Изменения в сфере регулирования безопасности критической информационной инфраструктуры (КИИ)

С 1 сентября 2025 года субъектами КИИ, по общему правилу, признаются только юридические лица и государственные органы, осуществляющие деятельность в установленных сферах и владеющие объектами КИИ. Поправки исключают возможность отнесения индивидуальных предпринимателей к этой категории.

При этом изменения, вступившие в силу с 1 сентября 2025 года, распространяют отдельные обязанности (напр. информирование о компьютерных атаках и инцидентах, установка средств обнаружения, взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак (далее – ГосСОПКА)) также на российские юридические лица под контролем РФ или субъектов РФ, не являющиеся субъектами КИИ. Данное требование потенциально применимо к широкому кругу компаний – как минимум ко всем лицам, в отношении которых применяется 44-ФЗ и 223-ФЗ, активам под управлением Росимущества (в связи с возросшим применением ст.169 ГК по искам Генеральной прокуратуры, таких активов становится больше).

С 1 сентября 2025 года Правительство РФ уполномочено утверждать перечни типовых отраслевых объектов КИИ[1], а также отраслевых особенностей категорирования объектов[2]. Данное изменение может повлечь пересмотр и еще большее расширение круга юридических лиц, которые будут признаваться субъектами КИИ.

С 1 сентября 2025 года субъекты КИИ будут обязаны непрерывно взаимодействовать с ГосСОПКА, включая установку средств обнаружения компьютерных атак и инцидентов (в том числе для поиска признаков атак) и информирование уполномоченного органа о таких инцидентах.

Помимо этого, с 1 сентября 2025 года Законом о КИИ вводится обязанность субъектов КИИ использовать на значимых объектах ПО, включенное в Единый реестр российских программ для электронных вычислительных машин и баз данных[3]. Также вводятся требования к программно-аппаратным средствам, которые будут установлены в актах Правительства РФ. Переход на такие ПО и средства осуществляется в порядке и сроки, устанавливаемые уполномоченными органами (на данный момент соответствующие подзаконные акты не приняты).

При этом с 1 марта 2026 года появится альтернативный вариант исполнения данной обязанности в виде использования ПО, включенного в не существующий пока перечень российских программ для электронных вычислительных машин и баз данных, разработанных и используемых для собственных нужд российскими юридическими лицами[4]. Для того, чтобы внести ПО в данный перечень, нужно будет предоставить доказательства принадлежности прав на ПО российскому правообладателю (с учетом требований по контролю правообладателей российскими лицами). Кроме того, программа не должна составлять государственную тайну.

Напомним, что за нарушения требований Закона о КИИ юридические лица и их должностные лица могут быть привлечены к административной ответственности с назначением штрафа до 500 000 руб. на юридических лиц и до 50 000 руб. на должностных лиц. А в том случае, если несоблюдение требований повлекло причинение вреда КИИ, виновные должностные лица могут быть привлечены к уголовной ответственности вплоть до лишения свободы на срок до 5 лет с назначением штрафа в размере до 1 000 000 руб.