Москва. 11 июля. ИНТЕРФАКС - Комитет Госдумы по информационной политике, информационным технологиям и связи рекомендовал принять в I чтении, с учетом замечаний и предложений комитета, законопроект (N581689-8) о дополнительных полномочиях правительства РФ по переводу значимых объектов критической информационной инфраструктуры (КИИ) на использование российского ПО и оборудования.

"Законопроект предусматривает расширение в отношении всех значимых объектов КИИ полномочий правительства в части (права - ИФ) устанавливать порядок перехода на российские решения, а также сами сроки перехода, - сказал замглавы Минцифры Сергей Кучушев в ходе заседания комитета. - Для нас это является критичным, поскольку без введения крайней даты это работать не будет - с точки зрения перехода российских компаний, госкомпаний на всех значимых объектах на российское ПО и на доверенные программно-аппаратные комплексы (ПАК)".

Еще одним значимым нововведением Кучушев назвал наделение отраслевых регуляторов обязанностью определять типовые объекты КИИ, подлежащие обязательному категорированию (в настоящее время категорированием объектов КИИ занимаются их владельцы - компании и госорганы).

"Возможность формировать типовые объекты совместно с ФОИВами - тоже достаточно критичная история, - считает Кучушев. - Теперь ФОИВы совместно с компаниями будут осуществлять системную работу по категорированию объектов КИИ".

Сам законопроект о внесении изменений в закон "О безопасности критической информационной инфраструктуры" (187-ФЗ) был внесен правительством РФ на рассмотрение Госдумы в марте текущего года. В случае его принятия правительство сможет, в частности, устанавливать требования к ПО и оборудованию, используемому на значимых объектах КИИ, а также случаи и порядок согласования использования соответствующих решений иностранного производства.

Также правительство получит право устанавливать сроки перевода объектов КИИ на преимущественное использование российского ПО и отечественной радиоэлектронной продукции.

Кроме того, правительство сможет определить порядок организации мониторинга процессов перевода объектов КИИ на использование российских решений.

Профильный комитет Госдумы в целом поддержал правительственный законопроект, но предложил уточнить ряд его положений к рассмотрению в I чтении.

В частности, депутаты предложили внести в законопроект критерии отнесения ПО и оборудования к числу российских решений (например, считать российским ПО те программные продукты, которые включены в Реестр российского ПО - ИФ), уточнить термин ПО и радиоэлектронная продукция, происходящая из иностранных государств.

Также депутаты указали на необходимость конкретизации понятия "преимущественное использование российского ПО и отечественной радиоэлектронной продукции на объектах КИИ". Без этого соответствующая норма может получить произвольное толкование в правоприменительной практике.

Кроме того, по мнению депутатов в законопроекте требуется уточнить сферу его применения - должен ли он распространяться только на значимые объекты КИИ или должен применяться ко всем объектам КИИ.

Согласно положениям 187-ФЗ, к субъектам КИИ относятся госорганы, российские юрлица и индивидуальные предприниматели, которым принадлежат ИС, ИТС и АСУ в сфере здравоохранения, науки, транспорта, связи, энергетики, государственной регистрации прав на недвижимое имущество и сделок с ним, в финсекторе, топливно-энергетическом комплексе, атомной энергетике, оборонной, ракетно-космической, горнодобывающей, металлургической и химической промышленности. Установлено три категории значимости объектов КИИ. Для значимых объектов должны быть созданы системы обеспечения информационной безопасности (СОИБ), удовлетворяющие определенным требованиям.

В 2022 году были приняты указы президента РФ №166 и №250, направленные на усиление уровня информбезопасности объектов КИИ. Так, например, последний из документов устанавливает запрет на использование импортных (из недружественных стран) СЗИ на объектах КИИ. Помимо этого, с 1 сентября текущего года компаниям (владельцам объектов КИИ) запрещено закупать для использования в рамках КИИ иностранные программно-аппаратные комплексы (ПАК). Также до конца года должны быть подготовлены отраслевые планы по переводу всех объектов КИИ на работу с российскими доверенными ПАКами. Сам этот переход должен быть завершен к 2030 году.

Кроме того, с марта 2023 года были снижены границы ущерба бюджету РФ, расцениваемого как значимый (в случае кибер-инцидентов на объектах КИИ). Кроме того, в перечень субъектов КИИ экономической сферы помимо банков включены финансовые организации, а к социально-значимым негативным последствиям сейчас относятся не только нарушения функционирования транспортной инфраструктуры, но и транспортных средств.

Таким образом, число субъектов КИИ, для которых перечисленные требования стали обязательными, значительно выросло. По словам участников рынка информационной безопасности, в настоящее время точное количество подобных объектов пока не известно. Ранее, при "старой" версии закона (187-ФЗ), число объектов КИИ оценивалось приблизительно в 50 тыс. информационных систем.