Аудит КИИ 2026: отраслевая детализация, типовые объекты и жесткие требования к доверенным ПАК

2026 год — это год жесткого контроля и тотальной инвентаризации. Сентябрь 2024 года стал водоразделом для всего рынка критической информационной инфраструктуры России: упрощение процедуры категорирования обернулось ужесточением отраслевого надзора, а требование переходить на доверенные программно-аппаратные комплексы (ПАК) обрело конкретные сроки и неумолимые санкции.

До 1 января 2030 года, когда вступит в силу полный запрет на использование недоверенных ПАК на значимых объектах КИИ, осталось меньше четырех лет. Но уже сегодня, с 1 сентября 2024 года, субъекты КИИ обязаны закупать для значимых объектов только доверенные ПАК из реестра Минпромторга. Исключение возможно лишь при наличии специального заключения об отсутствии российских аналогов.

Как аудитору оценить готовность компании к этим вызовам? Что конкретно проверять, на какие типы систем обращать внимание и какие документы требовать? Разбираемся в новой реальности с максимальной детализацией. На эти вопросы для читателей Кибер Медиа ответит Сергей Дурнев, специалист по информационной безопасности AKTIV.CONSULTUNG (бизнес-направление компании «Актив»).

Новая философия категорирования: от общих правил к отраслевым справочникам

Долгое время ключевым документом для определения объектов КИИ оставалось Постановление Правительства № 127. Однако регулятор столкнулся с проблемой: компании зачастую субъективно подходили к категорированию, занижая значимость своих систем или вовсе «забывая» включить их в перечни.

Решение оказалось радикальным. ФСТЭК России совместно с отраслевыми ведомствами (Минздрав, Минцифры, Банком России, Минэнерго) разработала и утвердила типовые отраслевые перечни объектов КИИ (ТОКИИ). Теперь алгоритм действий субъекта предельно конкретен. Первое — сопоставить все свои информационные системы (ИС), информационно-телекоммуникационные сети (ИТКС) и автоматизированные системы управления технологическими процессами (АСУ ТП) с утвержденным перечнем для своей отрасли. Второе — если система есть в перечне, она автоматически подлежит обязательному категорированию по правилам ПП РФ № 127. Никакой «доброй воли» собственника, никаких субъективных оценок.

Для аудитора это означает, что первый шаг проверки — сверить реестр объектов субъекта с отраслевым перечнем. Если найдены расхождения, это грубейшее нарушение, ведущее к административной, а в случае инцидента — и к уголовной ответственности.

Детализированный обзор типовых систем КИИ по отраслям

Закон № 187-ФЗ делит все объекты КИИ на три категории: ИС, ИТКС и АСУ ТП. Однако внутри этих категорий скрывается огромное разнообразие систем, специфичных для каждой отрасли. Рассмотрим ключевые сферы; полный перечень ТОКИИ, содержащий 397 категорий по 11 отраслям, указан в Распоряжении Правительства Российской Федерации от 26 февраля 2026 г. № 360-р.

Топливно-энергетический комплекс (ТЭК) и атомная энергетика

Это, пожалуй, самая насыщенная АСУ ТП сфера. Любая остановка процесса здесь грозит техногенной катастрофой и колоссальным экономическим ущербом. Среди АСУ ТП выделяются системы противоаварийной автоматики (ПА), которые мгновенно реагируют на отклонения параметров, предотвращая аварии на гидро- и атомных станциях, а также на опасных производственных объектах. АСУ ТП электростанций и подстанций управляют генерацией, распределением и режимами работы энергоблоков. Системы диспетчерского управления (SCADA) обеспечивают централизованный сбор данных и управление рассредоточенными объектами — нефте- и газопроводами, ЛЭП, магистральными сетями.

В блоке информационных систем критичны автоматизированные системы коммерческого учёта электроэнергии (АСКУЭ), обеспечивающие учет на оптовом и розничном рынках энергии: сбой здесь ведёт к финансовым потерям и спорам. Системы управления ремонтами и эксплуатацией (ТОиР) определяют своевременность обслуживания критически важного оборудования, что напрямую влияет на надежность энергоснабжения.

Транспорт

Объекты КИИ здесь обеспечивают безопасность миллиардов пассажиро-километров и тонн грузов. В сегменте АСУ ТП ключевыми являются системы управления движением поездов на ЖД, включая управление стрелочными переводами, системы интервального регулирования и автоматическую локомотивную сигнализацию. В авиации это автоматизированные системы УВД, радиолокации, навигации и связи. На водном транспорте — системы диспетчеризации, управление шлюзами, движением судов в акваториях портов, навигационное оборудование.

