Ключевые тренды регулирования КИИ: эксклюзив с форума ITSEC 2025
Наш директор по информационной безопасности посетил форум ITSEC 2025 (Москва, 14-15 октября) и с учетом новых деталей, озвученных в рамках мероприятия, в этой статье готов поделиться важными деталями грядущих изменений в регулировании КИИ.
Что уже изменилось: новые законы в действии
С 1 сентября 2025 года вступили в силу важные поправки:
- Исключение ИП — индивидуальные предприниматели больше не являются субъектами КИИ
- Требования к ПО — обязательное использование программного обеспечения из российского реестра
Перечень типовых объектов КИИ теперь будет утверждаться на федеральном уровне Правительством РФ
Будут учитываться отраслевые особенности
Проверки стали целевыми и отраслевыми
ФСТЭК проводит проверки, во том числе, по отраслевому принципу (ОКВЭД). К проверкам также подключилась прокуратура. Всего в 2025 году было проведено более 250 проверок.
Важный нюанс: если в вашей отрасли объекты уже признаны КИИ у других компаний, а у вас аналогичные системы не отнесены к КИИ — высока вероятность предписания.
Что ждет в 2026 году: готовьтесь заранее
1. Единый перечень объектов КИИ
Сейчас на согласовании находится проект единого перечня. После его утверждения, если ваш объект КИИ не войдет в перечень — потребуется подача уведомления о включении
2. Смягчение требований к безопасности
По словам руководителя Управления ФСТЭК России (г.Москва) Торбенко Е.Б., требования к обеспечению безопасности объектов КИИ будут пересмотрены в сторону смягчения
3. Отраслевое категорирование
Разрабатываются отдельные правила категорирования к сферам: энергетики, транспорта, банковского сектора и здравоохранения
4. Новые формы отчетности Обновляются формы подачи сведений о категорировании — отчетность становится более детализированной
5. Ограничение иностранного участия Федеральный закон №58-ФЗ усиливает требования к отсутствию иностранного участия в субъектах КИИ
6. Новые требования к специалистам Будут предъявлены новые требования к специалистам, обеспечивающим безопасность объектов КИИ в организации
Что делать бизнесу прямо сейчас: чек-лист
1. Провести аудит ИТ-инфраструктуры — выявить все системы, которые могут подпадать под новый перечень объектов КИИ
2. Провести сравнительный анализ — изучить, какие объекты признаны КИИ у компаний вашего ОКВЭД
3. Начать подготовку к повторному категорированию — существующие акты могут потерять актуальность после выхода новых требований
4. Проанализировать используемое ПО — составить план перехода на российское программное обеспечение
5. Изучить новые формы отчетности — подготовить шаблоны документов по обновленным требованиям
Почему нельзя откладывать
Компании, которые уже получили предписания, сталкиваются с административными штрафами и кратчайшими сроками исполнения предписаний, а также повторными проверками после устранения нарушений. Пока что регуляторы ограничиваются административной ответственностью, несмотря на то, что за нарушения по части безопасности КИИ предусмотрена и уголовная ответственность.