Госдума приняла в третьем, окончательном чтении пакет правительственных законопроектов, которые касаются безопасности критической информационной инфраструктуры (КИИ) РФ; максимальные санкции за создание вредоносных программ для кибератак на КИИ предусматривают до 10 лет лишения свободы.
Суть закона
Законопроектом устанавливаются основные принципы обеспечения безопасности КИИ, полномочия государственных органов РФ в области обеспечения ее безопасности. Устанавливаются права, обязанности и ответственность лиц, владеющих на праве собственности или ином законном основании объектами КИИ, операторов связи и информационных систем, обеспечивающих взаимодействие этих объектов.
Отмечается, что безопасность КИИ РФ и ее объектов обеспечивается за счет "определения федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности критической информационной инфраструктуры РФ, разработки критериев категорирования объектов критической информационной инфраструктуры, показателей этих критериев и порядка категорирования объектов критической информационной инфраструктуры",
Предусматривается, что каждый объект критической информационной инфраструктуры подлежит категорированию в соответствии с утвержденным правительством РФ порядком. Категорирование производится владельцами этих объектов самостоятельно либо с привлечением организаций, имеющих лицензии на осуществление деятельности по технической защите конфиденциальной информации.
Собственники КИИ
Как ранее рассказал глава комитета Госдумы по информационной политике Леонид Левин, закон устанавливает, что собственники и иные лица, пользующиеся на праве аренды или ином законном основании объектами КИИ, должны быть российскими юридическими лицами или индивидуальными предпринимателями.
Иностранные компании, являющиеся собственником объекта КИИ, осуществляющие свою деятельность на территории РФ и представляющие свои интересы через российские юридические лица, смогут продолжить свою работу без каких-либо ограничений.
Уточняется правовой статус национального координационного центра по компьютерным инцидентам. В частности, говорится, что это организация, создаваемая федеральным органом исполнительной власти, уполномоченным в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы РФ, участвующая в осуществлении координации деятельности субъектов КИИ, пояснил Левин.
Конкретизируется, что в части утверждения уполномоченным органом порядка технических условий установки и эксплуатации средств, предназначенных для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты в банковской сфере и иных сферах финансового рынка, необходимо согласование с Центральным банком РФ, сообщил глава комитета ГД по информационной политике.
В интересах собственников, а также лиц, использующих объекты КИИ РФ на праве аренды или ином законном основании, уточняются сроки осуществления процедуры категорирования таких объектов, добавил парламентарий.
Кроме того, по словам Левина, устанавливается, что при несоблюдении правил категорирования уполномоченным органом субъекта КИИ направляется требование о необходимости соблюдения положения закона в части осуществления категорирования.
Вместе с тем уточняется перечень сведений, представляемых субъектами КИИ в реестр значимых объектов КИИ. В обязанности субъектов КИИ в банковской сфере и иных сферах финансового рынка вводится требование уведомления о компьютерном инциденте не только уполномоченного органа, но и ЦБ РФ.
Помимо этого, предполагается наделить правом утверждения дополнительных требований по обеспечению безопасности значимых КИИ государственные органы, государственные корпорации и ЦБ РФ.
Принятие законопроекта позволит создать правовую и организационную основу для эффективного функционирования системы безопасности КИИ РФ, направленной в первую очередь на предупреждение возникновения компьютерных инцидентов на ее объектах, а также существенно снизит общественно-политические, финансовые и иные негативные последствия для РФ в случае проведения против нее компьютерных атак, полагают в правительстве.
Санкции
В УК РФ вводится новая статья "Неправомерное воздействие на критическую информационную инфраструктуру РФ".
Предполагается, что создание и (или) распространение компьютерных программ, заведомо предназначенных для неправомерного воздействия на критическую информационную инфраструктуру РФ, включая уничтожение, блокирование, модификацию, копирование информации, содержащейся в ней, или нейтрализацию средств защиты указанной информации будет наказываться принудительными работами на срок до пяти лет, либо лишением свободы на срок от двух до пяти лет со штрафом в размере от 500 тысяч до 1 миллиона рублей или в размере заработной платы или иного дохода осужденного за период от одного года до трех лет.
