ПРИЛОЖЕНИЕ C
Нормативная база
Реестр всех федеральных законов, указов, постановлений, приказов и ГОСТ-ов, упомянутых в руководстве. По каждому: что значит, к чему обязывает, штрафы, на кого распространяется. Все ссылки актуальны на май 2026.
Федеральные законы
ФЗ-187 от 26.07.2017 «О безопасности критической информационной инфраструктуры РФ»
Основной закон по КИИ. Определяет:
- Кто является субъектом КИИ (13 сфер + субъекты, обеспечивающие взаимодействие).
- Обязанности субъектов: категорирование, защита, взаимодействие с НКЦКИ.
- Ответственность за нарушение требований.
Изменения:
- ФЗ № 58-ФЗ от 07.04.2025 (вступил в силу 01.09.2025) — расширил полномочия Правительства по утверждению отраслевых перечней объектов КИИ; ввёл персональную ответственность руководителей.
Применимо: производственные предприятия в ТЭК, металлургии, химии, ОПК, добыче, оборонке, энергетике и других сферах из 14.
Ссылка: текст на сайте Кремля.
ФЗ-152 от 27.07.2006 «О персональных данных»
Регулирует обработку персональных данных. Применимо к производству в части:
- СКУД (системы контроля доступа): данные сотрудников и посетителей.
- Видеонаблюдение с распознаванием лиц = биометрия.
- HR-системы.
- Корпоративные мессенджеры и почта.
Штрафы с 30.05.2025 (ФЗ-420 от 30.11.2024):
- Юрлицам за разовую утечку обычных ПДн (масштаб >100 тыс. субъектов): до 15 млн ₽.
- Утечка биометрических данных: 15-20 млн ₽.
- Повторные нарушения — оборотные штрафы: до 3 % от выручки за календарный год, с верхним потолком 500 млн ₽.
- Приостановка деятельности по решению суда: до 90 суток.
ФЗ-149 от 27.07.2006 «Об информации, информационных технологиях и о защите информации»
Базовый закон по информации в РФ. Используется в связке с ФЗ-187 для уточнения определений.
Указы Президента
Указ № 166 от 30.03.2022
«О мерах по обеспечению технологической независимости и безопасности критической информационной инфраструктуры РФ».
Главные положения:
- С 31.03.2022 — запрет на новые закупки иностранного ПО для значимых объектов КИИ.
- С 01.01.2025 — запрет на эксплуатацию иностранного ПО на значимых объектах КИИ для госзаказчиков, госкомпаний, субъектов КИИ.
- Для СУБД крайний срок: 01.01.2026.
- Полный переход значимых КИИ на отечественное ПО: 01.01.2028.
- ПАК (программно-аппаратные комплексы): 01.12.2030.
Уточнение по атрибуции сроков: непосредственно Указом № 166 установлены запрет на новые закупки иностранного ПО для значимых объектов КИИ (с 31.03.2022) и запрет на его эксплуатацию (с 01.01.2025). Поэтапная лестница (СУБД — 01.01.2026, всё значимое ПО — 01.01.2028, ПАК — 01.12.2030) закреплена последующими актами и планами (ФЗ-58, постановления Правительства, планы Минцифры), а не текстом самого Указа. По состоянию на май 2026 Минцифры прорабатывает продление сроков перехода значимых объектов КИИ — поэтапно, для части объектов вплоть до 2036 года. Конкретные даты сверять с действующей редакцией нормативных актов.
Источник: http://www.kremlin.ru/acts/bank/47688.
Постановления Правительства
ПП-127 от 08.02.2018
«Об утверждении Правил категорирования объектов КИИ РФ».
Что значит: методика присвоения категорий значимости 1, 2, 3 по 5 критериям (социальный, политический, экономический, экологический, оборонный).
Изменения 2025: исключены ИП из субъектов КИИ; расширены отраслевые перечни.
ПП-1236 от 16.11.2015
«Об установлении запрета на допуск программного обеспечения, происходящего из иностранных государств, для целей осуществления закупок для обеспечения государственных и муниципальных нужд».
Что значит: правила формирования и ведения единого реестра российского ПО. Для госзакупок и закупок госкомпаний — обязательное преимущество ПО из реестра.
Изменения с 01.03.2026: двухуровневая структура реестра — «обычный» + «перечень доверенного ПО». Требование совместимости с минимум двумя российскими ОС.
Последняя редакция: 09.12.2025.
Распоряжение Правительства РФ № 1928-р от 14.07.2022
О создании индустриальных центров компетенций (ИЦК) — координация цифровизации по отраслям. ИЦК действуют также на основании поручения Председателя Правительства от 25.07.2022 № ММ-П24-12275.
Приказы ФСТЭК
Приказ № 235 от 21.12.2017
«Об утверждении Требований к созданию систем безопасности значимых объектов критической информационной инфраструктуры».
Что значит: состав мер защиты для значимых объектов КИИ. Зависит от категории (1/2/3).
Приказ № 239 от 25.12.2017
«Об утверждении Требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры».
Что значит: технические и организационные требования. Связан с приказом № 235.
Дополнения 2025: методика оценки уровня зрелости защиты КИИ.
Список сертифицированных средств защиты информации
Ведётся ФСТЭК. Для значимых КИИ — обязательное использование сертифицированных СЗИ.
Категории СЗИ: антивирусы, файрволы, IDS/IPS, DLP, SIEM, IAM/PAM, средства криптозащиты.
