Доверенные ПАК по Постановлению 1912 и станок на Windows XP: как стыковать план перехода с линией, которая живёт до 2035 года

В августе я писал про legacy на производстве: управляющие ПК на Windows XP и 7, которые нельзя обновить, потому что патч рвёт гарантию вендора или роняет техпроцесс. Вывод той заметки был простой: раз уязвимость хоста не убрать, убирают его доступность и радиус поражения. Окружить, а не залатать.

С тех пор к этой картине добавился регулятор. Постановление Правительства 1912 от 14 ноября 2023 года задало переход значимых объектов КИИ на преимущественное применение доверенных программно-аппаратных комплексов. Переходный период идёт с 1 сентября 2024 года и заканчивается 1 января 2030 года. Для завода, у которого технологическая линия стоит на иностранных контроллерах, куплена в 2019 году и по паспорту отработает до 2035 года, это звучит как требование снести работающее оборудование ради календаря.

Это не так, но и отмахнуться не получится. Эта заметка о том, как два плана, план перехода по постановлению и план жизни линии, стыкуются друг с другом. Адресат тот же, что и в августе: собственник или директор по производству, у которого завод с категорией значимости и ИТ-отдел из пяти человек.

Что постановление требует на самом деле

Начну с того, чего оно не требует. Оно не требует заменить всё иностранное к 2030 году. Слово «преимущественное» в названии не случайно: отраслевой план задаёт целевые доли доверенных ПАК, а не стопроцентную замену. Оно не требует выбрасывать то, что куплено до 1 сентября 2024 года: запрет на закупку недоверенных комплексов действует только для закупок после этой даты. И оно не распространяется на объекты, которым категория значимости не присвоена.

Теперь что требует.

• Закупать после 1 сентября 2024 года только доверенное. Любой новый контроллер, сервер, коммутатор или система для значимого объекта должен быть доверенным ПАК, если доверенный аналог существует.

• Иметь план перехода субъекта. Он составляется по отраслевому плану, который утверждает уполномоченное ведомство, и копия направляется туда же. С 2026 года ежегодно до 1 марта субъект отчитывается о выполнении. Отраслевые планы имеют гриф «для служебного пользования», поэтому целевые доли по отраслям в открытых источниках не публикуются.

• Отступать от правил только при отсутствии доверенного аналога. Отсутствие нужно подтвердить заключением Минпромторга. Это единственный легальный путь для узла, которому замены нет.

• Дойти к 1 января 2030 года до целевой доли. По данным Минцифры, к марту 2025 года больше двух третей значимых объектов перешли на отечественное ПО. Это означает, что регулятор считает срок реальным, и это объясняет следующий пункт.

В апреле 2026 года Минцифры по поручению вице-премьера начало готовить поправки в КоАП: за нарушение сроков или порядка перехода штраф для компании от 300 до 700 тысяч рублей, для должностного лица от 100 до 200 тысяч. Документ в стадии разработки, но направление понятно: 2030 год из ориентира превращается в срок с ответственностью.

Про сам контекст, в котором всё это появилось, я писал в заметке 187-ФЗ девять лет спустя: типовые отраслевые перечни закрыли самооценку, и завод, который в 2017 году решил, что он не субъект, с большой вероятностью теперь субъект со значимым объектом.

Что такое доверенный ПАК и почему контроллер на линии им не станет

По постановлению комплекс считается доверенным, если выполняются три условия сразу: оборудование внесено в реестр российской радиоэлектронной продукции Минпромторга, программное обеспечение внесено в реестр российских программ Минцифры или реестр ЕАЭС, а если комплекс реализует функции защиты, он соответствует требованиям ФСТЭК.

Для серверов, коммутаторов, рабочих станций и систем защиты доверенные варианты есть, и их доля растёт. Для технологического контура картина другая. Специализированные контроллеры, прикладное ПО АСУ ТП, привязанное к конкретному оборудованию, модули связи с промышленными протоколами вендора часто не имеют аналога в принципе, а если имеют, замена требует перепроектирования системы управления и останова линии. Об этом ещё в 2022 году писал Константин Саматов, и за четыре года это изменилось меньше, чем хотелось бы.

Рынок при этом спорит, что вообще считать доверием. Одни читают постановление буквально, как происхождение компонентов. Другие предлагают понимать доверие как надёжность, управляемость и контроль на всём жизненном цикле. В 2026 году стандарт на доверенные ПАК пересматривают, и к какой трактовке он придёт, пока неясно. Для завода это означает, что определения могут сдвинуться, а срок нет.

