Сфера безопасности критической информационной инфраструктуры в России окончательно лишилась прежней гибкости. Эпоха, когда компании могли оценивать свои системы по собственному усмотрению, закончилась с вступлением в силу поправок в ФЗ № 187-ФЗ и Постановления Правительства № 1762. С 1 сентября 2026 года начинает действовать жесткая отраслевая модель, которая меняет подход к работе ИБ-департаментов и требует полной прозрачности инфраструктуры. Узнать нюансы вы также можете на https://www.sostav.ru/blogs/290632/89480, а пока давайте разберемся в общих тенденциях.
Переход к единым государственным перечням
Главный сдвиг заключается в отказе от субъективных решений внутренних комиссий. В стране заработал единый перечень типовых объектов КИИ, включающий около 400 позиций. Методические рекомендации профильных министерств стали обязательными нормативными актами, как это произошло со сферой связи после принятия Постановления Правительства № 402. Если система компании совпадает с объектом из государственного реестра, ее обязаны категорировать без обсуждений. Если же системы в списке нет, но она влияет на ключевые процессы, организация присваивает ей категорию и отправляет во ФСТЭК предложение по расширению списка.
Детализация сетевого периметра
Приказ ФСТЭК № 247 резко повысил требования к глубине раскрытия технических данных. Теперь при отправке сведений о любом объекте, имеющем выход в интернет, субъект КИИ обязан сдавать точные параметры:
- Официальное наименование типового объекта из государственного перечня.
- Полный список зарегистрированных доменных имен.
- Все используемые внешние IP-адреса.
Это нововведение заставляет крупные холдинги и банки с развитой филиальной сетью проводить непрерывный аудит всех внешних шлюзов. Любое появление нового адреса или изменение домена теперь требует оперативного обновления сведений у регулятора.
Требования к перекатегорированию и импортозамещению
Процесс категорирования окончательно потерял разовый характер. Пересмотр статуса систем проводится не реже одного раза в 5 лет, а также при изменении законодательных критериев или модернизации самого IT-контура. Присвоение категории автоматически запускает жесткие сроки по замене иностранных решений на отечественные средства защиты информации и доверенные программно-аппаратные комплексы. Параллельно усиливается контроль со стороны органов мониторинга, которые научились автоматически выходить на незарегистрированные ресурсы.
Пошаговый план работы для организации
Чтобы успешно соответствовать новым требованиям и избежать штрафов, компании необходимо действовать по понятному алгоритму:
- Издать приказ о создании комиссии с участием специалистов по ИБ, IT и юристов.
- Проверить профиль деятельности организации на совпадение с 13 отраслями из ФЗ № 187-ФЗ.
- Сопоставить внутренние сервисы с государственным реестром типовых объектов.
- Рассчитать возможный ущерб по формулам из профильных отраслевых актов.
- Направить во ФСТЭК полностью заполненную форму с указанием всех доменов и IP-адресов.
Пытаться занизить категорию или утаить часть внешних адресов сегодня бессмысленно, так как регуляторы быстро выявляют расхождения через перекрестные базы. Единственным безопасным путем остается своевременная ревизия активов и передача честных данных.
