Указ № 166 и постановление № 1912 закрепили курс: значимые объекты критической информационной инфраструктуры переходят на доверенные программно-аппаратные комплексы из реестра. Срок – 1 января 2025 года. До него остаётся меньше четырёх месяцев, а у многих субъектов КИИ миграция всё ещё на стадии планов. Разберём, что закон требует на самом деле и как уложиться в график без аврала и формальных отписок.
Что именно требует закон к 2025 году
Запрет касается не любого иностранного софта, а ПО на значимых объектах КИИ – тех, что попали в категорию по постановлению № 127. Государственные органы, банки, ТЭК, транспорт, связь и здравоохранение обязаны заменить зарубежные операционные системы, СУБД, средства виртуализации и прикладной софт на продукты из реестра Минцифры. Закупка иностранного ПО для значимых объектов без согласования уже запрещена с 2022 года.
Главная ошибка – считать дедлайн точкой, к которой всё должно работать идеально. На практике регулятор смотрит на другое: проведена ли категорирование, утверждён ли план перехода, есть ли договоры на замещение и закуплены ли отечественные продукты. Субъект, который к январю показал реальный план миграции с подписанными контрактами, в куда более прочной позиции, чем тот, кто отчитался формально, но не начал движение.
С чего начинать, если запас времени мал
Сначала – инвентаризация. Без точной карты систем, их взаимосвязей и зависимостей от иностранных компонентов любой план перехода превращается в фантазию. Зафиксируйте, какой софт стоит на значимых объектах, какие интеграции его держат и какие из них критичны для непрерывности процессов.
Дальше расставьте приоритеты по уровню риска и сложности. Рабочие места и инфраструктура виртуализации замещаются относительно предсказуемо, и здесь уже есть отработанные сценарии – мы разбирали их в материалах про переход на отечественную ОС на рабочих местах и про миграцию виртуализации без VMware. Прикладные системы и тяжёлые СУБД – отдельная история: их редко удаётся перенести «в лоб», чаще нужна доработка под отечественную платформу или частичное переписывание.
Параллельно решайте вопрос мобильных рабочих мест: для значимых объектов критичен и контур мобильного доступа, а здесь профиль безопасности обеспечивает ОС Аврора.
Как не сорвать сроки на доработке прикладного ПО
Узкое место почти всегда – не системный софт, а бизнес-приложения. Готовый аналог из реестра либо не покрывает специфику процессов, либо требует серьёзной адаптации интеграций. Закладывать на это последние недели перед дедлайном бессмысленно: миграция данных, перенос интеграционных шин и нагрузочное тестирование занимают месяцы, а не дни.
Реалистичный путь – выделить системы, которые невозможно заместить готовым продуктом, и запускать их заказную разработку или адаптацию уже сейчас, параллельно с заменой инфраструктуры. Это снимает зависимость от единственного вендора и даёт софт, который точно ложится на ваши процессы и требования по защите информации. Такой проект собирается под требования регуляторов в единый маршрут импортозамещения и информационной безопасности: от аудита и плана перехода до разработки и ввода в эксплуатацию.
Вывод
Дедлайн 1 января 2025 года – не про формальную галочку, а про управляемый переход. Кто провёл инвентаризацию, утвердил план и начал замещать инфраструктуру и прикладной софт параллельно, успевает без потери непрерывности. Кто откладывает доработку приложений на последние недели – рискует сорвать и сроки, и работу значимых объектов. Время на спокойный старт ещё есть, но оно заканчивается.