Отдельного внимания заслуживают ИТКС: сети связи и передачи данных для диспетчерской и технологической радиосвязи. Отказ этих сетей парализует координацию движения. Среди ИС критичны системы бронирования и продажи билетов — их отказ в часы пик приводит к коллапсу на вокзалах и в аэропортах, а также интеллектуальные транспортные системы (ИТС) городов, управляющие светофорами, мониторингом трафика, дорожными знаками и информационными табло.

Связь и телекоммуникации

Это основа цифрового суверенитета и взаимодействия всех остальных отраслей. ИТКС включают сети связи общего пользования: магистральные сети, сети доступа, инфраструктуру операторов фиксированной и мобильной связи, включая как транспортные сети, так и сети сигнализации.

В категории специализированных систем и АСУ ТП выделяются системы управления сетями (NMS/OSS) — программное обеспечение для конфигурации, мониторинга и устранения неполадок. Системы сигнализации (SS7, SIP, DRA) обеспечивают маршрутизацию вызовов, передачу SMS и платежей; компрометация этих систем позволяет перехватывать трафик. Системы идентификации абонентов (HLR/HSS, AuC) хранят профили абонентов, ключи аутентификации и определяют их местоположение в сети.

Здравоохранение

Здесь на первый план выходит социальная значимость и обработка чувствительных персональных данных категории «здоровье». Медицинские информационные системы (МИС) стационаров и поликлиник управляют потоками пациентов, электронными медицинскими картами, листами ожидания, льготным лекарственным обеспечением. Единая государственная информационная система в сфере здравоохранения (ЕГИСЗ) аккумулирует данные со всех регионов, включая сведения об оказанной медпомощи, лекарствах и медицинских работниках. Информационные системы аптечных сетей с выручкой свыше 5 млрд руб. обеспечивают учет движения жизненно важных и льготных лекарств, взаимодействие с системой маркировки «Честный знак».

Финансовый рынок и банковская сфера

Здесь ключевая задача — обеспечение устойчивости финансовой системы и защиты средств клиентов. Автоматизированные банковские системы (АБС) составляют ядро любого банка, управляя счетами, проводками, остатками и клиентскими договорами. Платёжные и процессинговые системы обрабатывают транзакции по картам, переводам, системно значимые платёжные системы (например, СПФС, карта «Мир»). Системы дистанционного банковского обслуживания (ДБО) обслуживают интернет-банк и мобильный банк для юридических и физических лиц. Системы управления рисками и противодействия мошенничеству (Anti-Fraud) анализируют транзакции в реальном времени, блокируя подозрительные операции.

Промышленность (оборонная, химическая, металлургическая)

В АСУ ТП критичны системы управления непрерывными производствами в химии и металлургии — поддержание температурных режимов, давления, дозировка реагентов. Выход параметров за допустимые пределы грозит взрывом или выбросом опасных веществ. Системы числового программного управления (ЧПУ) на станках особенно критичны в оборонно-промышленном комплексе (ОПК), где точность обработки определяет качество и безопасность продукции. В блоке ИС выделяются системы управления производственными процессами (MES), обеспечивающие оперативное планирование, учёт выработки и контроль качества на цеховом уровне, а также системы управления цепочками поставок (SCM) для критического сырья и комплектующих: сбой в логистике может остановить производство.

Доверенные ПАК: два рубежа обороны и юридические тонкости

Самая болезненная и затратная тема для субъектов КИИ сегодня — это переход на доверенные программно-аппаратные комплексы, регламентированный Постановлением Правительства РФ от 14.11.2023 № 1912. Чтобы не запутаться, нужно чётко разделить два разных требования: закупку новых ПАК (действует с 1 сентября 2024 г.) и эксплуатацию ранее установленных ПАК (переходный период до 2030 г. с возможностью продления).

Что такое доверенный ПАК? Двойной фильтр с 2026 года

С 1 марта 2026 года понятие «доверенный» претерпело кардинальные изменения. Теперь это не просто «собранный в России» компьютер и не просто сертифицированное средство защиты. Это комплекс, прошедший двойной фильтр безопасности.

Первый фильтр — аппаратная часть. Сведения о ПАК или его компонентах должны содержаться в едином реестре российской радиоэлектронной продукции Минпромторга России.

