187-ФЗ девять лет спустя: что изменилось с 2017 года и что делать в 2026

В июле 2017 года я писал про только что принятый закон о безопасности критической информационной инфраструктуры: 187-ФЗ как отдельная повестка. Тогда это была рамка. Подзаконных актов не было, сроков не было, и у большинства компаний среднего размера сложилась ровная позиция: «это про энергетику и банки, мы тут ни при чём».

Девять лет спустя эта позиция стала самой дорогой из возможных. Закон обрастал постановлениями и приказами каждый год, но перелом случился в 2025 году, и его многие пропустили, потому что он не выглядел как одно большое событие. Это была серия небольших документов, которые вместе закрыли те лазейки, на которых держалось «не про нас».

Эта заметка для собственника или операционного директора промышленной компании, который в 2017 году решил, что закон его не касается, и с тех пор к вопросу не возвращался. Разбираю четыре сдвига и переписываю свой же чеклист 2017 года под 2026 год.

Почему «не про нас» работало девять лет

Конструкция закона 2017 года давала субъекту право самому оценить, есть ли у него значимые объекты. Компания создавала комиссию, комиссия составляла перечень объектов, присваивала категории и отправляла сведения во ФСТЭК. Или не отправляла, потому что решила, что значимых объектов нет.

Так появилась лазейка самооценки. Завод с диспетчерской системой и АСУ ТП на технологической линии мог честно считать, что его системы не дотягивают до категории, потому что критерии последствий допускали толкование. Регулятор видел только то, что ему прислали. Административная ответственность за нарушения появилась лишь в 2021 году, а проверки доходили в первую очередь до крупных игроков.

При такой конструкции рациональным поведением среднего предприятия было ничего не делать. Я в 2017 году советовал провести инвентаризацию и понять топологию «на всякий случай». Большинство случаев так и не наступило, и совет лёг в стол. Это честная констатация, а не упрёк.

Сдвиг первый: самооценку закрыли отраслевыми перечнями

Поправки в 187-ФЗ, принятые законом 58-ФЗ от 7 апреля 2025 года, действуют с 1 сентября 2025 года. Главное в них для среднего предприятия: появился механизм типовых отраслевых объектов КИИ. Правительство утверждает по отраслям перечни типовых объектов и отраслевые особенности категорирования, и субъект обязан сверить свои системы с этим перечнем.

Разница принципиальная. Раньше комиссия решала, есть ли у неё объект. Теперь перечень говорит, что АСУ ТП на объекте такой-то отрасли, диспетчерская платформа или отраслевая учётная система являются объектами по умолчанию. Комиссии остаётся определить категорию, и для этого есть отраслевые особенности, которые тоже сужают простор для толкования. Правила категорирования требуют пересмотреть ранее присвоенные категории после выхода перечней.

Второе изменение той же серии: индивидуальных предпринимателей вывели из субъектов КИИ. Мелочь, но показательная. Законодатель не расширял круг, а чистил его, чтобы сосредоточить контроль на тех, у кого есть что защищать. Если вы завод, а не ИП, вы остались в списке.

Сдвиг второй: железо и софт стали предметом регулирования

В 2017 году закон молчал о том, на чём работают объекты. Теперь это одна из главных тем.

Постановление Правительства 1912 от 14 ноября 2023 года задало переход значимых объектов КИИ на доверенные программно-аппаратные комплексы. С 1 сентября 2024 года действует запрет на закупку недоверенных ПАК для значимых объектов, отраслевые ведомства утверждают планы перехода с целевыми долями, горизонт у планов до 2030 года. Поправки 2025 года добавили обязанность преимущественно использовать российское ПО, если в реестре есть аналог.

Отдельно работает Указ 250 от 1 мая 2022 года. С 1 января 2025 года субъектам КИИ запрещено использовать средства защиты информации, произведённые в недружественных государствах или контролируемых ими организациях. Это касается межсетевых экранов, антивирусов, систем обнаружения вторжений. Для многих заводов это означает, что периметр, собранный в 2019 году на импортном оборудовании, формально вне закона уже почти два года.

Про саму тему замены я писал ещё в 2017 году в заметке Импортозамещение ПО: что это означает для ИТ-руководителя и возвращался к ней в 2022 году, когда разбирал архитектурный суверенитет и open source. Что изменилось с тех пор: из рекомендации это стало планом с датами и долями, который ведомство спускает субъекту.

