Субъект КИИ

За последние несколько лет российский ИТ-ландшафт пережил тектонические сдвиги. В условиях беспрецедентного роста киберугроз государство взяло курс на тотальную защиту жизненно важных систем страны. Фундаментом этого процесса стал Федеральный закон № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации». Для многих ИТ-директоров и владельцев бизнеса термины из этого закона до сих пор звучат пугающе. По сети ходят мифы, а юристы ломают копья в спорах о трактовках. В этой статье мы подробно, простым языком разберем, что такое 187 фз кии, кто такой субъект кии, ответим на парадоксальный вопрос о том, как стать субъектом кии, и дадим четкий план действий по модернизации вашей серверной инфраструктуры.

187 ФЗ КИИ: Суть закона простыми словами

Федеральный закон № 187-ФЗ вступил в силу еще 1 января 2018 года, но именно к 2024-2025 годам контроль за его исполнением достиг максимума (в том числе благодаря Указу Президента №166 о запрете иностранного ПО). Суть закона предельно ясна: в стране есть предприятия, остановка которых из-за хакерской атаки или закладки в иностранном оборудовании приведет к катастрофическим последствиям. Это могут быть человеческие жертвы (отключилось электричество в больнице), экологические бедствия (авария на химическом заводе), экономический коллапс (остановка банковского процессинга) или угроза обороноспособности.

Цель 187 фз кии — выявить такие предприятия, обязать их защитить свои компьютерные системы по строгим государственным стандартам и подключить их к ГосСОПКА (Государственной системе обнаружения, предупреждения и ликвидации последствий компьютерных атак), которой управляет ФСБ.

Субъект КИИ: кто это такие и какие отрасли попадают под закон?

Главная ошибка малого и среднего бизнеса — думать, что закон касается только Газпрома, Росатома и Сбербанка. Это не так. Закон опирается не на размер вашей выручки или форму собственности (АО, ООО, ГУП), а на сферу вашей деятельности.

Согласно статье 2 закона № 187-ФЗ, субъект кии — это государственный орган, государственное учреждение, российское юридическое лицо или индивидуальный предприниматель, которым на праве собственности (или аренды) принадлежат информационные системы, функционирующие в строго определенных сферах. На сегодняшний день этих сфер 14:

• Здравоохранение: Больницы, частные сетевые клиники, лаборатории, станции переливания крови.
• Наука: НИИ, лаборатории.
• Транспорт: РЖД, аэропорты, авиакомпании, морские порты, крупные логистические центры.
• Связь: Телеком-операторы, интернет-провайдеры, дата-центры.
• Энергетика: ТЭЦ, ГЭС, электросетевые компании.
• Банковская и иная финансовая сфера: Все банки, страховые компании, МФО, брокеры.
• Топливно-энергетический комплекс (ТЭК): Нефте- и газодобыча, НПЗ, трубопроводы.
• Атомная энергия.
• Оборонная промышленность.
• Ракетно-космическая промышленность.
• Горнодобывающая промышленность.
• Металлургическая промышленность.
• Химическая промышленность.
• Регистрация прав на недвижимое имущество.

Если в уставе вашего юридического лица (или в выписке ЕГРЮЛ/ЕГРИП) указаны ОКВЭДы, относящиеся к этим отраслям, или у вас есть соответствующие лицензии (например, медицинская лицензия), и вы используете в работе компьютеры — поздравляем, вы субъект кии.

Заблуждение рынка: «Как стать субъектом КИИ»?

В поисковых системах часто встречается запрос: как стать субъектом кии. Это в корне неверная юридическая формулировка. Статус субъекта КИИ не получают как лицензию или сертификат. В него не «вступают» добровольно.

Вы становитесь субъектом КИИ автоматически по факту осуществления деятельности в одной из 14 вышеперечисленных сфер и владения информационной системой. Вам не нужно писать заявление: «Прошу считать меня субъектом КИИ». Однако закон обязывает вас провести инвентаризацию своих систем и уведомить государство о том, насколько эти системы важны. Этот процесс называется категорированием.

Пошаговый алгоритм: категорирование объектов КИИ

Объекты КИИ — это ваши серверы, базы данных, сети, АСУ ТП (автоматизированные системы управления технологическим процессом). Субъект обязан провести их категорирование. Процедура регламентируется Постановлением Правительства РФ № 127.

Шаг 1. Создание комиссии

Руководитель организации издает приказ о создании комиссии по категорированию. В нее должны входить ИТ-директор, специалист по информационной безопасности, юрист, а также руководители профильных подразделений (главврач, главный инженер, главный бухгалтер).

Шаг 2. Инвентаризация систем

Комиссия составляет полный перечень всех информационных систем (ИС), информационно-телекоммуникационных сетей (ИТКС) и АСУ ТП. Выписывается всё: 1С:Бухгалтерия, медицинская информационная система (МИС), система управления станками в цеху, система контроля доступа (СКУД).

Шаг 3. Оценка масштабов возможных последствий

Это самый сложный этап. Комиссия должна смоделировать наихудший сценарий: что будет, если эту систему взломают, уничтожат в ней данные или остановят ее работу. Последствия оцениваются по жестким критериям, прописанным в ПП № 127:

• Социальные: Пострадают ли люди? Будет ли нарушено предоставление госуслуг?
• Политические: Пострадает ли репутация РФ на международной арене?
• Экономические: Какой будет финансовый ущерб (в миллионах рублей) для предприятия или бюджета? Будут ли не выплачены налоги?
• Экологические: Будет ли выброс вредных веществ в атмосферу?

