Архитектура, безопасность, КИИ

Для большинства производственных предприятий РФ требования по критической информационной инфраструктуре (КИИ) — это уже не «вопрос будущего», а текущая регулятивная нагрузка со штрафами и уголовной ответственностью. Сроки 2026-2028-2030 жёсткие. По данным министра цифрового развития Максута Шадаева (март 2025), треть значимых объектов КИИ в РФ не была переведена на отечественное ПО в установленные сроки. Минцифры готовит оборотные штрафы.

В этой главе — кто такие субъекты КИИ, как определить свою категорию значимости, какие сроки и штрафы реальны на 2026, что обязательно делать и в какой последовательности. И главное — архитектура промконтура с разрывом OT/IT, без которого никакой цифровизации в КИИ-периметре не построить.

Кто такой субъект КИИ

Субъекты КИИ определены ФЗ № 187-ФЗ от 26.07.2017 «О безопасности критической информационной инфраструктуры РФ». Это государственные органы, государственные учреждения и российские юридические лица, владеющие на праве собственности, аренды или ином законном основании информационными системами, информационно-телекоммуникационными сетями, автоматизированными системами управления в одной из 13 ключевых сфер (либо обеспечивающие взаимодействие систем и сетей субъектов КИИ). (Индивидуальные предприниматели были исключены из субъектов КИИ изменениями 2025 года; см. приложение C.)

Сферы и субъекты КИИ (13 сфер + субъекты взаимодействия):

1. Здравоохранение
2. Наука
3. Транспорт
4. Связь
5. Энергетика
6. Банковская сфера и иные сферы финансового рынка
7. Топливно-энергетический комплекс
8. Атомная энергетика
9. Оборонная промышленность
10. Ракетно-космическая промышленность
11. Горнодобывающая промышленность
12. Металлургическая промышленность
13. Химическая промышленность
14. Юридические лица и индивидуальные предприниматели, обеспечивающие взаимодействие систем или сетей субъектов КИИ

Производственные компании попадают в этот список через сферы 7, 9–13.

Для производственных предприятий главное: металлургия, химия, ТЭК (топливно-энергетический комплекс), оборонка, добыча — почти всегда субъекты КИИ. Даже если вы относительно небольшое предприятие.

Машиностроение в чистом виде не в списке, но если ваша продукция идёт в ОПК — попадаете через оборонку. Пищевая промышленность не в списке, но если вы крупный поставщик в значимых цепочках — могут включить через постановление Правительства.

С 01.09.2025 (ФЗ № 58-ФЗ от 07.04.2025) Правительство получило право утверждать отраслевые перечни типовых объектов КИИ. Это значит, что список может расширяться отраслевыми постановлениями. Текущая практика на 2026 — постепенное расширение.

Категория значимости 1/2/3

Сам факт, что вы субъект КИИ, ещё ничего не значит. Важна категория значимости объектов. Категория определяется по ПП-127 от 08.02.2018 через критерии воздействия инцидента на:

• Социальную сферу (количество людей, на которое влияет инцидент).
• Политическую сферу (международные отношения, ущерб престижу страны).
• Экономическую сферу (ущерб в рублях).
• Экологическую сферу.
• Оборону, безопасность и правопорядок.

Категории — 1, 2, 3, где 1 — наиболее значимая. Объекты без категории — это «незначимые» (но всё равно субъекты КИИ).

Что меняет категория

Категория	Что требуется
Незначимая	Базовое категорирование, регистрация в реестре ФСТЭК (Федеральная служба по техническому и экспортному контролю)
3	+ Базовая система защиты по приказу ФСТЭК № 239
2	+ Расширенная система защиты, аттестация
1	+ Наивысшие требования по защите, обязательная аттестация ФСТЭК, обязательный отечественный СЗИ-стек

Категорирование — обязательная процедура. Без неё любые работы по защите ИБ можно сразу выбросить: ФСТЭК и прокуратура проверяют именно по списку категорированных объектов.

Категорирование делается силами самого субъекта КИИ или с привлечением аккредитованного исполнителя. После категорирования — согласование с ФСТЭК. На 2026 — стандартная процедура, занимающая 3-6 месяцев.

Сроки 2026-2028-2030

Главное, что нужно держать в голове руководителю производственного предприятия — таймлайн.

01.01.2026 — крайний срок для СУБД (система управления базами данных) на значимых КИИ. Это уже сейчас, не «в будущем». Если у вас Oracle / MS SQL на значимом КИИ — вы в просрочке или близко к ней.

01.01.2028 — полный переход значимых объектов КИИ на отечественное ПО. От этой даты — около 20 месяцев на момент написания руководства (май 2026). Это горизонт планирования миграции. Важно: по состоянию на май 2026 Минцифры прорабатывает продление этого срока — поэтапно, для части объектов вплоть до 2036 года; конкретную дату сверять с действующей редакцией нормативных актов.

