Драйверы локализации ПО: иностранные санкции и внутренний запрет иностранных программ для критической информационной инфраструктуры

1. Прежде всего, необходимо определиться со статусом «субъекта КИИ».

К субъектам КИИ относятся, в частности, индивидуальные предприниматели и юридические лица, которые (i) осуществляют свою деятельность в сферах, предусмотренных Федеральным законом от 26 июля 2017 года № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» (далее – Закон о КИИ), (ii) а также владеют на праве собственности, аренды или ином законном основании объектами КИИ.

К сферам, предусмотренным Законом о КИИ, относятся: здравоохранение, наука, транспорт, связь, энергетика, государственная регистрация прав на недвижимое имущество и сделок с ним, банковская сфера и иные сферы финансового рынка, ТЭК, атомная энергетика, оборонная промышленность, ракетно-космическая промышленность, горнодобывающая, металлургическая и химическая промышленность. Соответственно, ограничения могут быть применимы к больницам, НИИ, университетам, общественному транспорту и такси, кредитным организациям, нефтеперерабатывающим заводам и АЗС – очень широкому спектру компаний в различных отраслях.

К объектам КИИ относятся информационные системы (например, программы, входящие в пакет «1С»), информационно-телекоммуникационные сети (например, локальные сети, оборудование провайдеров), автоматизированные системы управления (например, станки с числовым программным управлением).

2. После того, как было установлено наличие статуса «субъект КИИ», необходимо провести категорирование объектов КИИ для того, чтобы определить, какие из объектов КИИ являются значимыми, поскольку ограничения по Указу № 166 относятся именно к значимым объектам КИИ.

Для этого нужно:

• Организовать внутреннюю специальную ответственную комиссию, которая должна включать руководителя субъекта КИИ или уполномоченное им лицо, работника субъекта КИИ, отвечающего за информационную безопасность, работника субъекта КИИ, имеющего доступ к государственной тайне и т.д. – требования к составу комиссии установлены Постановлением Правительства от 8 февраля 2018 года № 127 «Об утверждении Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, а также перечня показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений» (далее – Постановление Правительства № 127).
• Собрать необходимые данные – составить список всех объектов КИИ.
• Провести категорирование объектов КИИ в соответствии с критериями, установленными Постановлением Правительства № 127, и определить таким образом значимые объекты КИИ.
• Отправить результаты категорирования во ФСТЭК. При необходимости нужно учесть замечания, полученные от ФСТЭК.
   

3. После выявления значимых объектов КИИ требуется привести свою закупочную деятельность (а системы информационной безопасности – после установления статуса субъекта КИИ) в соответствие с установленными требованиями, а также готовиться к отказу от Иностранного ПО и переходу на отечественные аналоги. Для всех субъектов КИИ речь идет о «недружественном» Иностранном ПО в сфере информационной безопасности, а для лиц, осуществляющих закупки по ФЗ № 223, и органов государственной власти – о полном отказе от Иностранного ПО, связанного со значимыми объектами КИИ.

В ближайшее время компаниям, функционирующим в сфере здравоохранения, науки, транспорта, связи, энергетики, государственной регистрации прав на недвижимое имущество и сделок с ним, в банковской сфере и иных сферах финансового рынка, ТЭК, атомной энергетики, оборонной промышленности, ракетно-космической промышленности, горнодобывающей, металлургической и химической промышленности следует уделить особое внимание определению своего статуса в соответствии с Законом о КИИ, а также провести категоризацию объектов КИИ и согласовать ее со ФСТЭК. После того, как будет установлен перечень значимых объектов КИИ, необходимо приступить к поиску или заказу разработки отечественных программ, способных заменить Иностранное ПО.

Команда Б1 готова оказать поддержку по различным вопросам, связанным с определением принадлежности наших клиентов к субъектам КИИ, осуществить техническое и юридическое сопровождение организации и провести процедуру категорирования объектов КИИ, в том числе при первоначальной подготовке позиции перед взаимодействием с уполномоченными органами, а также подготовить сопровождающие трансформацию договоры.

• Наталья Аристова, партнер Б1, отдел юридических услуг
• Антон Сиднин, менеджер Б1, отдел юридических услуг
• Дмитрий Коровин, юрист Б1, отдел юридических услуг