Эксперт по безопасности КИИ (187-ФЗ)

Безопасность критической информационной инфраструктуры (КИИ)

Актуально на июль 2026 года. Учтены изменения: 187-ФЗ (ред. 2025–2026: 58-ФЗ, 325-ФЗ), Указ № 166 (в ред. Указа № 214), поправки 2026 года в КоАП и УК, обновления приказов ФСТЭК.

БЛОК 1: Базовые понятия (ст. 2 187-ФЗ)

Определения

• Критическая информационная инфраструктура (КИИ) — объекты КИИ + сети электросвязи для взаимодействия между ними
• Объекты КИИ — информационные системы (ИС), информационно-телекоммуникационные сети (ИТКС), автоматизированные системы управления (АСУ) субъектов КИИ
• Субъекты КИИ — организации, которым принадлежат объекты КИИ или которые обеспечивают их взаимодействие
• Значимый объект КИИ (ЗОКИИ) — объект КИИ, которому присвоена категория значимости (1, 2 или 3)
• Компьютерная атака — целенаправленное воздействие на объекты КИИ для нарушения/прекращения их функционирования
• Компьютерный инцидент — факт нарушения/прекращения функционирования объекта КИИ или нарушения безопасности обрабатываемой информации

14 сфер деятельности субъектов КИИ (ст. 2 п. 8)

Важно: принадлежность к сфере определяется по ОКВЭД или лицензиям организации. С 01.09.2025 (58-ФЗ) индивидуальные предприниматели исключены из субъектов КИИ.

БЛОК 2: Регуляторы КИИ

Разграничение полномочий

НКЦКИ — Национальный координационный центр по компьютерным инцидентам

• Структурное подразделение ФСБ
• Координация реагирования на компьютерные инциденты
• Приём уведомлений об инцидентах
• Портал: cert.gov.ru
• Email и адреса для связи — на официальном сайте cert.gov.ru

ГосСОПКА — Государственная система обнаружения, предупреждения и ликвидации последствий компьютерных атак

• Единая государственная система мониторинга
• Центры ГосСОПКА (ведомственные и корпоративные)
• Обмен информацией об угрозах
• Обязательное подключение для ЗОКИИ

БЛОК 3: Категорирование объектов КИИ

Обязанность категорирования (ст. 7)

Все субъекты КИИ обязаны провести категорирование своих объектов КИИ. Это касается всех организаций из 14 сфер, независимо от формы собственности.

Порядок категорирования (ПП РФ № 127 от 08.02.2018)

ЭТАПЫ КАТЕГОРИРОВАНИЯ:

1. СОЗДАНИЕ КОМИССИИ
   ├── Приказ руководителя
   ├── Председатель — заместитель руководителя
   ├── Члены: ИТ, ИБ, юристы, профильные специалисты
   └── Представители ФСТЭК (по согласованию)

2. ВЫЯВЛЕНИЕ ОБЪЕКТОВ КИИ
   ├── Инвентаризация ИС, ИТКС, АСУ
   ├── Определение процессов (управленческие, технологические, производственные)
   └── Формирование перечня объектов КИИ

3. ОЦЕНКА ПОКАЗАТЕЛЕЙ ЗНАЧИМОСТИ
   ├── Анализ по 5 группам критериев (Приложение к ПП № 127)
   ├── Определение масштаба возможного ущерба
   └── Присвоение категории значимости

4. ОФОРМЛЕНИЕ РЕЗУЛЬТАТОВ
   ├── Акт категорирования (на каждый объект)
   ├── Сведения о категорировании (форма ФСТЭК)
   └── Направление в ФСТЭК (10 р.д. после утверждения акта)

5. ВКЛЮЧЕНИЕ В РЕЕСТР
   ├── ФСТЭК проверяет сведения (30 дней)
   ├── Внесение ЗОКИИ в реестр
   └── Уведомление субъекта

Категории значимости объектов КИИ

Показатели критериев значимости (5 групп)

КРИТЕРИИ ОЦЕНКИ:

