Проект определяет показатели, характеризующие уровень защищённости принадлежащих ФОИВ, высшим исполнительным органам государственной власти субъектов Российской Федерации ГИС и иных информационных систем, а также принадлежащих государственным фондам, государственным корпорациям (компаниям) и иным организациям, созданным на основании ФЗ, стратегическим предприятиям, стратегическим акционерным обществам и системообразующим организациям российской экономики, юридическим лиц, являющимся субъектами КИИ, значимых объектов КИИ и их целевые значения.

Санкции планируют распространить на государственные органы, компании с государственным участием и прочие структуры, работающие с объектами КИИ. Логика инициативы завязана на курс отказа от зарубежных технологий в пользу отечественных решений. Крайний срок для значимых объектов КИИ установлен на 1 января 2030 года, и новые меры призваны подхлестнуть выполнение этих требований.

Ответственность по обсуждаемым поправкам может наступать не только за просроченные дедлайны, но и за ошибки при определении самих объектов КИИ. За нарушения порядка классификации или игнорирование предписаний регулятора должностных лиц готовы штрафовать на 10 000-50 000 рублей, юридических лиц на 50 000-100 000 рублей.

Несоблюдение сроков перехода на российское программное обеспечение и доверенные ПАК обойдётся заметно дороже. Для должностных лиц предусмотрены штрафы в диапазоне 100 000-200 000 рублей, а суммы для самих компаний подскочат до 300 000-700 000 рублей.

Обсуждение ужесточения ответственности тянется уже несколько месяцев. Глава Минцифры Максут Шадаев ещё в ноябре 2025 года предупреждал о возможных более жёстких мерах для организаций, тянущих время в расчёте на возврат зарубежных поставщиков. Тогда на столе лежал вариант оборотных штрафов, привязанных к выручке компаний, а в свежей версии речь идёт об административной ответственности.

Участники рынка обратили внимание на подводные камни практической реализации. Без прозрачной методологии инвентаризации ИТ-инфраструктуры КИИ применение штрафов обещает породить споры, поскольку не всегда однозначно понятно, какие системы относятся к значимым объектам и какие элементы требуют приоритетной замены. Возникает риск ситуаций, в которых компании попадут под санкции при отсутствии чётких критериев оценки.

Сторонники ужесточения смотрят на вопрос под другим углом. По их оценке, переход на новые решения у части организаций идёт черепашьим шагом, а финансовое давление работает инструментом ускорения пробуксовывающих процессов. По данным Минцифры, к марту 2025 года более двух третей значимых объектов КИИ в государственных структурах и компаниях уже переведены на отечественное программное обеспечение.

I. ОБЩИЕ ПОЛОЖЕНИЯ

1.1. Настоящий методический документ «Состав и содержание мероприятий и мер по защите информации, содержащейся в информационных системах» (далее – методический документ) разработан в соответствии
с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому
и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. № 1085.

1.2. Методический документ определяет общие подходы, состав
и содержание мероприятий (процессов) и мер по защите информации, содержащейся в:

информационных системах, автоматизированных системах управления, информационно-телекоммуникационных сетях (далее — информационные системы) государственных органов, государственных унитарных предприятий, государственных учреждений, организаций, в том числе субъектов критической информационной инфраструктуры (далее – органы (организации));

используемых для создания и эксплуатации государственных информационных систем, иных информационных систем государственных органов технических средствах, программах для электронных вычислительных машин и базах данных, доступ к которым предоставляется с использованием информационно-телекоммуникационных сетей, в порядке, установленном Правительством Российской Федерации;

информационно-телекоммуникационных инфраструктурах, выполняющих общие технологические функции и обеспечивающих основу функционирования указанных информационных систем, а также по обеспечению безопасности принадлежащих органам (организациям) значимых объектов критической информационной инфраструктуры.