Сдвиг третий: регулятор перестал читать папки

Приказ ФСТЭК 117 от 11 апреля 2025 года действует с 1 марта 2026 года и заменил приказ 17, по которому государственные информационные системы защищались с 2013 года. Формально он о ГИС, и завод под него не попадает напрямую. Но это самый ясный сигнал о том, куда движется регулятор, и требования к значимым объектам КИИ по приказу 239 идут в том же направлении.

Суть сдвига: вместо конечного перечня мер и аттестации раз в несколько лет вводится процессный подход. Защита описывается как набор процессов, которые работают постоянно, уязвимости устраняются в заданные сроки, защищённость оценивается показателем, который нужно пересчитывать. Методический документ к приказу, выпущенный в апреле 2026 года, содержит отдельный раздел про защиту информации при использовании искусственного интеллекта: изоляция среды разработки моделей, контроль целостности обучающих данных и модели, журналирование запросов и ответов.

Для собственника это означает одну практическую вещь. Папка с политиками и актом аттестации трёхлетней давности перестаёт быть аргументом. Вопрос регулятора теперь звучит как «покажите, что это работает сегодня». Такой же подход я описывал весной с другой стороны, когда разбирал, почему данные, ИТ и безопасность нельзя разделять: защита как свойство системы, а не как отдельная папка.

Сдвиг четвёртый: ГосСОПКА стала технической обязанностью

В 2017 году подключение к ГосСОПКА выглядело как далёкая перспектива для крупных субъектов. Сегодня это рабочая обязанность. О компьютерном инциденте на объекте КИИ нужно уведомить НКЦКИ в течение 24 часов, для значимых объектов взаимодействие должно быть непрерывным и техническим, а порядок такого взаимодействия ФСБ обновила в конце 2025 года.

С этим связана и ответственность, которой в 2017 году не было. Статья 13.12.1 КоАП даёт штрафы за нарушение требований и за неуведомление об инциденте, для юридического лица до 500 тысяч рублей. Статья 274.1 УК предусматривает уголовную ответственность за неправомерное воздействие на КИИ, и её третья часть применяется к собственным сотрудникам за нарушение правил эксплуатации, которое повлекло вред. Это та часть, о которой ИТ-директор завода обычно узнаёт последним.

Что это означает для завода на триста человек

Соберу типовой портрет. Предприятие в металлургии, химии, энергетике или добыче, от трёхсот до полутора тысяч человек. ERP, несколько линий с АСУ ТП на иностранных контроллерах, ИТ-отдел из пяти человек, безопасностью занимается системный администратор по совместительству. В 2017 году такое предприятие решило, что закон не про него, и было по-своему право.

В 2026 году картина такая:

• объект КИИ у предприятия есть, потому что его АСУ ТП или диспетчерская описаны в отраслевом перечне, и категорию нужно пересматривать;
• если объект значимый, к нему прилагается план перехода на доверенные ПАК с долями и датами, который спускает отраслевое ведомство;
• средства защиты иностранного производства на этом объекте вне закона с января 2025 года;
• об инциденте нужно сообщить в НКЦКИ за сутки, а для этого нужно его сначала увидеть.

Хорошая новость в том, что это не означает «купить всё и сразу». Инвестиционные бюджеты на рынке сейчас режут, я это вижу по своим разговорам, и регулятор это тоже понимает: планы перехода растянуты до 2030 года именно поэтому. Плохая новость в том, что отложить вопрос ещё на год уже нельзя, потому что пересмотр категорирования и запрет на иностранные СЗИ не имеют отлагательного условия.

Чеклист 2017 года, переписанный под 2026

В той заметке я предложил пять вопросов. Вот как они звучат сегодня.

1. Было: «попадаем ли мы под определение субъекта КИИ?». Стало: какие из наших систем перечислены в типовом отраслевом перечне и когда мы в последний раз пересматривали категорию. Ответ «мы категорировались в 2019 году» означает, что пересмотр нужен сейчас.

2. Было: «есть ли у нас инвентаризация производственных систем?». Стало: есть ли в инвентаризации у каждого узла три признака: доверенный или недоверенный ПАК, страна происхождения средства защиты, дата окончания поддержки. Инвентаризация, в которой этих колонок нет, для плана перехода бесполезна.

3. Было: «кто отвечает за безопасность промышленных систем?». Стало: кто подписывает уведомление в НКЦКИ в три часа ночи, и есть ли у этого человека техническая возможность увидеть инцидент, а не узнать о нём от оператора линии.