Уголовный кодекс РФ
Статья 274.1 «Неправомерное воздействие на критическую информационную инфраструктуру РФ»
Введена в УК специально для КИИ.
Состав преступления:
- Неправомерный доступ к КИИ.
- Создание / распространение вредоносных программ для КИИ.
- Нарушение правил эксплуатации, повлёкшее тяжкие последствия.
Ответственность:
| Состав | Санкция |
|---|---|
| Неправомерный доступ к КИИ (ч. 2) | До 6 лет лишения свободы |
| Создание / распространение вредоносного ПО для КИИ (ч. 1) | От 2 до 5 лет (базовый состав); до 8 лет — при отягчающих по ч. 4 (группа лиц, служебное положение) |
| Нарушение правил эксплуатации с тяжкими последствиями (ч. 5) | До 10 лет |
Применимо: при наступлении значимого ущерба от инцидента в КИИ может быть применено к руководителям субъекта КИИ.
Административные штрафы
| Нарушение | Норма | Штраф юрлицу |
|---|---|---|
| Несоблюдение сроков перехода КИИ на отечественное ПО (Указ № 166) | КоАП (готовятся изменения) | 3-15 млн ₽ за первичное; готовятся оборотные штрафы |
| Нарушение требований к КИИ в целом (ФЗ-187) | КоАП | 50 000 – 500 000 ₽ |
| Нарушение ФЗ-152 по ПДн (с 30.05.2025) | ст. 13.11 КоАП | до 15 млн ₽ за разовую утечку при масштабе >100 тыс. субъектов; оборотные до 3 % выручки за повторные |
| Утечка биометрии | ст. 13.11 КоАП | 15-20 млн ₽ |
| Утечка обычных ПДн | ст. 13.11 КоАП | 60 тыс. – 6 млн ₽ за разовое |
ГОСТы
ГОСТ Р 57700.37-2021 «Цифровые двойники изделий. Общие положения»
Введён: 01.01.2022.
Первый в мире национальный стандарт по цифровым двойникам. Распространяется на изделия машиностроения.
С 01.01.2025 действует предварительный стандарт серии 57700.37 (3 года). На его основе разрабатываются отраслевые стандарты.
Применение на практике: без формального соответствия ГОСТ-у двойник не примут в ОЗП и не дадут грантового финансирования.
Источник: base.garant.ru.
ГОСТ Р 71367-2024 «Промышленный интернет вещей. Архитектура»
Действующий национальный стандарт по IIoT. Реальное применение пока ограниченное, чаще ссылаются в тендерах. Связанные стандарты: ГОСТ Р 70234, ГОСТ Р ИСО 23247 (цифровой двойник производства).
ГОСТ Р по цифровой зрелости предприятия
Действующая методика оценки цифровой зрелости. Используется для отчётности перед Минцифры и для самооценки в рамках ИЦК. На 2026 актуальный номер стандарта стоит сверять по сайту Росстандарта — серия документов по цифровизации обновляется ежегодно.
ГОСТ Р ИСО/МЭК 27001-2021 «Системы менеджмента информационной безопасности»
Российская версия международного стандарта ISO/IEC 27001. Базовый стандарт по управлению ИБ. Обязателен для крупных промышленных холдингов с международной деятельностью или внутренней корпоративной требованием соответствия ISO 27001.
Ключевые сроки 2026-2030
| Дата | Событие |
|---|---|
| 01.01.2026 | СУБД на отечественной для значимых КИИ |
| 01.03.2026 | Новая структура реестра ПО (двухуровневая, перечень «доверенного») |
| 08.03.2026 | Новый порядок аккредитации ИТ-компаний (Минцифры) |
| 27.05.2026 | Исключение Intel, Samsung, Cisco, HP, Asus из параллельного импорта |
| 01.01.2028 | Полный переход значимых объектов КИИ на отечественное ПО |
| 01.12.2030 | Полный переход на отечественные ПАК |
Программы господдержки
РФРИТ — Программа ОЗП (особо значимые проекты)
- Грант: 100 млн – 2 млрд ₽ на проект.
- Софинансирование: 50/50.
- Бюджет на 2025: ~8,3 млрд ₽.
- Заявки 2025: 25.09 — 26.10. Решения до 15.12.
Ссылка: rfrit.ru.
Фонд развития промышленности (ФРП)
- «Цифровизация промышленности»: займы 5-750 млн ₽ под 1-5 % годовых на 7 лет.
- Расширенная программа: до 2 млрд ₽.
Ссылка: frprf.ru.
ИЦК (индустриальные центры компетенций)
Создан с 2022 года. Координация цифровизации по отраслям. Действуют ИЦК «Нефтегаз», «Металлургия», «Машиностроение» и др.
Налоговые льготы для аккредитованных ИТ-компаний (с 08.03.2026)
- Налог на прибыль: 5 % в фед. бюджет, 0 % в регион (2025-2030).
- Страховые взносы: 15 %.
- Условие: доля ИТ-доходов ≥ 70 %, ежегодное подтверждение статуса до 1 июня.
Реестры и базы данных
| Реестр | Где найти |
|---|---|
| Реестр российского ПО | reestr.digital.gov.ru |
| Реестр субъектов КИИ | ФСТЭК (закрытый, для регулятора) |
| Реестр сертифицированных СЗИ | fstec.ru |
| Реестр аккредитованных ИТ-компаний | reestr.digital.gov.ru |
| Реестр аккредитованных удостоверяющих центров | digital.gov.ru |