Второй фильтр — программное обеспечение. С 1 марта 2026 года вступает в силу Постановление Правительства РФ № 1931 от 28.11.2025 г., которое создаёт отдельный реестр доверенного российского ПО. Чтобы ПО попало в этот реестр и, следовательно, могло использоваться в составе доверенного ПАК, оно должно соответствовать жёстким критериям. Совместимость требует поддержки не менее двух российских операционных систем из специального перечня или совместимости с отечественным процессором, если ПО используется исключительно в составе конкретного ПАК. Безопасность означает отсутствие телеметрии на зарубежные серверы, наличие системы отслеживания уязвимостей и их устранение в срок до 30 дней. Техподдержка должна быть круглосуточной или в рабочее время на всей территории РФ.

Важно: для ПАК, выполняющих функции средств защиты информации (межсетевые экраны, СКЗИ), по-прежнему обязателен действующий сертификат ФСТЭК России или ФСБ России. Таким образом, «доверенность» ПАК с 2026 года подтверждается одновременным наличием записи в реестре Минпромторга за «железо» и в новом реестре доверенного ПО Минцифры за «софт».

Рубеж 1: Закупка новых ПАК (с 1 сентября 2024 г.)

С 1 сентября 2024 года субъектам КИИ запрещено закупать и использовать на значимых объектах КИИ ПАК, не являющиеся доверенными, если они приобретены после этой даты. Единственное исключение — отсутствие российских доверенных ПАК-аналогов. Но это исключение должно быть официально подтверждено: необходимо получить заключение Минпромторга России об отнесении продукции к промышленной продукции, не имеющей произведённых в Российской Федерации аналогов. Порядок выдачи таких заключений установлен Постановлением Правительства РФ от 20 сентября 2017 г. № 1135.

Таким образом, если компания после 1 сентября 2024 г. хочет купить иностранный ПАК или российский, но не из реестра, для значимого объекта КИИ, она обязана сначала получить заключение Минпромторга об отсутствии аналогов. Без этого документа закупка незаконна и влечёт административные штрафы по ст. 13.12.1 КоАП РФ.

Рубеж 2: Эксплуатация старых ПАК (переходный период до 2030 г. и гибкие условия после)

Для ПАК, которые уже были установлены на значимых объектах до 1 сентября 2024 г., установлен переходный период. Однако в конце 2025 — начале 2026 года регуляторы внесли важные послабления (поправки в ПП РФ № 1912), чтобы избежать остановки критических производств.

Ключевое нововведение: ПАК, однажды признанный доверенным, сохраняет этот статус до конца срока полезного использования, даже если производитель впоследствии утратил статус российского.

Кроме того, разработаны четыре исключения, позволяющие продлить использование недоверенных ПАК за пределы 2030 года при наличии документального подтверждения. Долгосрочный контракт предполагает наличие действующего договора поставки доверенного аналога, истекающего после 2030 года; подтверждением служит копия договора. Срок полезного использования означает, что оборудование должно работать до окончания своего срока полезного использования или до момента списания; требуется технико-экономическое обоснование. Неостанавливаемое производство подразумевает, что ПАК интегрирован в непрерывный технологический процесс и его замена невозможна без остановки производства; подтверждением служат заключение Ростехнадзора и ТЭО. Неотделимость от объекта означает, что ПАК является неотъемлемой частью объекта капитального строительства; подтверждением служит проектная документация. Во всех этих случаях потребуется выполнение дополнительных мер защиты, согласованных с ФСТЭК и ФСБ.

Ответственность: рублем и сроком

Административная ответственность по ст. 13.12.1 КоАП РФ за использование недоверенных ПАК на значимых объектах КИИ или за их закупку без заключения Минпромторга составляет для должностных лиц и ИП от 50 до 100 тыс. рублей, для юридических лиц — от 100 до 200 тыс. рублей. Уголовная ответственность: в случае тяжких последствий кибератаки, произошедшей из-за нарушения требований к ПАК, что будет квалифицировано как нарушение правил эксплуатации средств хранения, обработки или передачи охраняемой компьютерной информации, ответственность для ответственных лиц может достигать до 6 лет лишения свободы (ч. 3 ст. 274.1 УК РФ).

Чек-лист аудитора: 5 шагов проверки готовности к 2030 году

Чтобы оценить реальное положение дел у субъекта КИИ, рекомендую придерживаться следующего детального алгоритма.

Шаг 1. Верификация реестра объектов КИИ. Сверить имеющийся у субъекта перечень объектов с новыми отраслевыми перечнями ТОКИИ. Выявить «скрытые» или неучтённые объекты. Особое внимание уделить системам, которые могли появиться или измениться за последние 2–3 года.