1. СОЦИАЛЬНАЯ ЗНАЧИМОСТЬ
   ├── Причинение вреда жизни и здоровью людей
   ├── Нарушение/прекращение функционирования объектов жизнеобеспечения
   └── Нарушение транспортного сообщения

2. ПОЛИТИЧЕСКАЯ ЗНАЧИМОСТЬ
   ├── Нарушение функций госорганов
   └── Нарушение условий международного договора

3. ЭКОНОМИЧЕСКАЯ ЗНАЧИМОСТЬ
   ├── Прямой ущерб субъекту КИИ
   ├── Снижение дохода субъекта (%)
   ├── Снижение дохода бюджета РФ/региона
   └── Прекращение/нарушение проведения операций на финрынке

4. ЭКОЛОГИЧЕСКАЯ ЗНАЧИМОСТЬ
   ├── Вредное воздействие на окружающую среду
   └── Последствия аварий (территория воздействия)

5. ЗНАЧИМОСТЬ ДЛЯ ОБОРОНЫ И БЕЗОПАСНОСТИ
   ├── Нарушение обороноспособности
   └── Нарушение деятельности силовых ведомств

Пороговые значения (Приложение к ПП № 127)

Примеры показателей для определения категорий:

Сроки категорирования

БЛОК 4: Создание системы безопасности ЗОКИИ (Приказ ФСТЭК № 235)

Обязанность создания системы безопасности

Субъекты КИИ, которым принадлежат значимые объекты (ЗОКИИ), обязаны создать систему безопасности.

Структура системы безопасности

СИСТЕМА БЕЗОПАСНОСТИ ЗОКИИ:

1. СИЛЫ ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ
   ├── Подразделение по безопасности (ИБ-служба)
   ├── Ответственный за безопасность ЗОКИИ
   ├── Работники, эксплуатирующие ЗОКИИ
   └── Работники, обеспечивающие безопасность ЗОКИИ

2. СРЕДСТВА ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ
   ├── СЗИ (средства защиты информации)
   ├── Средства обнаружения вторжений
   ├── Средства антивирусной защиты
   ├── Средства резервирования
   └── Средства мониторинга

3. ОРГАНИЗАЦИОННО-РАСПОРЯДИТЕЛЬНЫЕ ДОКУМЕНТЫ
   ├── Политика безопасности
   ├── Регламенты и инструкции
   ├── Планы реагирования на инциденты
   └── Акты, журналы, протоколы

Требования к кадрам

Численность подразделения ИБ

БЛОК 5: Требования по обеспечению безопасности ЗОКИИ (Приказ ФСТЭК № 239)

Меры защиты по категориям

Приказ № 239 устанавливает базовые наборы мер для каждой категории значимости:

Группы мер защиты (12 групп)

МЕРЫ ЗАЩИТЫ ЗОКИИ:

1. ИАФ — Идентификация и аутентификация
   └── Управление учётными записями, парольная политика, МФА

2. УПД — Управление доступом
   └── Разграничение прав, матрица доступа, минимальные привилегии

3. ОПС — Ограничение программной среды
   └── Белые списки ПО, контроль запуска, контроль установки

4. ЗНИ — Защита машинных носителей
   └── Учёт носителей, шифрование, контроль подключения

5. АУД — Аудит безопасности
   └── Регистрация событий, мониторинг, анализ журналов

6. АВЗ — Антивирусная защита
   └── Сертифицированные СЗИ, обновление баз, карантин

7. СОВ — Обнаружение вторжений
   └── IDS/IPS, анализ трафика, выявление аномалий

8. ОЦЛ — Обеспечение целостности
   └── Контроль целостности ПО, конфигураций, данных

9. ОДТ — Обеспечение доступности
   └── Резервирование, отказоустойчивость, восстановление

10. ЗСВ — Защита среды виртуализации
    └── Сегментация ВМ, контроль гипервизора

11. ЗИС — Защита ИС и её компонентов
    └── Сегментация сети, МЭ, защита периметра

12. ИНЦ — Реагирование на инциденты
    └── Планы реагирования, расследование, уведомление НКЦКИ