Два подхода к переходу, и почему второй дешевле

Автор статьи о киберустойчивости в энергетике, которую я разбирал в заметке про воздушный зазор, противопоставил механическую замену «коробки на коробку» тому, что он назвал импортоопережением: комплексный проект цифровой трансформации, где выбор технологий основан на прозрачности и контролируемости, а не на географии. Для mission critical систем полный переход на отечественное, для остальных баланс.

Я с этим согласен и добавлю, как это выглядит на заводе среднего размера. Замена коробки на коробку означает, что план перехода живёт отдельно от плана модернизации линии, и в 2029 году завод останавливает работающее оборудование, чтобы заменить его на то, что успели найти. Импортоопережение означает, что план перехода привязан к плановым остановам, к окончанию сроков службы и к модернизациям, которые завод и так собирался делать. Та же замена, но в тот момент, когда она стоит в три раза дешевле, потому что линия и так стоит.

Про саму логику выбора «своё или чужое» я писал ещё в 2017 году в заметке про импортозамещение для ИТ-руководителя и в 2022 году про архитектурный суверенитет. Тезис оттуда остался: контролируемость важнее происхождения, и то, что ты не можешь починить сам, не твоё, где бы оно ни было сделано.

Карта узлов: четыре класса и четыре решения

В заметке про 187-ФЗ я предлагал добавить в инвентаризацию три признака: доверенный или недоверенный ПАК, страна происхождения средства защиты, дата окончания поддержки. Теперь к этим признакам добавляется четвёртый: есть ли доверенный аналог. Четыре признака дают четыре класса узлов, и у каждого своё решение.

Класс первый: аналог есть, срок службы заканчивается до 2030 года. Самый простой. Замена ставится в план перехода на дату планового вывода, бюджет совпадает с тем, что и так был заложен на обновление. Единственное, что нужно сделать заранее, это проверить, что выбранный аналог действительно в реестрах, а не «российский» по вывеске.

Класс второй: аналог есть, срок службы заканчивается после 2030 года. Здесь решается судьба доли. Узел ставится в план на ближайший останов или модернизацию, на которых его можно заменить с минимальными потерями. До этого момента он работает с компенсирующими мерами. Если таких узлов много и доля к 2030 году не сходится, это разговор с отраслевым ведомством на этапе плана, а не в 2029 году.

Класс третий: аналога нет. Специализированный контроллер, прикладное ПО вендора, модуль протокола. Для него собирается заключение Минпромторга об отсутствии аналога, и узел окружается: изоляция в отдельном сегменте, контроль доступа вендора, диод или файрвол с виртуальным патчингом, allowlisting на хосте, образ восстановления. Всё из августовской заметки, но теперь это не просто защита, а документированное обоснование, которое субъект показывает регулятору.

Класс четвёртый: объект не значимый. Постановление 1912 на него не распространяется. Но Указ 250 по средствам защиты распространяется на всех субъектов КИИ, и требование преимущественно использовать российское ПО при наличии аналога из поправок 2025 года тоже. То есть «не значимый» не означает «ничего не делать», а означает «делать только по средствам защиты и по новым закупкам».

Карта с четырьмя классами делается на основе инвентаризации, которая и так нужна по закону. Разница в том, что к каждому узлу добавляется решение и дата, и из таблицы получается план, который можно показать ведомству и защитить перед собственником.

Компенсирующие меры как обоснование, а не отговорка

Самая частая ошибка, которую я вижу, выглядит так: завод пишет в план «замена невозможна, применены компенсирующие меры», и дальше ничего. Регулятор читает это как «ничего не сделали и не собираемся». Чтобы компенсирующие меры работали как обоснование, у них должны быть три свойства.

Первое: они описаны конкретно. Не «сегментация», а схема сегмента с правилами на границе, перечень разрешённых соединений, журнал доступа вендора с хранением. То, что проверяющий может сверить с реальностью.

Второе: у них есть срок. Компенсирующие меры это не вечный режим, а мост до даты, когда узел будет заменён или выведен. Дата стоит в плане, и она привязана к событию на линии, а не к календарю регулятора.

Третье: они закрывают не только требования, но и риск. Я видел планы, где меры подобраны так, чтобы формально закрыть пункты, а узел при этом остаётся доступен через ноутбук наладчика. Такое обоснование рассыпается при первом инциденте, а инцидент по приказу ФСБ 547 придётся сообщать в НКЦКИ в пределах суток. Про то, что должно быть сохранено к моменту расследования, я писал в заметке про цифровой след аварии.

