187-ФЗ о безопасности критической информационной инфраструктуры: кратко о главном в Иркутске

187-ФЗ — это Федеральный закон от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации». Он определяет, какие информационные системы считаются критическими, кто за них отвечает, как их оценивают по значимости и как государство контролирует их защиту. Если ваша организация работает в здравоохранении, на транспорте, в связи, энергетике, финансах, ТЭК или промышленности из списка закона, этот документ становится рабочим инструментом ответственных лиц, а не просто строчкой в справочнике.

Ниже закон разобран как путеводитель: как он устроен, что в нём важно для руководителя и ИБ-специалиста, какие подзаконные акты нужны на практике и что изменилось в 2025–2026 годах. Сведения актуальны на октябрь 2026 года и подходят организациям в Иркутске и любом другом регионе: закон федеральный.

Структура закона 187-ФЗ: на каких статьях держится практика

Закон небольшой. Для работы нужно хорошо знать пять-шесть статей, остальное — общие положения и вспомогательные нормы. Вот карта, как ими пользоваться.

Полный текст закона в актуальной редакции есть на consultant.ru. Читать его стоит вместе с таблицей изменений: многие обзоры в интернете написаны до 2025 года и описывают отменённые нормы.

Ключевые понятия закона о КИИ

• Критическая информационная инфраструктура — объекты КИИ и сети электросвязи, используемые для их взаимодействия.
• Объект КИИ — информационная система, информационно-телекоммуникационная сеть или автоматизированная система управления субъекта.
• Субъект КИИ — госорган, госучреждение или российское юрлицо, которому на праве собственности, аренды или ином законном основании принадлежат такие системы в сферах ст. 2, а также российское юрлицо, обеспечивающее их взаимодействие.
• Значимый объект КИИ — объект, которому присвоена одна из трёх категорий значимости.
• Компьютерный инцидент и компьютерная атака — события, о которых нужно сообщать в систему ГосСОПКА в установленные сроки.
• ГосСОПКА — государственная система обнаружения, предупреждения и ликвидации последствий компьютерных атак. Координирует её ФСБ, а приём сообщений идёт через НКЦКИ.

Субъекты и сферы: кого касается 187-ФЗ

Круг субъектов определяет ст. 2. Сфер четырнадцать: здравоохранение, наука, транспорт, связь, энергетика, государственная регистрация прав на недвижимое имущество и сделок с ним, банковская сфера и иные сферы финансового рынка, топливно-энергетический комплекс, атомная энергия, оборонная, ракетно-космическая, горнодобывающая, металлургическая и химическая промышленность.

Что менялось. Сфера регистрации недвижимости появилась в списке после поправки 312-ФЗ от 10.07.2023. А 58-ФЗ с 01.09.2025 исключил из определения субъекта индивидуальных предпринимателей: теперь это только госорганы, госучреждения и российские юрлица. ЖКХ, водоснабжения, образования и торговли в списке нет. Многие ресурсы до сих пор утверждают обратное.

Практический вывод для организации в Иркутске: сначала проверьте форму (юрлицо или госорган), затем сферу, и только потом переходите к системам.

Категорирование по ст. 7: сердце закона

Категорирование — это присвоение объекту КИИ одной из трёх категорий значимости либо вывод, что оснований для неё нет. Подробный порядок раскрыт в Правилах категорирования (постановление Правительства № 127 от 08.02.2018, в редакции от 07.11.2025). В законе заложены принципиальные вещи.

• Категорию присваивает сам субъект с учётом перечней типовых отраслевых объектов и отраслевых особенностей категорирования (ч. 4 ст. 7 в редакции 58-ФЗ).
• Сведения о результатах направляются во ФСТЭК в десятидневный срок со дня решения комиссии. По Правилам это 10 рабочих дней со дня утверждения акта.
• ФСТЭК проверяет порядок категорирования и правильность присвоенной категории в течение 30 дней. При согласии объект вносится в реестр, а субъекту сообщают об этом в течение 10 дней. Если сведения возвращены, недостатки устраняют не более чем за 10 дней.
• В перечни типовых объектов включают только такие типы систем, которые обладают признаком значимости (ч. 13 ст. 7). Перечни пересматривают по предложениям ФСТЭК или ФСБ.
• Если субъект не подал сведения, ФСТЭК направляет требование со сроком исполнения (ч. 11 ст. 7). Дальше — штраф по ст. 19.7.15 КоАП.
• Категорию можно изменить по решению ФСТЭК по итогам проверки, при изменении объекта и при реорганизации (ч. 12 ст. 7).