Неправомерный доступ к охраняемой компьютерной информации, содержащейся в критической информационной инфраструктуре, в том числе с использованием вредоносных компьютерных программ, если он повлек причинение вреда критической информационной инфраструктуре или создал угрозу его наступления, будет наказываться принудительными работами на срок до пяти лет со штрафом в размере от 500 тысяч до 1 миллиона рублей или в размере заработной платы или иного дохода осужденного за период от одного года до трех лет и с ограничением свободы на срок до двух лет или без такового либо лишением свободы на срок от двух до шести лет.
Нарушение правил эксплуатации средств хранения, обработки или передачи охраняемой компьютерной информации, содержащейся в критической информационной инфраструктуре РФ, или информационных систем, либо правил доступа к указанной информации, если оно повлекло причинение вреда критической информационной инфраструктуре или создало угрозу его наступления предлагается наказывать принудительными работами на срок до пяти лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет или без такового либо лишением свободы на срок до шести лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет или без такового.
Если какое-либо из вышеуказанных нарушений было совершено группой лиц по предварительному сговору или организованной группой лиц или лицом с использованием своего служебного положения, то в данном случае виновникам могут грозить принудительные работы на срок до пяти лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет или без такового либо лишением свободы на срок от трех до восьми лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет или без такового.
В случае если деяния повлекли тяжкие последствия или создали угрозу их наступления предусмотрено лишение свободы на срок от пяти до десяти лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до пяти лет или без такового.
Планируется, что документ должен вступить в силу с 1 января 2018 года.
Компания «Инфосистемы Джет» запустила программу кибериспытаний на платформе Standoff Bug Bounty. Цель проекта — проверить реальную киберустойчивость компании к самым опасным сценариям атак, включая полный захват управления ИТ-инфраструктурой и получение несанкционированного доступа к системам клиентов. За подтверждение возможности реализации каждого из таких сценариев предусмотрено вознаграждение до 1,5 млн рублей.
Программа рассчитана до конца 2026 года, но может завершиться раньше — если исследователям удастся успешно продемонстрировать одно из двух недопустимых событий.
В фокусе кибериспытаний находятся корпоративные информационные системы «Инфосистемы Джет», как во внутреннем контуре, так и в отдельной защищённой среде, используемой для удалённой работы с инфраструктурой заказчиков. Помимо крупных выплат за критические сценарии, компания готова дополнительно поощрять исследователей за найденные уязвимости высокого уровня опасности, даже если они не привели к полной цепочке атаки.
По словам Ивана Булавина, директора по продуктам платформы Standoff 365, формат кибериспытаний позволяет оценивать безопасность не через отдельные уязвимости, а через призму реальных бизнес-рисков.
Практика 2025 года это подтверждает: более 60% выявленных недостатков в рамках кибериспытаний относились к критическому и высокому уровням, что значительно выше показателей классических программ по поиску уязвимостей. Общий объём выплат по таким программам превысил 42 млн рублей, что, по мнению экспертов, говорит о зрелости и эффективности формата.
Запуск кибериспытаний стал логичным продолжением классической программы баг-баунти «Инфосистемы Джет», которая уже действует и показала хорошие результаты. Однако, как подчёркивают в компании, основной интерес теперь смещается с поиска отдельных уязвимостей на понимание того, насколько устойчив бизнес к реальным разрушительным атакам.
Как пояснил Андрей Янкин, директор центра информационной безопасности «Инфосистемы Джет», компания заранее определила для себя наиболее критичные и недопустимые ИТ-сценарии — это полное разрушение ИТ-систем без возможности быстрого восстановления и атаки на клиентов через собственную инфраструктуру. Анализ десятков расследованных инцидентов ИБ за 2025 год показал, что именно такие результаты чаще всего интересуют реальных злоумышленников.
По его словам, формат кибериспытаний привлекает более опытных исследователей за счёт высоких вознаграждений, а потенциальные выплаты несоизмеримо меньше ущерба, который мог бы быть нанесён при реальной атаке. Именно поэтому компания готова «с радостью заплатить» за демонстрацию недопустимого события — как за возможность заранее увидеть и закрыть самый опасный сценарий.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
