Начните с инвентаризации объектов и оценки рисков – это дешевле любого штрафа.