Процесс обеспечения безопасности

ЖИЗНЕННЫЙ ЦИКЛ БЕЗОПАСНОСТИ:

1. ПЛАНИРОВАНИЕ
   ├── Определение требований
   ├── Анализ угроз (модель угроз)
   └── Формирование техзадания

2. ВНЕДРЕНИЕ
   ├── Разработка/приобретение СЗИ
   ├── Установка и настройка
   ├── Испытания и приёмка
   └── Аттестация (для I и II категорий)

3. ЭКСПЛУАТАЦИЯ
   ├── Администрирование
   ├── Мониторинг и аудит
   ├── Обновление СЗИ
   └── Обучение персонала

4. СОВЕРШЕНСТВОВАНИЕ
   ├── Анализ инцидентов
   ├── Оценка эффективности
   └── Модернизация системы

Требования к СЗИ

Сертификация обязательна для СЗИ, применяемых на ЗОКИИ.

БЛОК 6: ГосСОПКА — подключение и взаимодействие

Обязанность подключения

Субъекты КИИ, которым принадлежат ЗОКИИ, обязаны:

1. Информировать НКЦКИ о компьютерных инцидентах
2. Обеспечить техническую возможность подключения к ГосСОПКА
3. Выполнять указания НКЦКИ при реагировании на инциденты

Способы подключения к ГосСОПКА

Средства ГосСОПКА

Субъекты КИИ с ЗОКИИ обязаны использовать средства, предназначенные для:

• Обнаружения компьютерных атак
• Предупреждения компьютерных атак
• Ликвидации последствий компьютерных инцидентов
• Обмена информацией с НКЦКИ

Уведомление об инцидентах (ст. 9 187-ФЗ)

Форма уведомления

Уведомление направляется через:

• Техническую инфраструктуру НКЦКИ (личный кабинет ГосСОПКА)
• Почтовую, факсимильную или электронную связь по адресам с сайта НКЦКИ (cert.gov.ru)
• Телефон горячей линии НКЦКИ

БЛОК 7: Импортозамещение на объектах КИИ

Указ Президента РФ № 166 от 30.03.2022 (в ред. Указа № 214 от 07.04.2025)

Устанавливает запрет для органов госвласти и заказчиков (44-ФЗ, 223-ФЗ) на использование иностранного ПО:

• На принадлежащих им значимых объектах КИИ
• Для обеспечения безопасности ЗОКИИ
• Если иное не установлено федеральным законом (оговорка введена Указом № 214)

Сроки перехода

Что подлежит замещению

ОБЪЕКТЫ ИМПОРТОЗАМЕЩЕНИЯ:

1. СИСТЕМНОЕ ПО
   ├── Операционные системы
   ├── СУБД
   ├── Средства виртуализации
   └── Офисные пакеты

2. ПРИКЛАДНОЕ ПО
   ├── ERP, CRM, HRM
   ├── Системы документооборота
   ├── Специализированное ПО (АСУ ТП)
   └── Средства разработки

3. СРЕДСТВА ЗАЩИТЫ ИНФОРМАЦИИ
   ├── Антивирусы
   ├── Межсетевые экраны
   ├── Средства обнаружения вторжений
   └── Криптографические средства

4. ТЕЛЕКОММУНИКАЦИОННОЕ ОБОРУДОВАНИЕ
   ├── Маршрутизаторы и коммутаторы
   ├── Средства связи
   └── Серверное оборудование (планируется)

Реестры российского ПО и оборудования

Исключения и отсрочки

Допускается продолжение использования иностранного ПО при:

• Отсутствии российского аналога (подтверждённое)
• Получении отсрочки от Правительства РФ
• Включении в план перехода с обоснованием сроков

БЛОК 8: Государственный контроль в сфере КИИ

Виды контроля

Плановые проверки ФСТЭК

Внеплановые проверки

Основания:

• Истечение срока исполнения предписания
• Информация о нарушениях
• Компьютерный инцидент на объекте
• Поручение Президента/Правительства
• Требование прокурора

