Основные нормативно-правовые акты по регуляторике КИИ

1. Федеральный закон от 26.07.2017 №187-ФЗ

«О безопасности критической информационной инфраструктуры Российской Федерации»

Описание: закон вводит понятия объектов и субъектов КИИ, а также обязанности организаций по обеспечению безопасности объектов КИИ.

Основные изменения:

• Федеральный закон от 10.07.2023 № 312-ФЗ
  В субъекты КИИ включены органы по государственной регистрации прав на недвижимое имущество и сделок с ним.

2. Приказ ФСТЭК России №235 от 21.12.2017

«Об утверждении Требований к созданию систем безопасности значимых объектов КИИ РФ и обеспечению их функционирования»

Описание: документ устанавливает требования к силам обеспечения безопасности ЗО КИИ, программным и программно-аппаратным средствам, документации по безопасности ЗО КИИ, функционированию системы безопасности.

Основные изменения:

• Приказ ФСТЭК России от 20.04.2023 г. № 69
  Появляется отсылка к требованиям 250 Указа Президента, изменен ряд требований к персоналу (в т.ч. со средним профессиональным образованием), перераспределена ответственность.
• Приказ ФСТЭК России от 27.03.2019 г. № 64
  Введен ряд уточнений для обособленных подразделений (филиалов, представительств) субъектов КИИ, появились требования к персоналу (образование, стаж работы, периодичность обучения), а также определена периодичность контроля.

3. Приказ ФСТЭК России №239 от 25.12.2017

«Об утверждении Требований по обеспечению безопасности значимых объектов КИИ РФ»

Описание: документ устанавливает требования к обеспечению безопасности ЗО КИИ в ходе создания, эксплуатации и вывода их из эксплуатации, к организационным и техническим мерам защиты информации и определяет состав мер для каждой категории значимости объекта.

Основные изменения:

• Приказ ФСТЭК России от 09.08.2018 г. № 138
  Вносит изменение в Приложение с составом мер защиты информации и дает ряд правок по тексту.
• Приказ ФСТЭК России от 26.03.2019 г. № 60
  Детализирует описание испытаний подсистемы ИБ в ходе этапов и стадий жизненного цикла ЗО КИИ, устанавливает требования к граничным маршрутизаторам и размещению технических средств на территории РФ. Кроме того, вносит ряд корректировок в Приложение с составом мер ЗИ.
• Приказ ФСТЭК России от 20.02.2020 г. № 35
  Вводит требования к СЗИ, безопасности прикладного ПО (безопасная разработка, выявление уязвимостей в ходе инструментальных проверок, мероприятия в ходе поддержки его ЖЦ), а также регламентирует вопросы удаленного доступа.

4. Постановление Правительства РФ №127 от 08.02.2018

«Об утверждении Правил категорирования объектов КИИ РФ, а также перечня показателей критериев значимости объектов КИИ РФ и их значений»

Описание: постановление устанавливает порядок и сроки категорирования объектов КИИ.

Основные изменения:

• Постановление Правительства РФ от 13.04.2019 г. № 452
  Детализирует требования к комиссии по категорированию, рассмотрению наихудших сценариев при проведении компьютерных атак, вносит корректировки в Приложение с перечнем показателей критериев значимости.
• Постановление Правительства РФ от 24.12.2021 г. № 2431
  Вводит требования по поддержанию сведений о ЗО КИИ в актуальном состоянии и мониторингу изменений.
• Постановление Правительства РФ от 19.08.2022 г. № 1463
  Устанавливает привлечение к мониторингу и оценке актуальности сведений ЗО КИИ организаций по согласованию с уполномоченными органами и ведомствами.
• Постановление Правительства РФ от 20.12.2022 г. № 2360
  Вводит ряд новых критериев значимости в Приложении, а также перечни типовых отраслевых объектов КИИ.

5. Указ Президента Российской Федерации от 30.03.2022 № 166

«О мерах по обеспечению технологической независимости и безопасности КИИ РФ»

Описание: документ устанавливает запрет на использование иностранного ПО на ЗО КИИ.

6. Указ Президента Российской Федерации от 14.04.2022 № 203

«О Межведомственной комиссии Совета Безопасности РФ по вопросам обеспечения технологического суверенитета государства в сфере развития КИИ РФ»

Описание: указ утверждает состав и функции Межведомственной комиссии Совбеза РФ по вопросам обеспечения технологического суверенитета государства в сфере развития КИИ.

7. Указ Президента Российской Федерации от 01.05.2022 г. № 250

«О дополнительных мерах по обеспечению информационной безопасности Российской Федерации».

Описание: Указ направлен на на обеспечение информационной безопасности ряда ключевых компаний России, в том числе объектов КИИ. В Указе сделан акцент на назначение ответственного за информационную безопасность в организации, необходимость создания отдельного подразделения и использования СЗИ из дружественных стран.

Изменения: обсуждается ряд изменений

8. Постановление Правительства РФ от 15.07.2022 № 1272

«Об утверждении типового положения о заместителе руководителя организации, ответственном за обеспечение информационной безопасности, и типового положения о структурном подразделении, обеспечивающем информационную безопасность организации»

Описание: в постановлении определены права, полномочия, обязанности, квалификационные требования и ответственность заместителя руководителя по ИБ на ЗО КИИ, а также соответствующего структурного подразделения.