01.12.2030 — переход на отечественные ПАК (программно-аппаратные комплексы). Это касается и оборудования.

По данным министра Шадаева (19.03.2025): примерно треть значимых объектов КИИ не была переведена в срок 01.01.2025. Минцифры готовит оборотные штрафы — привязанные к выручке предприятия, как в ЕС. Это серьёзный финансовый риск.

Штрафы и уголовная ответственность

Полная картина рисков:

Нарушение	Штраф / санкция
Нарушение сроков перехода КИИ на отечественное ПО (Указ № 166)	3-15 млн ₽ на юрлицо за первичное нарушение; готовятся оборотные штрафы
Нарушение требований к КИИ в целом (ФЗ-187, приказы ФСТЭК)	50 000 – 500 000 ₽ юрлицу
Нарушение требований к ПДн (персональные данные) (ФЗ-152) с 30.05.2025	до 15 млн ₽ за разовую утечку (для масштаба >100 тыс. субъектов); за повторное нарушение — оборотный штраф до 3 % выручки (потолок 500 млн ₽); приостановка деятельности до 90 суток
Утечка биометрических данных	15-20 млн ₽
Тяжкие последствия инцидента в КИИ	Ст. 274.1 УК РФ: лишение свободы до 10 лет
Создание / распространение вредоносных программ для КИИ	Ст. 274.1 УК РФ, ч. 1: до 5 лет (базовый состав); до 8 лет — при отягчающих (группа лиц, служебное положение)
Неправомерный доступ к КИИ	Ст. 274.1 УК РФ: до 6 лет

Ключевое: персональная ответственность руководителей субъектов КИИ. С 01.09.2025 (ФЗ № 58-ФЗ) ответственность не «на компании», а на конкретных людях.

Пирамида рисков КИИ

Что обязательно делать — последовательность

Шаг 1. Категорирование

• Создание комиссии по категорированию (приказом руководителя субъекта КИИ).
• Идентификация объектов КИИ (систем, сетей, АСУ).
• Применение критериев из ПП-127, расчёт значений.
• Присвоение категорий 1, 2, 3 или признание объекта «незначимым».
• Утверждение акта категорирования.

Срок: 3-6 месяцев.

Стоимость (с внешним исполнителем): 2-5 млн ₽ для среднего предприятия; до 15 млн ₽ для крупного холдинга.

Шаг 2. Регистрация в реестре ФСТЭК

• Подача сведений о субъекте КИИ и категорированных объектах в ФСТЭК.
• Включение в реестр.
• С 01.09.2025 — в реестр включаются доменное имя и сетевой адрес объекта.

Срок: 1-3 месяца после категорирования.

Шаг 3. План импортозамещения

• Инвентаризация всего ПО и ПАК (программно-аппаратный комплекс) в КИИ-периметре.
• Категоризация: «уже отечественное», «есть отечественная замена», «нет замены».
• План миграции с приоритетами:
  • До 01.01.2026 — СУБД.
  • До 01.01.2028 — всё прикладное ПО.
  • До 01.12.2030 — ПАК.

Срок: 3-6 месяцев.

Шаг 4. План мер защиты

По приказам ФСТЭК № 235 и № 239 — состав мер для каждой категории. Шаги:

• Анализ угроз для конкретных объектов (модель угроз).
• Подбор мер защиты под угрозы.
• Подбор технических средств защиты информации (СЗИ (средства защиты информации)).
• Утверждение технического задания на систему защиты.

Шаг 5. Организационные меры

• Назначение ответственного за защиту КИИ.
• Утверждение политики и регламентов ИБ.
• Категорирование пользователей и доступов.
• Программа обучения и проверки персонала.
• План реагирования на инциденты.

Шаг 6. Технические средства защиты

Внедрение СЗИ:

• Системы обнаружения и предотвращения вторжений (IDS/IPS).
• Системы защиты от утечек (DLP (система предотвращения утечек данных)).
• SIEM (управление событиями ИБ).
• Системы управления доступом (IAM (управление доступом), PAM (управление привилегированными аккаунтами)).
• Средства криптозащиты.
• Антивирус класса «отечественный сертифицированный».
• Системы резервного копирования.
• Сегментация сети.

Все СЗИ для значимых КИИ должны быть сертифицированы ФСТЭК. Не «обычный антивирус», а конкретно сертифицированный — список на сайте ФСТЭК.

Шаг 7. Подключение к ГосСОПКА / НКЦКИ

ГосСОПКА — Государственная система обнаружения и предупреждения компьютерных атак. НКЦКИ — Национальный координационный центр по компьютерным инцидентам.

