Указ Президента № 166 от 30 марта 2022 года меняет правила игры для всех, кто эксплуатирует значимые объекты критической информационной инфраструктуры. С 31 марта 2022 года заказчикам по 44-ФЗ и 223-ФЗ запрещено закупать иностранное ПО для использования на таких объектах без согласования. С 1 января 2025 года использование иностранного ПО на значимых объектах КИИ запрещается полностью. Это не рекомендация и не дорожная карта – это жёсткий срок, под который нужно перестраивать архитектуру уже сегодня.

Кого это касается и что именно запрещено

Под действие указа попадают субъекты КИИ в государственном секторе, финансах, энергетике, связи, транспорте, ТЭК, здравоохранении и оборонной промышленности – то есть владельцы объектов, которые прошли категорирование и получили значимую категорию по 187-ФЗ. Запрет распространяется не только на сам прикладной софт, но и на иностранные программно-аппаратные комплексы: СУБД, операционные системы, средства виртуализации, системы мониторинга и защиты.

Ключевой нюанс – закупка без согласования с профильным ведомством с конца марта уже невозможна. Это значит, что план миграции нельзя откладывать на 2024 год. Каждый месяц промедления сокращает запас времени на тестирование, перенос данных и обучение персонала. Параллельно владельцы объектов столкнулись с уходом западных вендоров и приостановкой лицензий – поэтому начните с честной инвентаризации иностранного ПО и оценки рисков ухода поставщиков, чтобы понимать реальный масштаб замещения, а не его формальную часть.

С чего начать миграцию

Первый шаг – разделить ландшафт на три группы: что можно заместить отечественным аналогом из реестра российского ПО, что требует заказной разработки и что временно остаётся на иностранном решении до согласования. По каждой системе зафиксируйте владельца, критичность для технологического процесса и зависимость от внешних лицензий.

Второй шаг – приоритизация по риску, а не по удобству. Сначала закрывайте системы, отключение которых остановит основной процесс: АСУ ТП, биллинг, ядро банковских и государственных сервисов. Здесь нельзя экспериментировать на проде – нужен изолированный контур для отработки переноса. Не забывайте и про эксплуатацию: уход вендора означает потерю техподдержки, поэтому заранее продумайте меры по сохранению поддержки и сопровождения ИТ-систем на переходный период.

Третий шаг – нагрузочное тестирование российских и собственных решений до перевода в промышленную эксплуатацию. Отечественные аналоги часто не проходили реальную проверку под пиковыми сценариями, а подготовка систем к пиковым нагрузкам – отдельная инженерная задача, которую нельзя считать решённой по умолчанию.

Импортозамещение как проект, а не разовая закупка

Главная ошибка – воспринимать переход как покупку коробки из реестра. Значимый объект КИИ – это связка прикладного ПО, инфраструктуры, средств защиты и регламентов. Замена одного элемента ломает совместимость с остальными, поэтому миграцию ведут как полноценный проект с архитектурным надзором, моделью угроз и приёмочными испытаниями по требованиям ФСТЭК.

Там, где готового российского аналога нет или он не покрывает специфику процессов, рациональнее заказная разработка под конкретный контур. План замещения, проектирование защищённой архитектуры и миграция без остановки процессов опираются на единую дисциплину информационной безопасности и защиты КИИ, а не на разрозненные закупки софта.

Вывод

Указ № 166 задал две точки отсчёта – конец марта 2022 года для закупок и 1 января 2025 года для полного отказа от иностранного ПО. Времени меньше, чем кажется: миграция значимых объектов измеряется не неделями, а кварталами. Кто начнёт инвентаризацию и приоритизацию сейчас, тот пройдёт переход управляемо. Кто будет ждать ясности – встретит дедлайн с незакрытыми рисками.