Отдельное замечание про новые закупки с ИИ. Модель предиктивного обслуживания от вендора или облачный сервис оптимизации режима для значимого объекта это тоже ПАК или ПО, на которые распространяются и реестры, и пункт 60 приказа ФСТЭК 117 о передаче защищаемой информации внешним сервисам. Я разбирал это в заметке про раздел 3.18 методички. Завод, который ставит иностранную модель на значимый объект в 2026 году, создаёт себе узел третьего класса на ровном месте.

Деньги: как обосновать последовательность перед собственником

Инвестиционные бюджеты режут, и план перехода конкурирует с ремонтом крыши. Поэтому последовательность, которую я защищаю перед собственниками, строится на одном принципе: сначала то, что совпадает с плановыми тратами, потом то, что закрывает самый дорогой риск, и в последнюю очередь внеплановая замена работающего.

Первое: узлы первого класса. Это деньги, которые и так заложены на обновление, просто с правильным выбором поставщика.

Второе: средства защиты по Указу 250. Это уже нарушение, а не риск, и это самая дешёвая часть перехода, потому что межсетевой экран стоит меньше контроллера.

Третье: компенсирующие меры для третьего класса и заключения Минпромторга. Это в основном работа, а не закупки: сегментация, журналы, документы.

Четвёртое: узлы второго класса в привязке к остановам. Здесь бюджет появляется тогда, когда появляется останов, и это правильно.

Про риск, который собственник взвешивает против этого плана, я скажу честно. Штраф в 700 тысяч рублей меньше, чем день простоя линии, и собственник это считает быстро. Но штраф это не главный риск. Главный риск в том, что при инциденте на незащищённом узле третьего класса расследование по статье 274.1 УК придёт к тем, кто подписывал план. Это аргумент, который я привожу вторым, после экономики, и он обычно решает.

Честные оговорки

• Отраслевые планы я не видел. Они под грифом, и целевые доли по отраслям в открытых источниках отсутствуют. Всё, что я написал про доли, это логика постановления, а не цифры вашего ведомства. Их нужно запрашивать у ведомства напрямую.

• Практика заключений Минпромторга не устоялась. Методические рекомендации для оборонной, горнодобывающей, металлургической и химической промышленности выпущены в октябре 2024 года, но сколько времени занимает заключение и как ведомство трактует «отсутствие аналога», зависит от отрасли и меняется. Закладывайте на это месяцы, а не недели.

• Определение доверенного ПАК может измениться. Стандарт пересматривают в 2026 году. План, который привязан к событиям на линии, переживёт изменение определения лучше, чем план, привязанный к текущему списку реестра.

• Я не продаю ПАК. Мой интерес здесь в том, чтобы переход был спланирован, а не в том, какой вендор его выполнит. Выбор поставщика это отдельный разговор, в котором я на стороне завода.

Если коротко

• Постановление 1912 требует к 1 января 2030 года преимущественного, а не стопроцентного применения доверенных ПАК на значимых объектах. Купленное до 1 сентября 2024 года выбрасывать не нужно, новое закупается только доверенное.
• Доверенный ПАК это три реестра сразу. Для серверов и сетей аналоги есть, для специализированных контроллеров и прикладного ПО АСУ ТП часто нет, и единственный легальный путь там заключение Минпромторга.
• Замена «коробки на коробку» по календарю регулятора дорога. Привязка плана перехода к плановым остановам, срокам службы и модернизациям, то, что автор той статьи называет импортоопережением, в разы дешевле.
• Четыре класса узлов по четырём признакам инвентаризации: аналог есть и срок кончается, аналог есть и срок не кончается, аналога нет, объект не значимый. У каждого своё решение и своя дата.
• Компенсирующие меры работают как обоснование, только если описаны конкретно, имеют срок и закрывают риск, а не пункты.
• Последовательность трат: плановые замены, средства защиты по Указу 250, обоснования и изоляция для незаменимого, замены по остановам. Штраф меньше простоя, но ответственность по 274.1 УК весит больше штрафа.

Если у вас значимый объект, линия на иностранных контроллерах и план перехода, который пока существует в виде письма ведомству, я помогаю превратить инвентаризацию в карту узлов с решениями и датами, которую можно защитить и перед ведомством, и перед собственником. Обсудить задачу можно через форму, первый разговор ни к чему вас не обязывает.