Обязательное взаимодействие:

• Информирование о компьютерных инцидентах.
• Обмен данными о потенциальных угрозах.
• Использование репутационных баз НКЦКИ (Национальный координационный центр по компьютерным инцидентам) для блокировки.

Шаг 8. Аттестация (для 1 и 2 категорий)

Аттестация — это формальное подтверждение соответствия системы защиты требованиям. Проводит аккредитованная ФСТЭК организация. Без аттестации значимые объекты КИИ 1 и 2 категорий нельзя эксплуатировать после внедрения СЗИ.

Срок: 3-6 месяцев.

Стоимость: 3-15 млн ₽ в зависимости от масштаба.

Шаг 9. Эксплуатация

• Регулярный мониторинг ИБ (SOC — собственный или внешний MSSP).
• Реагирование на инциденты.
• Регулярное тестирование (pentest 1-2 раза в год).
• Поддержание актуальности СЗИ.
• Регулярный аудит соответствия.

Архитектура промконтура: OT/IT-разрыв

Главное архитектурное требование к КИИ-периметру производственного предприятия — разделение OT и IT.

OT (Operational Technology) — это технологическая часть: контроллеры станков, SCADA (диспетчерское управление и сбор данных), MES (система оперативного управления производством), АСУ ТП (автоматизированная система управления технологическим процессом).

IT — это корпоративная часть: офисные АРМ, серверы, ERP (система планирования ресурсов предприятия), BI (бизнес-аналитика), корпоративная почта.

Раньше эти контуры жили отдельно. Теперь, когда MES получает данные с контроллеров, ERP — с MES, BI — со всех, контуры необходимо соединить. Но соединение должно быть контролируемым, не «прямым проводом».

Принципы:

1. Прямого соединения OT и IT нет. Только через DMZ (демилитаризованную зону).
2. Поток данных — преимущественно односторонний (из OT в IT). Команды управления из IT в OT — только в чётко определённых сценариях и под журналированием.
3. Все обмены логируются. Что, когда, куда, кем.
4. Сегментация внутри OT: разные функциональные зоны (станочный парк цеха 1, станочный парк цеха 2, ТОиР (техническое обслуживание и ремонт), склады) — в отдельных VLAN с минимально необходимым обменом.
5. Никакой удалённый доступ к OT без MFA, журналирования и временных окон.
6. СЗИ применяются и в OT, и в IT, но конкретные средства могут различаться (промышленные firewalls vs корпоративные firewalls).

Сертифицированный софт ФСТЭК

Для значимых КИИ — обязательное требование. На 2026 в реестре сертифицированных:

• Антивирус: Kaspersky Endpoint Security (сертификация ФСТЭК), Dr.Web.
• SIEM (система управления событиями безопасности): MaxPatrol SIEM, Kaspersky Anti Targeted Attack, R-Vision SIEM.
• DLP: InfoWatch, Solar Dozor, СёрчИнформ КИБ.
• Файрволы: Континент (Код Безопасности), UserGate, Ideco UTM, Traffic Inspector.
• IDS/IPS: PT NAD (Positive Technologies), Континент IDS.
• IAM/PAM: Indeed Identity, Indeed PAM, Аванпост, Solar inRights, Solar SafeInspect, sPACE.
• Криптосредства: КриптоПро CSP, ViPNet, СКЗИ Кода Безопасности.

Это базовый стек. У каждого предприятия в зависимости от категории и угроз — свой комбинированный набор. Подбор должен делать ИБ-архитектор, не «найти подешевле».

Облако vs локально для КИИ

Распространённый вопрос: можно ли разместить значимый объект КИИ в облаке?

Формально — да, если облако имеет соответствующую аттестацию ФСТЭК. На 2026 аттестации имеют:

• Yandex Cloud — есть защищённое облако с КИИ-сегментами.
• VK Cloud — есть.
• SberCloud / Cloud.ru — есть.
• MTS Cloud — есть.
• T1 Облако — заявлено как объект КИИ 1-й категории под мониторингом ГосСОПКА (Государственная система обнаружения и предупреждения компьютерных атак).
• Selectel — есть для отдельных конфигураций.

Однако: размещение значимого объекта КИИ в облаке требует индивидуального согласования с регулятором и оператором. Это не «купил подписку — разместил». Это контракт с привязкой к конкретной аттестации, географии серверов, разделению ответственности по реагированию на инциденты.

Гибридная архитектура — стандарт де-факто:

• Чувствительное оперативное (MES, АСУ ТП) — on-premise.
• Аналитика, BI, ML-обучение — облако (для не-КИИ контуров или КИИ-сертифицированное облако).
• Тестовые и среды разработки — облако.
• Корпоративные сервисы (почта, документооборот) — облако или гибрид.

