В обзоре изменений законодательства в области критической информационной инфраструктуры за август 2023 года рассмотрим: перечни типовых отраслевых объектов КИИ сферы энергетики и транспорта, отраслевой план перехода на использование отечественного ПО на ЗОКИИ и порядок оценки актуальности сведений о субъектах КИИ, изменения в порядке ведения реестра ЗОКИИ
Изменения в порядке ведения реестра ЗОКИИ
Федеральная служба по техническому и экспортному контролю Российской Федерации опубликовала проект приказа «О внесении изменений в Порядок ведения реестра значимых объектов критической информационной инфраструктуры Российской Федерации, утвержденный приказом Федеральной службы по техническому и экспортному контролю от 6 декабря 2017 г. № 227».
Согласно проекту приказа в существующий перечень деятельности значимых объектов критической информационной инфраструктуры (далее – ЗОКИИ) будет добавлена деятельность по государственной регистрации прав на недвижимое имущество и сделки с ним. Добавление вида деятельности связано с июльскими изменениями в Федеральном законе от 26.07.2017 №187 «О безопасности критической информационной инфраструктуры Российской Федерации», Аналитический центр УЦСБ ранее публиковал комментарии к данным изменениям.
Помимо этого в проекте приказа описан порядок присваивания регистрационного номера в случае объединения нескольких ЗОКИИ в один, а также в случае разделения ЗОКИИ на несколько отдельных ЗОКИИ.
Общественное обсуждение проекта завершилось 19 августа 2023 года.
Перечень типовых отраслевых объектов КИИ сферы энергетики и транспорта
Министерство энергетики Российской Федерации (далее – РФ) и Министерство транспорта РФ опубликовали перечень типовых отраслевых объектов критической информационной инфраструктуры (далее – КИИ), функционирующих в сфере энергетики и транспорта соответственно.
Для сферы энергетики типовыми отраслевыми объектами КИИ являются системы, предназначенные для управления технологическими процессами гидроэлектростанции, гидрорециркуляционной электростанции, электротехнического оборудования, котельной, а также для управления гидроагрегатами, технологическим оборудованием тепловых электростанций, энергоблоками, релейной защитой, противоаварийной автоматикой и иные.
Для сферы транспорта типовыми отраслевыми объектами КИИ были определены системы, предназначенные для управления аэропортами, автовокзалами, бронированием, воздушным транспортом, интроскопами, техническими средствами обеспечения транспортной безопасности, топливозаправочным комплексом, разводными мостами, оплаты и контроля проезда в наземном электрическом транспорте и иные.
Отраслевой план перехода на российское ПО на ЗОКИИ
21 августа 2023 года вступил в силу приказ Министерства промышленности и торговли РФ (далее – Минпромторг России) от 06.03.2023 № 722 «Об утверждении отраслевого плана мероприятий по обеспечению готовности заказчиков, осуществляющих закупки в соответствии с Федеральным законом от 18 июля 2011 г. N 223-ФЗ "О закупках товаров, работ, услуг отдельными видами юридических лиц" (за исключением организаций с муниципальным участием), к преимущественному использованию российского программного обеспечения, в том числе в составе программно-аппаратных комплексов, на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации, которые функционируют в области горнодобывающей, металлургической, ракетно-космической, оборонной, химической промышленности и использования атомной энергии».
Отраслевой план содержит:
наименования классов (типов) программного обеспечения (далее – ПО), среди которых системное и прикладное ПО, средства обеспечения информационной безопасности (далее – ИБ), средства разработки ПО, офисные приложения и иные;
процентное соотношение отечественного ПО к общему количеству, которое должно быть достигнуто по результатам 2022, 2023 и 2024 годов в горнодобывающей, металлургической, ракетно-космической, оборонной, химической промышленности, а также в области использования атомной энергии.
По итогам 2024 года доля отечественного ПО для всех видов должна составлять 100%.
Помимо этого документ включает перечень мероприятий по обеспечению перехода на использование российского ПО на ЗОКИИ, среди которых ежегодное формирование целевых показателей и сроков перехода, утверждение планов перехода, обеспечение мониторинга реализации планов и другие.
Проверка достоверности сведений о субъектах КИИ от Минпромторга
Официально опубликован приказ Минпромторга России от 31.05.2023 № 1981 «Об утверждении Порядка проведения в отношении субъектов критической информационной инфраструктуры Российской Федерации, осуществляющих деятельность в области оборонной, металлургической и химической промышленности, оценки актуальности и достоверности сведений, указанных в пункте 17 Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, утвержденных постановлением Правительства Российской Федерации от 8 февраля 2018 г. № 127, и установлении критериев определения организаций, привлекаемых к оценке актуальности и достоверности сведений, указанных в пункте 17 Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, утвержденных постановлением Правительства Российской Федерации от 8 февраля 2018 г. № 127».
Приказом утверждается порядок проверки актуальности данных, ранее предоставленных субъектами КИИ, действующими в сфере оборонной, металлургической и химической промышленности. Оценка проводится в отношении сведений, указанных в пункте 17 Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, утвержденных постановлением Правительства РФ от 8 февраля 2018 № 127, среди которых сведения:
об объекте КИИ;
о субъекте КИИ, которому принадлежит объект КИИ;
о взаимодействии объекта КИИ и сетей электросвязи;
о лице, эксплуатирующем объект КИИ;
о программных и программно-аппаратных средствах, используемых на объекте КИИ, в том числе средствах, используемых для обеспечения безопасности объекта КИИ;
об угрозах безопасности информации и о категориях нарушителей в отношении объекта КИИ;
о возможных последствиях в случае возникновения компьютерных инцидентов;
о категории значимости, которая присвоена объекту КИИ, результатах оценки показателей критериев значимости;
об организационных и технических мерах, применяемых для обеспечения безопасности объекта КИИ.
Департамент цифровых технологий Минпромторга России (далее – Департамент) ежегодно утверждает график проведения проверки с указанием субъектов КИИ и дат проведения. Для проведения оценки формируется рабочая группа, которая за 5 рабочих дней до начала проверки оповещает субъект КИИ. Проверка осуществляется очно по месту нахождения объектов КИИ и занимает не более 10 рабочих дней. В рамках проверки рабочая группа запрашивает перечисленные выше сведения, осуществляет анализ установленного на объектах КИИ ПО, а также может использовать для обследования различные технические средства, отвечающие требованиям по защите государственной тайны, и иное.
По результатам проверки рабочая группа формирует экспертное заключение, содержащее информацию об актуальности предоставленных сведений и выявленных нарушениях. В случае несогласия с результатами заключения субъект КИИ может направить возражения в течение 20 рабочих дней со дня его получения. В ответ на возражения рабочая группа направляет в Департамент соответствующий отзыв. По результатам рассмотрения возражения и отзыва Департамент принимает решение о достоверности выводов рабочей группы и принятии его без изменений или направляет на дальнейшую доработку с учетом возражений субъекта КИИ.