Шаг 4. Присвоение категории

В зависимости от тяжести последствий, объекту КИИ присваивается одна из категорий значимости:

• 1 категория (самая высокая): Ущерб катастрофический, федерального масштаба.
• 2 категория: Ущерб значительный, регионального масштаба.
• 3 категория: Ущерб есть, но в рамках одного предприятия или района.
• Без категории (незначимый объект КИИ): Ущерб минимален и не дотягивает до пороговых значений ПП № 127.

Важно: даже если ваша система получила статус «незначимый объект КИИ», вы всё равно остаетесь субъектом КИИ. Просто требования к защите незначимых объектов гораздо мягче, чем к значимым (ЗОКИИ).

Шаг 5. Отправка сведений во ФСТЭК

Результаты работы комиссии оформляются в виде Акта и Сведений о категорировании. Эти документы направляются во ФСТЭК России. Если ФСТЭК соглашается с вашими выводами, объект вносится в Реестр значимых объектов КИИ (если присвоена категория с 1 по 3).

Что делать с ИТ-инфраструктурой? Техническая сторона вопроса

Если в результате категорирования у вас появились Значимые объекты КИИ (ЗОКИИ), ваша жизнь навсегда меняется. Приказы ФСТЭК № 235 и № 239 диктуют жесточайшие требования к обеспечению информационной безопасности таких объектов.

Главная проблема заключается в том, что строить надежную защиту на базе старого иностранного оборудования больше нельзя. В 2025 году инфраструктура ЗОКИИ должна быть импортозамещена. Указ Президента № 166 запрещает использование иностранного программного обеспечения, а смежные законы требуют использования доверенных программно-аппаратных комплексов (ПАК).

Как выбрать серверы для объектов КИИ?

Модернизация ЦОД для субъекта КИИ — это не просто закупка мощного железа, это юридически выверенный шаг. На что обратить внимание ИТ-директору?

1. Оборудование из реестра Минпромторга (ЕРРРП)

Серверы, системы хранения данных и коммутаторы должны иметь подтвержденное российское происхождение. Использование серверов Аквариус, YADRO, Гравитон, Kraftway или DEPO, включенных в реестр, защищает вас от рисков отключения вендорской поддержки (как это было с Cisco или VMware) и гарантирует отсутствие аппаратных закладок со стороны недружественных стран.

2. Аппаратные модули доверенной загрузки (АМДЗ)

Сервер для КИИ должен быть доверенным. Для этого в него устанавливаются сертифицированные ФСТЭК модули (например, ПАК «Соболь» или «Аккорд»). Они блокируют загрузку сервера до тех пор, пока не проверят целостность BIOS/UEFI, микрокодов материнской платы и операционной системы. Если хакер удаленно изменит прошивку сервера, АМДЗ просто не даст ему включиться, предотвратив кражу данных.

3. Сертифицированное программное обеспечение

Отечественный сервер не имеет смысла, если на нем стоит пиратский Windows. Субъект КИИ обязан использовать ОС и системы виртуализации из Реестра отечественного ПО (Минцифры), имеющие сертификаты ФСТЭК по соответствующим Уровням доверия. Классический стек сегодня — это сервер из ЕРРРП + Astra Linux Special Edition + гипервизор zVirt или Брест.

4. Отказоустойчивость и резервирование

Требования ФСТЭК гласят, что значимый объект КИИ должен быть доступен. Аппаратная инфраструктура обязана строиться по отказоустойчивой схеме. Дублированные блоки питания, аппаратные RAID-контроллеры, резервирование узлов кластера (High Availability) и надежные системы резервного копирования (BaR) — это не пожелания, а строгая необходимость.

Штрафы и ответственность: что будет, если проигнорировать закон?

С 2023-2024 годов государство перешло от уговоров к репрессивным мерам. Если субъект кии не провел категорирование, скрыл наличие значимых объектов или не обеспечил их защиту, наступает ответственность.

• Административная ответственность: Статья 19.7.13 КоАП РФ (непредоставление сведений во ФСТЭК) влечет штрафы для юрлиц до 500 000 рублей.
• Уголовная ответственность: Это самое страшное. Статья 274.1 УК РФ «Неправомерное воздействие на критическую информационную инфраструктуру РФ». Если ваш объект КИИ взломают из-за того, что вы его не защитили, и это повлечет тяжкие последствия, руководителю организации (и ИТ-директору) грозит реальный срок лишения свободы до 10 лет.

Заключение: ваш план действий

Закон 187 фз кии навсегда изменил подход к корпоративным ИТ в России. Если вы поняли, что ваша компания — субъект кии, не пытайтесь искать способы обойти закон или искать инструкции, как стать субъектом кии по своему желанию (вы им уже являетесь). Действуйте системно:

1. Создайте комиссию и проведите честное категорирование всех ваших ИТ-систем.
2. Если у вас появились значимые объекты (ЗОКИИ), немедленно начинайте проектирование новой, доверенной инфраструктуры.
3. Откажитесь от «серого» оборудования. Заложите бюджет на закупку серверов и СХД из реестра Минпромторга, оснащенных сертифицированными средствами защиты.
4. Внедрите отечественный стек программного обеспечения и систему мониторинга инцидентов (для связи с ГосСОПКА).

Построение инфраструктуры для объектов КИИ — сложнейшая инженерная и юридическая задача. Ошибка в выборе «железа» может привести к тому, что ФСТЭК просто не подпишет акт ввода системы в эксплуатацию. Чтобы избежать потери бюджетов, доверяйте аудит и подбор оборудования профильным системным интеграторам, имеющим лицензии на деятельность по технической защите информации.