Какие объекты КИИ должны использовать российское ПО или ПО с сертификатом ФСТЭК
Требования, сроки и охват распоряжения № 360-р
1.1. Общая таблица требований и сроков
| Объекты | Требование | К каким организациям относится | Срок |
|---|---|---|---|
| Все значимые объекты КИИ I, II и III категории | Использовать ПО из Единого реестра российского ПО либо ПО, допустимое по специальным положениям закона | Все субъекты КИИ, которым значимый объект принадлежит на праве собственности, аренды или ином законном основании | Обязанность закреплена 58-ФЗ и действует с 1 сентября 2025, но конкретный общий график миграции должно устанавливать Правительство РФ |
| Значимые объекты КИИ органов госвласти и заказчиков по 223-ФЗ (кроме организаций с муниципальным участием) | Запрещено использование иностранного ПО, если иное не установлено федеральным законом | Органы государственной власти, госкомпании, госкорпорации и другие заказчики по 223-ФЗ | с 1 января 2025 |
| Закупка иностранного ПО для значимых объектов КИИ | Требуется предварительное согласование с уполномоченным органом или Банком России | Заказчики по 223-ФЗ, кроме организаций с муниципальным участием | с 31 марта 2022 |
| Программно-аппаратные комплексы на значимых объектах КИИ | Переход на преимущественное применение доверенных ПАК | Все субъекты КИИ, которым принадлежат значимые объекты | до 1 января 2030 |
| ПО для защиты значимых объектов КИИ, обнаружения атак, реагирования на инциденты и информационного обмена | Должно соответствовать требованиям ФСТЭК и/или ФСБ, что подтверждается соответствующим сертификатом | Органы власти и заказчики по 223-ФЗ в рамках постановления № 1478; в остальных случаях — по применимым требованиям ФСТЭК/ФСБ | до начала эксплуатации соответствующего средства на объекте |
| Иные средства защиты информации на значимом объекте КИИ | Должны пройти установленную форму оценки соответствия: сертификацию, испытания либо приёмку | Все владельцы значимых объектов | При создании, модернизации и вводе системы защиты в эксплуатацию |
По состоянию на 24 июня 2026 года официально опубликованного вступившего в силу постановления Правительства, которое окончательно установило бы единый график перехода всех частных и государственных значимых объектов КИИ на российское ПО на основании новой редакции 187-ФЗ, не обнаружено.
В мае 2026 года публично обсуждался проект, предусматривающий: основной срок — 1 января 2028; отдельные отсрочки — до 1 января 2031; для отдельных особо значимых проектов — до 1 января 2036. Пока постановление официально не принято, даты 2028–2036 годов следует считать проектными, а не обязательными.
1.2. Какие именно объекты охватывает распоряжение № 360-р
Распоряжение № 360-р содержит 397 типов объектов. Но требование о российском ПО возникает не просто из-за присутствия системы в перечне, а после того, как объект:
- выявлен субъектом КИИ;
- оценён по критериям постановления № 127;
- получил I, II или III категорию значимости;
- сведения о нём внесены в реестр значимых объектов КИИ.
| Сфера | Пункты перечня № 360-р | Основные группы объектов |
|---|---|---|
| Здравоохранение | 1–12 | ЦОД отрасли, ЕГИСЗ, региональные и медицинские ИС, системы аптек, ОМС, лабораторные системы, диагностическое оборудование, лучевая терапия, ИВЛ, мониторинг пациентов, хирургические системы |
| Наука | 13–21 | Государственные научные системы, ЦОД, лабораторные системы, системы управления станками, PLM, испытательные стенды, производственные и аналитические системы |
| Транспорт | 22–83 | Аэропорты и авиаперевозки, управление воздушным движением, ж/д транспорт, метрополитен, автомобильный, морской и речной транспорт, билетные системы, транспортная безопасность |
| Связь | 84–95 | Системы управления сетями связи, маршрутизация и коммутация, системы операторов связи, спутниковая связь, технологические сети связи |
| Энергетика | 96–107 | Диспетчерское управление, генерация и передача электроэнергии, электросетевое оборудование, коммерческий и технологический учёт, системы противоаварийной автоматики |
| Государственная регистрация недвижимости | 108 | Системы государственной регистрации прав на недвижимость, ведения соответствующих реестров |
| Банковская сфера и финансовый рынок | 109–128 | АБС, дистанционное банковское обслуживание, процессинг, платёжные и клиринговые системы, страхование, НПФ, микрофинансирование, кредитные истории |
| Топливно-энергетический комплекс | 129–139 | Добыча, переработка, транспортировка и хранение нефти и газа, управление технологическими объектами и опасными производственными процессами |
| Атомная энергия | 140–155 | Управление объектами использования атомной энергии, радиационный контроль, оповещение, технологические системы и отраслевые сети |
| Оборонная промышленность | 156–195 | Производственные АСУ, станки с ЧПУ, CAD/CAM/PLM, испытательные стенды, управление производством, безопасность и контроль доступа |
| Ракетно-космическая промышленность | 196–268 | Проектирование, производство и испытания РКТ, управление космическими аппаратами, наземные комплексы, телеметрия и связь |
| Горнодобывающая промышленность | 269–307 | Добыча и обогащение сырья, шахтные системы, управление оборудованием, промышленная безопасность, диспетчеризация и производственный учёт |
| Металлургическая промышленность | 308–361 | Управление плавкой, прокатом и технологическими агрегатами, MES/ERP/LIMS, энергетика предприятия, ремонт, пожаротушение, контроль доступа |
| Химическая промышленность | 362–397 | Управление химическими производствами, лабораторные и производственные системы, опасные процессы, хранение сырья, экологический и промышленный контроль |
Последний раздел охватывает объекты 362–397 химической промышленности; весь перечень заканчивается объектом № 397.
Не каждая медицинская информационная система, банковская АБС, ERP, лабораторная система, система управления производством, система видеонаблюдения или система контроля доступа автоматически становится значимым объектом КИИ. Для этого последствия компьютерного инцидента должны достичь установленных показателей социальной, политической, экономической, экологической, оборонной или иной значимости.
При этом даже объект, отсутствующий в перечне № 360-р, должен быть категорирован, если возможные последствия соответствуют критериям значимости.