4. Было: «знакома ли служба ИБ со спецификой АСУ ТП?». Стало: может ли служба ИБ показать регулятору работающие процессы, а не папку. Журнал устранения уязвимостей с датами, список сегментов с правилами между ними, последнее учение по реагированию.

5. Было: «есть ли план на случай инцидента в производственной инфраструктуре?». Стало: план хотя бы раз отработан на учении, и в нём учтены модели и агенты, если они стоят в контуре. Про последнее я писал отдельно: ИИ на производстве и атаки на суждение модели. Подменённая телеметрия, из-за которой модель остановила линию, с точки зрения закона тоже компьютерный инцидент.

С чего начать, если девять лет ничего не делали

Последовательность, которую я предлагаю на первые три месяца.

Первое: сверка с отраслевым перечнем и честный пересмотр категории. Это бумажная работа, но она определяет масштаб всего остального. Занижать категорию стало рискованно, завышать стало дорого.

Второе: карта систем с теми тремя признаками из второго вопроса. Карта делается руками и ногами, потому что на заводе всегда есть узлы, о которых ИТ-отдел узнаёт при обходе.

Третье: готовность к уведомлению. Договорённость, кто и как видит инцидент, кто сообщает, по какому каналу. Это можно сделать за неделю и это закрывает самую быструю по последствиям обязанность.

Четвёртое: план перехода по средствам защиты и ПАК, согласованный с бюджетом. Первыми идут узлы, которые ближе к техпроцессу и дальше от окончания срока службы. Старое оборудование, которое нельзя ни обновить, ни заменить к сроку, окружается компенсирующими мерами, я подробно разбирал это в заметке про legacy на производстве.

Пятое: сегментация между корпоративной сетью и технологической, если её до сих пор нет. Этот совет я давал ещё в 2012 году после Stuxnet, и он остался самым дешёвым из работающих.

Честные оговорки

• Нормативная база меняется быстрее, чем выходят такие заметки. Часть документов 2026 года либо только вступила в силу, либо существует в проектах. Я даю направление и логику, а конкретные номера, даты и формулировки перед решением нужно сверять с первоисточниками на сайтах ФСТЭК и официального опубликования правовых актов. Это не юридическое заключение.

• Категорирование подписывает ваша комиссия. Консультант может подготовить материалы и показать, как толкуются критерии, но ответственность за категорию несёт субъект. Я на это не претендую и отговариваю тех, кто хочет переложить.

• К сроку перейти на доверенные ПАК получится не везде. На технологической линии, которая живёт до 2035 года на иностранных контроллерах, замена физически невозможна. Там работают компенсирующие меры и обоснование для регулятора, и это отдельный разговор, к которому я вернусь.

• Соответствие и защищённость по-прежнему разные вещи. Но в 2026 году регулятор хотя бы спрашивает про работу процессов, а не про наличие бумаги. Это сближает две цели больше, чем когда-либо с 2017 года.

Если коротко

• В 2017 году закон давал субъекту право самому решить, есть ли у него значимые объекты. На этом праве девять лет держалось «не про нас».
• С 1 сентября 2025 года действуют типовые отраслевые перечни объектов КИИ, и категорию нужно пересматривать по ним, а не по собственному усмотрению.
• Железо и софт стали предметом регулирования: переход на доверенные ПАК с датами до 2030 года, преимущество российского ПО, запрет иностранных средств защиты с января 2025 года.
• Регулятор переходит от папок к процессам: приказ ФСТЭК 117 с марта 2026 года задаёт подход, который доходит и до КИИ, включая требования к ИИ в контуре.
• Уведомление НКЦКИ за 24 часа и ответственность по КоАП и УК превратили ГосСОПКА из перспективы в рабочую обязанность.
• Начинать стоит с пересмотра категории, карты систем с признаками ПАК и СЗИ, готовности к уведомлению и плана перехода, согласованного с бюджетом.

Если ваше предприятие в 2017 году решило, что закон о КИИ его не касается, сейчас хороший момент перепроверить это решение, пока его не перепроверил регулятор. Я помогаю разобраться, какие системы у вас реально под законом, что из этого закрывается планом, а что компенсирующими мерами, и в какой последовательности тратить деньги. Обсудить задачу можно через форму, первый разговор ни к чему вас не обязывает.