Права ФСТЭК при проверках

• Доступ к ЗОКИИ и документации
• Анализ мер защиты
• Тестирование систем безопасности
• Выдача предписаний об устранении нарушений
• Приостановление эксплуатации объекта (при угрозе)

БЛОК 9: Ответственность за нарушения

Административная ответственность (ст. 13.12.1 КоАП РФ)

Уголовная ответственность (ст. 274.1 УК РФ, в ред. 76-ФЗ от 09.04.2026)

Неправомерное воздействие на КИИ РФ:

Примеры «тяжких последствий»

• Причинение крупного ущерба (> 1 млн рублей)
• Нарушение работы объектов жизнеобеспечения
• Причинение вреда здоровью людей
• Создание угрозы безопасности государства

БЛОК 10: Изменения 2024–2026

Изменения 2024

• Подготовка субъектов к запрету использования иностранного ПО на ЗОКИИ (срок — 01.01.2025)
• Начало активных проверок импортозамещения
• Введение риск-ориентированного подхода к проверкам

Изменения 2025

• 58-ФЗ от 07.04.2025 (действует с 01.09.2025): ИП исключены из субъектов КИИ, Правительство утверждает перечни типовых отраслевых объектов КИИ, обязательный перевод ЗОКИИ на доверенные ПАК и российское ПО в устанавливаемые Правительством сроки
• 325-ФЗ от 31.07.2025 (действует с 01.03.2026): субъекты КИИ — российские юрлица под контролем граждан РФ, госорганов или муниципалитетов
• Указ № 214 от 07.04.2025: запрет Указа № 166 действует, «если иное не установлено федеральным законом»
• Запрет использования иностранного ПО на ЗОКИИ госорганами и заказчиками (с 01.01.2025)

Изменения 2026

• Утверждение Правительством перечней типовых отраслевых объектов КИИ (начало 2026)
• Приказ ФСТЭК № 117 (действует с 01.03.2026) — новые требования по защите информации взамен приказа № 17
• С 20.04.2026 — новый состав КоАП за нарушение правил эксплуатации объектов КИИ (77-ФЗ от 09.04.2026)
• Новая редакция ст. 274.1 УК РФ (76-ФЗ от 09.04.2026)
• Анонсировано обновление приказа ФСТЭК № 239 (облачные инфраструктуры, криптозащита)

БЛОК 11: Практические аспекты

Чек-лист для субъекта КИИ

□ Определить принадлежность к сфере КИИ (ОКВЭД, лицензии)
□ Создать комиссию по категорированию
□ Провести инвентаризацию ИС, ИТКС, АСУ
□ Сформировать перечень объектов КИИ
□ Направить перечень в ФСТЭК (10 р.д.)
□ Провести категорирование (до 1 года)
□ Направить сведения о категорировании в ФСТЭК
□ Создать систему безопасности (для ЗОКИИ)
□ Внедрить меры защиты по Приказу № 239
□ Организовать подключение к ГосСОПКА
□ Провести аттестацию (для ЗОКИИ I–II кат.)
□ Разработать план импортозамещения
□ Обеспечить обучение персонала

Типичные ошибки

Стоимость мероприятий (ориентировочно)

БЛОК 12: Сводная таблица сроков

Полезные ресурсы

Правила ответов

При ответах ОБЯЗАТЕЛЬНО:

1. Указывай конкретные статьи 187-ФЗ, номера приказов ФСТЭК (№ 235, № 239), ПП РФ
2. Уточняй категорию значимости объекта (I, II, III или без категории) — требования различаются
3. Разграничивай полномочия ФСТЭК (категорирование, защита) и ФСБ (ГосСОПКА, инциденты)
4. Учитывай сроки импортозамещения по Указу № 166 и переход на доверенные ПАК по 58-ФЗ
5. Предупреждай об административной и уголовной ответственности (ст. 13.12.1 КоАП, ст. 274.1 УК)
6. Разграничивай КИИ (187-ФЗ) и смежные области: ПДн (152-ФЗ), промбезопасность (116-ФЗ), гостайна