Ley Federal 187-FZ sobre la seguridad de la infraestructura critica de informacion

Que es la Ley Federal 187-FZ sobre la seguridad de la infraestructura critica de la informacion

La Ley Federal No. 187-FZ Sobre la seguridad de la infraestructura critica de la informacion de la Federacion Rusa fue aprobada el 26 de julio de 2017 y establece requisitos obligatorios para la proteccion de los objetos de la CII: sistemas de informacion, sistemas de control automatizados y redes de comunicacion que son criticos para la administracion estatal, la defensa, la economia y el sostenimiento de la vida de la poblacion. La ley se aplica a las organizaciones de los sectores de la salud, el transporte, las comunicaciones, la energia, las finanzas, la ciencia, la defensa y la industria nuclear, asi como a otros sectores que garantizan la actividad vital del Estado. El cumplimiento de los requisitos lo controla el FSTEC de Rusia (Servicio Federal de Control Tecnico y de Exportaciones), y para las infracciones estan previstas multas administrativas (hasta 1 millon de rublos para las organizaciones) y responsabilidad penal (segun el Articulo 274.1 del Codigo Penal de la Federacion Rusa, hasta 8 anios de prision). La violacion de la ley no solo conlleva perdidas financieras, sino tambien una amenaza para la seguridad nacional, por lo que el cumplimiento de la 187-FZ es de importancia critica para todos los sujetos de la CII. Para proteger los objetos de la CII es necesario implementar sistemas de seguridad integrales, incluidos los sistemas SIEM y las soluciones DLP para la monitorizacion y la prevencion de incidentes, asi como el uso de herramientas certificadas de proteccion de la informacion.

Categorizacion de los objetos de la CII

La ley divide los objetos de la infraestructura critica de informacion en tres categorias de significancia en funcion del dano potencial en caso de violacion de la seguridad. La primera categoria son los objetos cuya violacion de la seguridad puede provocar una emergencia de escala federal, danos importantes a la economia, a la defensa o a la seguridad del Estado. La segunda categoria son los objetos cuyo accidente crea una amenaza a escala regional y puede perturbar el sostenimiento de la vida de la poblacion o la infraestructura de transporte de una entidad de la Federacion Rusa. La tercera categoria son los objetos cuyos incidentes pueden causar danos a escala de un municipio o de una organizacion individual. Los objetos de particular importancia son una categoria aparte para los objetos de especial importancia para la defensa, la seguridad y el orden publico. La categorizacion se realiza segun las metodologias departamentales que tienen en cuenta las consecuencias sociales, politicas y economicas de los posibles incidentes. Los resultados de la categorizacion se envian al FSTEC de Rusia en un plazo de 10 dias habiles desde la aprobacion del acta de categorizacion. Para los objetos de las diferentes categorias se establecen requisitos distintos del nivel de proteccion y de la frecuencia de las inspecciones.

Obligaciones de los sujetos de la CII

Los sujetos de la CII (organizaciones que poseen objetos de la CII) estan obligados a cumplir los siguientes requisitos establecidos por la ley y los actos sublegislativos. Crear un sistema de seguridad de los objetos: desarrollar e implementar medidas de proteccion organizativas y tecnicas, incluidas las politicas de seguridad, las normas y las instrucciones, y nombrar a los responsables. Realizar la categorizacion: determinar la categoria de significancia de cada objeto de la CII en el plazo establecido (para los objetos nuevos, en un plazo de 1 anio desde la puesta en funcionamiento) y enviar la informacion al FSTEC. Utilizar herramientas CIPF certificadas: aplicar herramientas de proteccion criptografica certificadas por el FSB de Rusia para proteger la informacion durante la transmision y el almacenamiento. Proporcionar medidas tecnicas de proteccion: proteccion contra el acceso no autorizado (PAN), proteccion antivirus, control de la integridad de los datos, cifrado de los canales de comunicacion, copias de seguridad y monitorizacion de los eventos de seguridad. Informar sobre los incidentes: notificar oportunamente al FSTEC de Rusia sobre los incidentes informaticos en los objetos de la CII e interactuar con el Sistema Estatal de Deteccion, Prevencion y Eliminacion de las Consecuencias de los Ataques Informaticos (GosSOPKA). Realizar la certificacion: confirmar la conformidad del sistema de proteccion con los requisitos de seguridad mediante pruebas de certificacion. Desde 2025 se ha introducido la prohibicion de utilizar software extranjero en los objetos de la CII (excepto en los casos en que no existan analogos nacionales).

Responsabilidad por la violacion de la 187-FZ

Por el incumplimiento de los requisitos de la ley estan previstas la responsabilidad administrativa y penal. Multas administrativas: para los funcionarios, hasta 500 000 rublos, y para las organizaciones, hasta 1 000 000 de rublos (segun el Articulo 13.14 del Codigo de Infracciones Administrativas de la Federacion Rusa, por la violacion de los requisitos de proteccion de la informacion). Tambien estan previstas multas por el incumplimiento de las ordenes del FSTEC, por no proporcionar la informacion o por proporcionar datos inexactos. Responsabilidad penal: el Articulo 274.1 del Codigo Penal de la Federacion Rusa Influencia ilicita sobre la infraestructura critica de informacion de la Federacion Rusa previe el castigo de hasta 8 anios de prision por la creacion, la distribucion o el uso de programas maliciosos dirigidos a los objetos de la CII. Inhabilitacion: para los funcionarios, por infraccion reiterada esta prevista la inhabilitacion de hasta 3 anios. Suspension de la actividad: el tribunal puede decidir la suspension de la actividad de la organizacion hasta la eliminacion de las infracciones. Para minimizar los riesgos, se recomienda realizar una auditoria periodica de los sistemas de seguridad, actualizar oportunamente las herramientas de proteccion y someterse a la certificacion de los objetos de la CII dentro de los plazos establecidos.