Какие изменения в сфере КИИ вступят в силу с 1 сентября

В конце августа были опубликованы изменения в форму направления сведений об объектах КИИ, утвержденную ранее приказом ФСТЭК России №236. Новый порядок касается всех компаний из числа субъектов КИИ — им нужно оперативно актуализировать свои сведения. Алена Лукашева, заместитель руководителя департамента аудита и консалтинга iTPROTECT, рассказала, как организациям обеспечить соответствие новым правилам.

Главные изменения:

• Категорирование теперь проводится с опорой на типовые отраслевые перечни объектов КИИ и методические особенности.
• Комиссиям предстоит провести инвентаризацию объектов, пересмотреть результаты прошлых категорирований и направить во ФСТЭК России обновленные сведения.
• Субъекты КИИ обязаны начать переход на отечественное ПО и программно-аппаратные комплексы (ПАК).
• Правительство РФ будет осуществлять мониторинг использования отечественного ПО на объектах КИИ.
• В форме направления сведений об объектах КИИ теперь обязательно нужно указывать соответствие типовому отраслевому объекту КИИ, вносить доменные имена и внешние сетевые адреса, детализировать состав компонентов, ПО, аппаратных средств и СЗИ.

Срок выполнения: до 26.09.2025 (20 рабочих дней) нужно направить обновленные сведения во ФСТЭК.

Как мы отмечали ранее, проекты перечней и методик для сфер КИИ сейчас на разных стадиях утверждения (переход с уровня ведомств на уровень правительства).

Алена Лукашева, заместитель руководителя департамента аудита и консалтинга iTPROTECT:

Фактически это означает пересмотр всей «картины» объектов КИИ в организациях. Даже если ранее категорирование проведено корректно, новые перечни, отраслевые особенности и форма сведений потребуют повторного анализа.

Для многих организаций это будет непростая задача: придется проводить инвентаризацию, собирать новые данные, пересматривать категории значимости и планировать переход на отечественное ПО и ПАК. Наш совет: начинать подготовку уже сейчас.

Специалисты iTPROTECT помогут оперативно собрать уточненные данные, провести сверку всей инфраструктуры с новыми требованиями, подготовить компанию к корректному заполнению новой формы. Отдельно стоит обратить внимание на новое требование по обязательному указанию доменов и внешних адресов — это четкий сигнал от ФСТЭК о важности защиты периметра. Компаниям с развитой внешней сетевой инфраструктурой рекомендуем провести тестирования на уязвимости и защищенность от угроз.