Федеральный закон «О безопасности критической информационной инфраструктуры РФ»

Базовый закон о безопасности КИИ: субъекты и объекты КИИ, категорирование, обязанности по обеспечению безопасности и взаимодействие с ГосСОПКА.

Федеральный закон № 187-ФЗ — базовый закон о безопасности критической информационной инфраструктуры (КИИ). Его замысел: защитить системы, обеспечивающие деятельность в значимых сферах (здравоохранение, наука, транспорт, связь, энергетика, банковская сфера и иные сферы финансового рынка, ТЭК, атомная энергетика, оборонная, ракетно-космическая, горнодобывающая, металлургическая и химическая промышленность и др.), от целенаправленных компьютерных атак. Закон не описывает конкретные меры защиты — он задаёт правовую рамку и распределяет обязанности, а детали выносит в подзаконные акты Правительства, ФСТЭК и ФСБ.

Кого касается: субъекты и объекты КИИ

Субъект КИИ — государственный орган, государственное учреждение или российское юридическое лицо, которому на праве собственности, аренды или ином законном основании принадлежат информационные системы, информационно-телекоммуникационные сети или АСУ, функционирующие в одной из значимых сфер (статья 2). Объекты КИИ — сами эти ИС, сети и АСУ. Статус определяется сферой деятельности, а не размером бизнеса. С 1 сентября 2025 года (изменения по 58-ФЗ от 07.04.2025) индивидуальные предприниматели из числа субъектов КИИ исключены.

Три группы обязанностей

Категорирование — выявить объекты КИИ и определить их категорию значимости (или её отсутствие) в порядке ПП РФ № 127. Обязательно для любого субъекта.
Обеспечение безопасности значимых объектов — для объектов категорий К1–К3 создаётся система безопасности (приказ ФСТЭК № 235) и реализуются меры защиты (приказ ФСТЭК № 239).
Взаимодействие с ГосСОПКА — незамедлительное информирование НКЦКИ о компьютерных атаках и инцидентах и, для владельцев значимых объектов, непрерывное взаимодействие с государственной системой (зона ФСБ России).

Ответственность

За нарушение требований к безопасности значимых объектов предусмотрена административная ответственность (статья 13.12.1 КоАП РФ), а за неправомерное воздействие на КИИ — уголовная (статья 274.1 УК РФ). Отсутствие документов и невыполнение процедур выявляются при государственном контроле ФСТЭК.

Практические разборы: кого касается 187-ФЗ, категорирование объекта КИИ и пакет документов значимого объекта.