С 1 сентября 2025 года вступил в силу Федеральный закон №58-ФЗ, который дополняет 187-ФЗ и переводит требования к критической информационной инфраструктуре из плоскости рекомендаций в плоскость прямой обязанности. Одновременно начал применяться Приказ ФСТЭК №117, заменивший прежний порядок защиты значимых объектов. Для субъектов КИИ это не косметическая правка: меняются и состав мер, и сроки, и характер ответственности. Разбираем, что именно поменялось и что делать прямо сейчас.

Что вводит 58-ФЗ

Главное нововведение – закреплённая в законе обязанность использовать на значимых объектах КИИ преимущественно отечественное программное обеспечение из реестра российского ПО и отечественные программно-аппаратные комплексы. Раньше курс на импортозамещение задавали подзаконные акты и отраслевые директивы; теперь это требование федерального уровня с понятным контуром принуждения.

58-ФЗ также уточняет полномочия регуляторов в части контроля. Субъект КИИ обязан не просто задекларировать защиту, а подтвердить, что применяемые решения соответствуют требованиям по доверию и происхождению. Это смыкает воедино две темы, которые много лет шли параллельно: безопасность КИИ и реестр отечественного ПО как инструмент импортозамещения. Теперь они работают в одной связке.

Важно понимать преемственность. Базовая логика категорирования и ответственности заложена ещё в 2018 году – мы подробно разбирали её, когда 187-ФЗ только вводил новую ответственность для бизнеса. 58-ФЗ не отменяет эту рамку, а делает её требования жёстче и конкретнее, особенно в части технологического суверенитета.

Приказ ФСТЭК №117: новый порядок защиты

Приказ №117 переописывает требования к обеспечению безопасности значимых объектов КИИ. Состав мер стал детальнее, а формулировки – менее допускающими произвольное толкование. Регулятор смещает акцент с формального наличия документов на проверяемую результативность защиты: сегментацию, контроль доступа, мониторинг событий, реагирование на инциденты и управление уязвимостями.

Отдельный фокус – на доверенности используемых средств защиты. Для значимых объектов ожидается применение сертифицированных решений, а импортные компоненты рассматриваются как зона риска, которую нужно либо обосновать, либо заместить по утверждённому плану. Это означает, что инвентаризация ПО и оборудования перестаёт быть разовым упражнением: она становится постоянным процессом с привязкой к реестру и срокам перехода.

Что делать субъектам КИИ сейчас

Практический план на ближайшие месяцы простой по структуре, но трудоёмкий по исполнению:

  • Перепроверить категорирование объектов и актуализировать перечень значимых объектов с учётом новой редакции требований.
  • Провести инвентаризацию ПО и ПАК, сопоставить её с реестром отечественного ПО и зафиксировать, что подлежит замещению.
  • Построить дорожную карту перехода на отечественные решения с реалистичными сроками и приоритетом для систем, обрабатывающих наиболее чувствительные процессы.
  • Привести систему защиты в соответствие с Приказом №117 – от сегментации до мониторинга и регламентов реагирования.
  • Закрыть документальный контур: модель угроз, организационно-распорядительные документы, доказуемость принятых мер.

Самая частая ошибка – откладывать замещение до «удобного окна». Удобного окна не будет: миграция критичных систем требует пилотов, переобучения и времени на стабилизацию. Начинать нужно с тех узлов, где риск остановки бизнеса максимален.

Если у вас нет внутренней команды под такой объём, имеет смысл привлечь интегратора, который проходил подобные проекты под ключ. Здесь логично опереться на готовую методику защиты значимых объектов КИИ по 187-ФЗ – от категорирования до приёмки готовой системы защиты.

Вывод

58-ФЗ и Приказ ФСТЭК №117 закрывают эпоху, когда требования к КИИ можно было трактовать как пожелания. С сентября 2025 года отечественное ПО на значимых объектах – это норма закона, а проверяемая результативность защиты – предмет контроля. Выигрывают те, кто начал движение заранее: у них есть карта систем, план замещения и время на спокойную миграцию. Остальным стоит начать прямо сейчас, пока сроки ещё позволяют делать это без аврала.