Шаг 2. Аудит категорирования. Проверить, проводилось ли категорирование по новым правилам с учётом наихудших сценариев, взаимозависимости и отраслевых критериев — социальной значимости для здравоохранения, экологической для промышленности и т.д. Если категорирование проводилось формально 2–3 года назад, результаты, скорее всего, неактуальны.

Шаг 3. Инвентаризация ПАК на значимых объектах. Составить полную карту всех ПАК, эксплуатируемых на значимых объектах КИИ, с разделением по дате приобретения до или после 01.09.2024 и статусу доверенности. Для ПАК, приобретённых после 01.09.2024 и не являющихся доверенными, проверить наличие заключения Минпромторга об отсутствии аналогов (ПП РФ № 1135). Для ПАК, приобретённых до 01.09.2024, оценить их соответствие критериям реестров: российское ПО, наличие сертификатов ФСТЭК для средств защиты.

Шаг 4. Оценка плана перехода (дорожной карты). Есть ли у компании утверждённый документ с планом замены недоверенных ПАК до 2030 года? Реалистичны ли сроки и бюджеты? Учтены ли риски срыва поставок, особенно для уникального технологического оборудования с длительным циклом производства? Назначен ли ответственный за реализацию плана? Особое внимание следует уделить ПАК, которые утратили статус доверенных после ввода в эксплуатацию. Согласно поправкам в ПП РФ № 1912, такой комплекс сохраняет статус доверенного только до конца установленного срока полезного использования (СПИ). Если до истечения СПИ осталось менее 2–3 лет, а замена на новый доверенный ПАК требует длительного цикла — проектирование, закупка, монтаж, пусконаладка, согласование с регуляторами, — компания рискует оказаться в ситуации, когда старый ПАК уже «недоверен», а новый ещё не внедрён.

Шаг 5. Документирование исключений для эксплуатации после 2030 года. Если компания планирует оставить некоторые недоверенные ПАК после 2030 года, проверить наличие исчерпывающего пакета документов, обосновывающих невозможность замены в соответствии с новыми критериями Минпромторга: заключения Ростехнадзора, ТЭО, проектная документация. Отсутствие таких документов — грубейшее нарушение.

Особый случай — ПАК, утратившие статус доверенного до окончания СПИ. Если ПАК был признан доверенным при вводе, но впоследствии производитель исключён из реестра Минпромторга или ПО утратило запись в реестре доверенного ПО (ПП РФ № 1931), такой ПАК может эксплуатироваться до завершения СПИ. Однако аудитор обязан проверить:

1. Достаточность оставшегося СПИ для плановой замены на новый доверенный ПАК. Если СПИ истекает после 2030 года, но замена по плану запланирована на более поздний срок — это нарушение требований о своевременности перехода.
2. Наличие утвержденного графика замены, синхронизированного с датой окончания СПИ. Отсутствие такого графика или его нереалистичность (например, замена назначена на последний месяц СПИ без учёта рисков срыва поставок) должно квалифицироваться как высокий риск нарушения.
3. Обоснование невозможности ускоренной замены, если оставшийся СПИ менее 3 лет. В этом случае требуется либо:

• получение индивидуального разрешения ФСТЭК на продление эксплуатации сверх СПИ (с предоставлением ТЭО и заключения о невозможности остановки процесса),
• либо форсирование замены с корректировкой дорожной карты и бюджета.

Итого

Новый этап регулирования КИИ окончательно сместил фокус с формального выполнения «бумажных» требований на реальную технологическую независимость и безопасность. Для аудиторов это время повышенной ответственности и востребованности: теперь проверяется не только наличие политик и инструкций, но и соответствие ИТ-ландшафта жестким отраслевым перечням, а также готовность бизнеса к тотальному обновлению парка оборудования до 2030 года — с учетом правил закупки, действующих уже сегодня.

Компании, которые уже сейчас проведут полную инвентаризацию, актуализируют категорирование, получат (где необходимо) заключения Минпромторга об отсутствии аналогов и сформируют реалистичную дорожную карту перехода на доверенные ПАК, встретят 2030 год во всеоружии. Остальным грозят не только многомиллионные штрафы, но и риск остановки критических производств и даже уголовные дела. От оценок и обсуждений пора переходить к конкретным шагам — время на стороне тех, кто действует без промедления, но без спешки, выверенно и по плану.