До 1 сентября 2025 года субъектам критической информационной инфраструктуры запрещено использовать иностранное программное обеспечение на значимых объектах КИИ – этого требует Указ Президента № 166 и развивающее его постановление Правительства № 1912. Осталось меньше двух месяцев. Если ваш план миграции ещё содержит формулировки «в процессе» и «планируется», пора переходить к финальному аудиту: что реально работает, а что существует только в презентации для регулятора.

Сверьте реестр объектов с реальной инфраструктурой

Первое расхождение, которое вскрывает любой аудит, – между категорированным перечнем объектов КИИ и тем, что фактически крутится в продуктиве. За два года список значимых объектов у многих устарел: появились новые интеграции, теневые сервисы, забытые серверы с иностранной СУБД под критичным процессом.

Поднимите актуальную карту систем и пройдите по каждому значимому объекту с тремя вопросами. Какое ПО обрабатывает данные на этом объекте? Есть ли оно в реестре отечественного ПО Минцифры? Если нет – где замена и в каком она статусе? Особое внимание – связующему слою. Иностранные брокеры сообщений, ESB и серверы приложений часто остаются вне поля зрения, потому что «они же не прикладные». Мы подробно разбирали этот сценарий в материале про импортозамещение middleware: именно промежуточный слой чаще всего срывает сроки, так как от него зависят десятки прикладных систем.

Проверьте, что замены работают под нагрузкой, а не на стенде

Установить отечественный продукт и провести миграцию под реальной нагрузкой – разные задачи. Финальный аудит должен опираться на эксплуатационные метрики, а не на акт о вводе.

Соберите по каждой заменённой системе фактику: время отклика, поведение под пиковой нагрузкой, результаты нагрузочного тестирования, инциденты за последний месяц. Если вы переводили аналитический контур на российский стек, эти показатели у вас уже под рукой – мы описывали такой подход в статье про импортозамещаемую BI в реальном времени. Отдельно проверьте отказоустойчивость: резервное копирование на новой платформе, восстановление из бэкапа, переключение на резерв. Без проверенной процедуры восстановления переход на отечественное ПО создаёт новый риск вместо снятия старого.

Закройте документальный и организационный контур

Регулятор оценивает не только технику. К 1 сентября должны быть в порядке обновлённые модели угроз, акты категорирования, согласованные с ФСТЭК планы, документы по реагированию на инциденты и взаимодействию с НКЦКИ. Проверьте, что силы и средства обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА) реально подключены и передают данные, а не числятся подключёнными на бумаге.

Сюда же относится контроль над новыми классами ПО, которые вы внедряете под видом импортозамещения. Если в контур попадают отечественные ИИ-сервисы – например, на базе GigaChat для бизнес-задач – оцените, какие данные они обрабатывают и не выходят ли эти данные за периметр значимого объекта. Новый инструмент не должен создавать незадокументированный канал утечки.

Вывод

Финальный аудит – это не повторное категорирование, а холодная проверка готовности по факту: реестр сходится с инфраструктурой, замены держат нагрузку, документы согласованы, ГосСОПКА работает. Где сроки уже не вытянуть собственными силами, фиксируйте остаточный риск письменно и подключайте внешнюю экспертизу: от инвентаризации до приёмо-сдаточных испытаний под нагрузкой такой проект проще закрыть с сопровождением перехода на отечественное ПО на значимых объектах КИИ. Два месяца – короткий срок, но достаточный, чтобы закрыть приоритетные разрывы и встретить 1 сентября без авральных решений.