Путин подписал закон о «запрете иностранного ПО»

Путин подписал закон о «запрете иностранного ПО»

Президент Владимир Путин подписал документ, вносящий изменения в федеральные законы «Об информации…» и «О контрактной системе в сфере закупок…», которые вступят в силу с 1 января 2016 г.

За время своей подготовки эта законотворческая инициатива, вводящая ограничения на приобретение и использование ПО иностранных разработчиков, успела в прессе и бытовой речи получить название «закона о запрете иностранного ПО».

Первый из меняемых законов будет дополнен отдельной статьей «Особенности госрегулирования в сфере использования российских программ для ЭВМ и баз данных» и описывает создание реестра отечественного ПО и аспекты его формирования, пишет cnews.ru.

Возможность устанавливать правила ведения реестра закрепляются за Правительством. Уполномоченный им федеральный орган госвласти сможет привлечь к формированию и ведению реестра специального оператора — организацию, зарегистрированную на территории РФ. Этот же уполномоченный орган станет утверждать соответствующий классификатор ПО для ведения реестра.

В соответствии с буквой закона, программы могут считаться отечественными, если исключительные права на них принадлежат Российской Федерации, либо ее гражданам, либо некоммерческой организации, управляемой без помощи иностранцев, либо коммерческой организации с суммарной долей российского участия более 50%. При этом ПО должно не нарушать гостайну, быть правомерно введено в оборот и свободно реализовываться на всей территории России.

Еще один критерий включения в реестр утверждает, что общая сумма выплат за рубеж по лицензионным и иным договорам, связанным с вопросами интеллектуальной собственности, не должна превышать 30% от годовой выручки правообладателя ПО от его реализации. 

Данный список требований в дальнейшем может быть расширен Правительством за счет дополнительных пунктов.

Отдельно конкретизируется, что организация будет считаться контролируемой иностранным лицом, если последнее сможет определять ее решения в силу преобладающего прямого и (или) косвенного в ней участия.

Решение об отказе включения в реестр правообладатели ПО смогут обжаловать в суде в трехмесячный срок.

Ограничения для зарубежного ПО

Изменения ко второму закону — «О контрактной системе в сфере закупок…» — описывают полномочия Правительства при помощи будущих подзаконных актов установить запрет или ограничения на допуск зарубежных товаров и услуг к участию в госзакупках.

При этом для госзаказчиков предусматривается возможность обосновать невозможность соблюдения указанных запрета или ограничений. Требования к содержанию подобных обоснований также должно установить Правительство.

Альтернативное законотворчество

Подписанный президентом документ был внесен в Госдуму группой депутатов —Леонидом Левиным, Алексеем Казаковым, Вадимом Деньгиным и др. — 9 апреля 2015 г.

Спустя почти полтора месяца (18 мая 2015 г.), член Совета Федерации Людмила Бокова и депутат Надежда Шайденко внесли в Госдуму еще один законопроект, предполагавший изменения к закону «Об информации». Поправки также касались реестра отечественного ПО, хотя порядок его ведения был описан гораздо более поверхностно, чем у группы Левина.

В результате 15 июня 2015 г. Совет Госдумы постановил вернуть законопроект его инициаторам «по мотивам принятия аналогичного законопроекта в первом чтении». (Первое чтение документа Левина завершилось 22 мая 2015 г.)

Дополнение Минкомсвязи

Реестр российского ПО и ограничения на использование зарубежных товаров (на уровне ПО) при госзакупках фигурируют и в еще одой законотворческой инициативе. В начале текущего года Минкомсвязи разработало проект соответствующего постановления Правительства.

Как сообщили CNews в пресс-службе министерства, документ был внесен Минкомсвязью в Правительство 30 июня 2015 г. и по итогам рассмотрения в Аппарате Правительства должен быть вынесен на заседание Правительства.

«Согласно проекту постановления заказчики смогут приобретать иностранное ПО только в тех случаях, когда сопоставимое российское ПО отсутствует или по своим функциональным, техническим, эксплуатационным характеристикам не соответствует обоснованным требованиям заказчиков», — отмечают в министерстве.

По данным исполнительного директора АРПП «Отечественный софт» Евгении Василенко, чья ассоциация принимала активное участие в составлении текста постановления, внести данный проект Минкомсвязи удалось лишь «с разногласиями» — со стороны Минфина и ФАС.

Как поясняет Василенко, данное постановление не дублирует новый закон, а открывает путь к созданию требующихся для реализации его норм подзаконных актов.

В Минкомсвязи уточняют, что новым законом определяются «базовые» критерии включения программ в реестр отечественного ПО, но правила формирования и ведения реестра, а также преференции для включенного в него ПО устанавливаются постановлением Правительства.

Open source под ударом: число вредоносных пакетов превысило 20 тысяч

«Лаборатория Касперского» сообщила о росте числа вредоносных пакетов в проектах с открытым исходным кодом. По данным телеметрии компании, к концу 2025 года по всему миру было обнаружено 19,5 тыс. таких пакетов — на 37% больше, чем годом ранее. В начале 2026 года их число уже превысило 20 тыс.

Open source давно стал обычной частью современной разработки: компании используют готовые библиотеки, фреймворки и утилиты, чтобы быстрее создавать продукты.

Но у этой удобной модели есть и обратная сторона — злоумышленники всё чаще используют популярные экосистемы для атак на цепочки поставок.

Один из свежих примеров — атака Mini Shai-Hulud, которую в мае 2026 года провела группа TeamPCP. Она была нацелена на npm и PyPI. В результате оказались скомпрометированы более 170 пакетов и сотни вредоносных релизов, включая проекты, связанные с TanStack, Mistral AI, UiPath и OpenSearch Project. Основным вектором стала цепочка уязвимостей в сборочном конвейере GitHub Actions.

В 2026 году были и другие заметные атаки. В марте был скомпрометирован Axios — один из популярных HTTP-клиентов для JavaScript. Злоумышленники получили доступ к аккаунту сопровождающего проекта и опубликовали заражённые версии пакета. Вместо прямого внедрения вредоносного кода в Axios они добавили фантомную зависимость, которая разворачивала кросс-платформенный RAT на macOS, Windows и Linux.

В феврале авторы Notepad++ сообщили о компрометации инфраструктуры из-за инцидента на стороне хостинг-провайдера. По данным Kaspersky GReAT, атакующие использовали несколько цепочек заражения, а среди целей были ИТ-поставщики, госучреждения и финансовые организации в Австралии, Латинской Америке и Юго-Восточной Азии.

В апреле злоумышленники взломали официальный сайт разработчика CPU-Z и HWMonitor и подменили легитимные установщики вредоносными. Период компрометации, по оценке исследователей, составил около 19 часов. За это время были выявлены более 150 жертв в разных странах.

В начале мая эксперты также обнаружили вредоносный код в установщиках DAEMON Tools. Заражёнными оказались версии с 12.5.0.2421 до 12.5.0.2434, распространявшиеся с 8 апреля. Всего было атаковано более 2 тыс. пользователей в более чем ста странах. После массового заражения злоумышленники выбрали около десятка организаций для более точечных атак.

В «Лаборатории Касперского» отмечают, что атаки на цепочки поставок остаются одной из самых заметных угроз для организаций. Разработчикам и компаниям рекомендуют внимательнее контролировать используемые опенсорс-компоненты, проверять сборочные конвейеры, отслеживать зависимости, готовить план реагирования на инциденты и не полагаться только на репутацию популярного проекта.

RSS: Новости на портале Anti-Malware.ru