С 1 января 2025 года вступил в силу прямой запрет: субъектам критической информационной инфраструктуры запрещено использовать иностранное программное обеспечение на принадлежащих им значимых объектах КИИ. Это закреплено Указом Президента № 166 от 30 марта 2022 года и развито постановлениями Правительства. Норма перестала быть планом – она стала обязанностью, неисполнение которой влечёт реальные риски для владельца. Ниже разбираем, что именно изменилось и как действовать.

Кого касается и что под запретом

Под действие нормы попадают субъекты КИИ из 13 сфер: энергетика, транспорт, связь, банки, здравоохранение, оборонка, госорганы и другие. Запрет относится не ко всей IT-инфраструктуре, а к значимым объектам КИИ – тем, которым по итогам категорирования присвоена одна из трёх категорий значимости.

Запрещено именно использование иностранного ПО, в том числе компонентов в составе программно-аппаратных комплексов. Под ограничение попадают операционные системы, СУБД, средства защиты информации, прикладные системы. Свободно лицензируемое ПО (open source) формально не относится к «иностранному» в смысле запрета, но его применение на значимых объектах требует отдельной оценки рисков сопровождения и доверия к компонентам.

Отдельно важно: с 31 марта 2022 года субъектам КИИ уже запрещено закупать иностранное ПО без согласования. С 2025 года запрет распространился и на использование того, что было закуплено ранее. То есть «дожить на старых лицензиях» больше нельзя.

Что меняется на практике

Главное изменение – смещение бремени доказывания. Раньше владелец объекта мог ссылаться на отсутствие отечественного аналога. Теперь он обязан подтвердить, что используемое ПО – российское, внесено в реестр Минцифры либо в единый реестр программ ЕАЭС. Проверки проводят ФСТЭК и отраслевые регуляторы; несоответствие фиксируется как нарушение требований по обеспечению безопасности значимого объекта КИИ.

Это означает три обязательных шага. Первый – инвентаризация: точный перечень ПО на каждом значимом объекте с указанием страны происхождения и статуса в реестре. Второй – выбор отечественной замены и подтверждение её совместимости с действующими бизнес-процессами. Третий – миграция данных, интеграций и пользовательских сценариев без остановки критичных процессов.

Самое сложное здесь – не операционные системы, для которых готовые российские дистрибутивы существуют, а прикладные и отраслевые системы. Там, где готового аналога в реестре нет, остаётся заказная разработка и доработка под требования безопасности: построить систему на отечественном стеке, провести оценку соответствия и встроить её в контур защиты значимого объекта.

Как планировать замену без срыва бюджета

Импортозамещение значимых объектов – это не разовая закупка, а программа на несколько кварталов. Её стоит закладывать отдельной строкой при планировании IT-бюджета на 2025 год, потому что миграция СУБД и прикладных систем по затратам сопоставима с внедрением новой платформы, а не с покупкой лицензий.

При переходе на отечественный стек разработку можно ускорить за счёт инструментов, доступных и в российском контуре: например, применение ИИ-копилотов в разработке сокращает время на переписывание унаследованного кода и подготовку тестов. Это не отменяет требований к доверенной среде – генерацию кода для значимых объектов держат внутри защищённого контура.

Вывод

Запрет на иностранное ПО на значимых объектах КИИ перешёл из режима подготовки в режим исполнения. Откладывать поздно: проверки уже идут, а миграция критичных систем занимает месяцы. Начните с честной инвентаризации и категорирования, расставьте приоритеты по риску и срокам, а затем стройте план замены – от готовых решений из реестра до заказной разработки там, где аналога нет.