Реальная картина перехода КИИ

По данным Минцифры на март 2025 (выступление министра Шадаева):

• ~33 % значимых объектов КИИ не были переведены на отечественное ПО в установленный срок 01.01.2025.
• В большинстве — крупный бизнес с историческими SAP/Oracle стеками.
• Минцифры формально начало готовить оборотные штрафы (привязка к выручке).
• Контроль ФСТЭК усилен — проводятся проверки.

Это означает, что регуляторный риск реален и растёт. Если вы в просрочке — приоритет №1, не откладывать.

Чек-лист соответствия КИИ

#	Пункт	Что значит	✓
1	Идентифицирован статус «субъект КИИ»	Если ТЭК/металлургия/химия/ОПК — скорее всего да
2	Создана комиссия по категорированию	Приказом руководителя
3	Категорирование выполнено	Акт утверждён, категория присвоена
4	Регистрация в реестре ФСТЭК	Сведения поданы, объект в реестре
5	Модель угроз для каждого значимого объекта	Утверждена, актуализируется
6	План мер защиты по приказам ФСТЭК № 235/239	Утверждён, в исполнении
7	Назначен ответственный за защиту КИИ	Конкретное должностное лицо
8	Утверждены организационные документы	Политика, регламенты, инструкции
9	Журналирование событий ИБ	Все события собираются в SIEM
10	Сегментация OT/IT через DMZ (демилитаризованная зона)	Не прямое соединение, а контролируемое
11	Отечественные СЗИ внедрены	Сертифицированные ФСТЭК
12	Резервное копирование	Тестируемое, восстановление проверено
13	Многофакторная аутентификация для администраторов	Без исключений
14	Подключение к ГосСОПКА	Через территориальное подразделение
15	Подключение к НКЦКИ	Договор, обмен данными
16	План реагирования на инциденты	Утверждён, отработан учениями
17	SOC (центр мониторинга безопасности) или MSSP	Свой или внешний
18	Регулярный pentest	1-2 раза в год
19	Аттестация выполнена (для 1 и 2 категорий)	Сертификат
20	План перехода на отечественное ПО	Утверждён до 01.01.2028
21	СУБД на отечественной	Postgres Pro / Tantor / Arenadata
22	ОС (операционная система) на отечественной	Astra Linux / ALT / РЕД для значимых КИИ
23	План замены ПАК до 01.12.2030	Утверждён
24	Категорирование персональных данных (ФЗ-152)	Выполнено
25	СКУД (система контроля и управления доступом) и видеонаблюдение с биометрией — с согласиями	Юридическая чистота
26	Программа обучения персонала ИБ	Регулярная
27	Контроль доступа из-за периметра РФ	Геоблокировка, MFA, журналирование
28	Контракты с подрядчиками учитывают КИИ-требования	Аккредитация, гражданство персонала
29	Регулярный аудит соответствия	Не «разовая аттестация», а процесс
30	Резервная площадка (DR-сайт)	Для критичных систем

Антипаттерны

Антипаттерн 1. «Решим КИИ потом, когда будет время». Времени нет. Кто откладывал в 2023-2024 — сейчас в авральном режиме.

Антипаттерн 2. «Параллельный импорт SAP/Oracle — наша стратегия». На значимых КИИ — прямое нарушение Указа № 166. Уголовные риски по ст. 274.1 УК при наступлении инцидента.

Антипаттерн 3. «Категорирование сделаем сами по шаблону интернета». Категорирование — формальная процедура с конкретной методикой. Ошибка в категорировании может означать либо избыточные затраты на защиту (если завысили), либо штрафы при проверке (если занизили). Лучше с аккредитованным исполнителем.

Антипаттерн 4. «Сертифицированный антивирус купим в магазине». «Сертифицированный» — это не маркетинговое слово, это конкретный сертификат ФСТЭК. Список сертифицированных продуктов — на сайте ФСТЭК. Покупка «обычного» антивируса под видом сертифицированного — нарушение.

Антипаттерн 5. «Прямое соединение OT и IT, потому что так удобнее интеграторам». Главный архитектурный антипаттерн. Stuxnet-подобный сценарий — реальный риск. После 2022-2024 атак на промышленность РФ — это не страшилка.

Связанные главы

• 02. Чек-лист готовности предприятия — пункт 33 (категорирование КИИ).
• 14. Импортозамещение и стеки — практическая миграция на отечественное ПО.
• 08. Производство: MES, IIoT, OEE — OT/IT-разрыв при внедрении MES.
• Приложение C. Нормативная база — все ФЗ, постановления, приказы со ссылками.