187-ФЗ «О безопасности КИИ»

Что такое 187-ФЗ «О безопасности критической информационной инфраструктуры»

Федеральный закон № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» принят 26 июля 2017 года и устанавливает обязательные требования к защите объектов КИИ — информационных систем, автоматизированных систем управления и сетей связи, критически важных для государственного управления, обороны, экономики и жизнеобеспечения населения. Закон распространяется на организации из сфер здравоохранения, транспорта, связи, энергетики, финансов, науки, оборонной и атомной промышленности, а также других отраслей, обеспечивающих жизнедеятельность государства. Контроль за соблюдением требований осуществляет ФСТЭК России (Федеральная служба по техническому и экспортному контролю), а за нарушения предусмотрены административные штрафы (до 1 млн рублей для организаций) и уголовная ответственность (по ст. 274.1 УК РФ — до 8 лет лишения свободы). Нарушение закона влечет за собой не только финансовые потери, но и угрозу национальной безопасности, поэтому соблюдение 187-ФЗ является критически важным для всех субъектов КИИ. Для защиты объектов КИИ требуется внедрение комплексных систем безопасности, включая SIEM-системы и DLP-решения для мониторинга и предотвращения инцидентов, а также использование сертифицированных средств защиты информации.

Категорирование объектов КИИ

Закон разделяет объекты критической информационной инфраструктуры на три категории значимости в зависимости от потенциального ущерба при нарушении безопасности. Первая категория — объекты, нарушение безопасности которых может привести к чрезвычайной ситуации федерального масштаба, существенному ущербу экономике, обороне или безопасности государства. Вторая категория — объекты, авария на которых создаёт угрозу в масштабах региона, может нарушить работу жизнеобеспечения населения или транспортной инфраструктуры субъекта РФ. Третья категория — объекты, инциденты на которых могут нанести ущерб в масштабах муниципального образования или отдельной организации. Особо значимые объекты — отдельная категория для объектов, имеющих особое значение для обороны, безопасности и правопорядка. Категорирование осуществляется по ведомственным методикам, учитывающим социальные, политические и экономические последствия возможных инцидентов. Результаты категорирования направляются во ФСТЭК России в течение 10 рабочих дней с момента утверждения акта категорирования. Для объектов разных категорий устанавливаются различные требования к уровню защиты и периодичности проверок.

Обязанности субъектов КИИ

Субъекты КИИ (организации, владеющие объектами КИИ) обязаны выполнять следующие требования, установленные законом и подзаконными актами. Создать систему безопасности объектов — разработать и внедрить организационные и технические меры защиты, включая политики безопасности, регламенты, инструкции, назначить ответственных лиц. Провести категорирование — определить категорию значимости каждого объекта КИИ в установленный срок (для новых объектов — в течение 1 года с момента ввода в эксплуатацию) и направить сведения во ФСТЭК. Использовать сертифицированные СКЗИ — применять средства криптографической защиты, сертифицированные ФСБ России, для защиты информации при передаче и хранении. Обеспечить технические меры защиты — защита от несанкционированного доступа (НСД), антивирусная защита, контроль целостности данных, шифрование каналов связи, резервное копирование, мониторинг событий безопасности. Уведомлять об инцидентах — незамедлительно уведомлять ФСТЭК России о компьютерных инцидентах на объектах КИИ и взаимодействовать с ГосСОПКА (Государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак). Проводить аттестацию — подтверждать соответствие системы защиты требованиям безопасности через проведение аттестационных испытаний. С 2025 года введен запрет на использование иностранного ПО на объектах КИИ (за исключением случаев, когда отечественных аналогов нет).

Ответственность за нарушение 187-ФЗ

За невыполнение требований закона предусмотрена административная и уголовная ответственность. Административные штрафы — для должностных лиц до 500 000 рублей, для организаций до 1 000 000 рублей (по статье 13.14 КоАП РФ за нарушение требований к защите информации). Также предусмотрены штрафы за неисполнение предписаний ФСТЭК, непредоставление сведений или предоставление недостоверных сведений. Уголовная ответственность — статья 274.1 УК РФ «Неправомерное воздействие на критическую информационную инфраструктуру Российской Федерации» предусматривает наказание до 8 лет лишения свободы за создание, распространение или использование вредоносных программ, направленных на объекты КИИ. Дисквалификация — для должностных лиц предусмотрена дисквалификация на срок до 3 лет за повторное нарушение. Приостановление деятельности — судом может быть принято решение о приостановлении деятельности организации до устранения нарушений. Для минимизации рисков рекомендуется проводить регулярный аудит систем безопасности, своевременно обновлять средства защиты и проходить аттестацию объектов КИИ в установленные сроки.