Федеральный закон от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» — основной документ, который регулирует безопасность КИИ. Закон действует с 1 января 2018 года и устанавливает, кто относится к субъектам КИИ, что считается объектами критической информационной инфраструктуры и какие обязанности возникают у организаций. Полный текст опубликован на официальном портале правовой информации.
Что регулирует 187-ФЗ
Закон вводит понятия субъекта и объекта КИИ, обязывает проводить категорирование объектов по степени значимости, устанавливает требования к их безопасности и закрепляет порядок взаимодействия с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА). Конкретные правила категорирования утверждены отдельным актом — Постановлением Правительства РФ № 127.
Кого касается закон
187-ФЗ распространяется на субъекты КИИ — государственные органы, учреждения и организации, которые работают в одной из 13 критических сфер (здравоохранение, наука, транспорт, связь, энергетика, банковская сфера и финансовый рынок, ТЭК, атомная энергия, оборонная, ракетно-космическая, горнодобывающая, металлургическая и химическая промышленность) и владеют информационными системами, информационно-телекоммуникационными сетями или автоматизированными системами управления.
Если организация хотя бы в одной из 13 сфер эксплуатирует ИС, сети связи или АСУ ТП — она является субъектом КИИ и обязана провести категорирование своих объектов, обеспечить их безопасность и взаимодействовать с ГосСОПКА.
Основные обязанности субъекта КИИ по 187-ФЗ
Провести категорирование объектов КИИ и направить сведения о результатах во ФСТЭК России.
Обеспечить безопасность значимых объектов по требованиям ФСТЭК.
Реагировать на компьютерные инциденты и информировать о них ГосСОПКА (НКЦКИ).
Не препятствовать функционированию системы безопасности значимых объектов.
Категорирование — первая обязанность
Категорирование объектов КИИ — отправная точка исполнения 187-ФЗ: пока объекты не выявлены и не категорированы, нельзя определить требования к их защите. Порядок и показатели значимости установлены ПП РФ № 127, а формы документов — приказами ФСТЭК России. Подробнее о том, кто такие субъекты и объекты КИИ и в какие сроки проводится категорирование.
Ответственность за нарушение 187-ФЗ
За невыполнение требований закона предусмотрена административная ответственность по КоАП РФ и уголовная — по статье 274.1 УК РФ. Подробнее — в статье об ответственности за нарушение требований по КИИ.