Два заблуждения нужно развеять отдельно. Во-первых, максимальный годовой срок категорирования и обязанность утвердить и направить во ФСТЭК общий перечень объектов отменены постановлением № 1281 от 19.09.2024. Во-вторых, понятие «критические процессы» исключено постановлением № 1762 от 07.11.2025: систему сопоставляют с типовым объектом из перечня, а не с процессом.

Реестр значимых объектов: ст. 8

Объект, прошедший проверку ФСТЭК, вносится в реестр значимых объектов. С поправок 2025 года в реестре фиксируются наименование объекта, его доменное имя и сетевой адрес, поэтому данные о внешних сервисах приходится готовить заранее. Приказ ФСТЭК № 227 (изменён приказом № 254 от 17.07.2025, действует с 01.09.2025) задаёт порядок ведения и новый формат регистрационного номера.

Для владельца включение в реестр — не формальность. С этого дня отсчитываются сроки, например 90 календарных дней на разработку плана реагирования на инциденты. Изменения сведений об объекте нужно направлять не позднее 20 рабочих дней со дня изменения.

Обязанности субъектов по ст. 9

Статья 9 делится на несколько уровней. Нужно понимать, на каком из них вы находитесь.

Последняя строка таблицы важна для государственного сектора: обязанность перед ГосСОПКА с 01.09.2025 не зависит от того, признана ли организация субъектом КИИ. Обязательства в части российского ПО и ПАС пока ждут постановлений: на 10.10.2026 принятого акта нет, есть проект Минцифры, по которому российское ПО на значимых объектах должно стать обязательным с 01.01.2028. Это именно проект, планировать по нему можно, ссылаться как на норму нельзя.

Поправка 325-ФЗ от 31.07.2025 расширила понятие «реестрового» ПО: обязанность считается выполненной и при использовании ПО из перечня российских программ, которые юрлица создали для собственных нужд. Поправка 265-ФЗ от 26.07.2026 разрешила Правительству до 2030 года устанавливать особенности применения этих требований на территориях, которые определит Президент.

ГосСОПКА и инциденты: сроки и порядок

Порядок информирования установил приказ ФСБ № 547 от 25.12.2025, действующий с 30.01.2026. Он отменил приказы № 282 и № 348, и ссылаться на старые приказы больше нельзя. Основные сроки для НКЦКИ такие.

Для значимых объектов добавляется план реагирования. Его разрабатывают в течение 90 календарных дней с момента включения объекта в реестр и направляют копию в НКЦКИ в течение 7 дней после утверждения. Если план предусматривает привлечение ФСБ, его согласуют с ЦЗИиСС ФСБ, в финансовой сфере — с Банком России. Кроме приказа 547 пакет ФСБ включает приказы № 548 (непрерывное взаимодействие владельцев значимых объектов с ГосСОПКА), № 539, № 553 и № 554 (средства ГосСОПКА).

Государственный контроль: ст. 13

Контроль ведёт ФСТЭК. В том числе проверяется правильность отнесения объектов к значимым. Формат проверок такой.

• Плановая проверка — через 3 года с внесения объекта в реестр или с окончания предыдущей плановой проверки.
• Внеплановая проверка — по истечении срока выполнения предписания, после инцидента с негативными последствиями на значимом объекте, а также по приказу руководителя ФСТЭК по поручению Президента или Правительства либо по требованию прокурора.
• Итог — акт, а при нарушениях предписание с указанием срока.

Помимо ФСТЭК, достоверность сведений о категорировании отслеживают отраслевые регуляторы, в том числе выездом на объекты (п. 19(2) Правил). О нарушениях они сообщают во ФСТЭК в течение 30 дней.

Подзаконные акты по 187-ФЗ: справочная таблица

Важно не перепутать два акта, названия которых похожи. Приказ ФСТЭК № 239 содержит меры защиты значимых объектов, а методики категорирования в нём нет: порядок и показатели находятся в постановлении № 127 и отраслевых особенностях. Указ № 604 от 24.08.2026 к 187-ФЗ не относится, он про физическую безопасность критической инфраструктуры.

Ответственность по закону о КИИ

Если нарушение повлекло уничтожение, блокирование, модификацию или копирование информации, вступает в силу ст. 274.1 УК РФ: наказание зависит от части и доходит до 10 лет лишения свободы при тяжких последствиях. По данным ФСТЭК, в 2025 году составлено 603 протокола, и подавляющая часть из них приходилась на сроки и сведения, а не на технику.

Чем поможет МелданаСБ

Для организаций в Иркутске и по всей стране МелданаСБ берёт на себя подготовку пакета по категорированию: опрос систем, сопоставление с перечнем 360-р, документы комиссии, акт и сведения для ФСТЭК. Работы по информационной безопасности для субъектов КИИ по Указу № 250 разрешены только лицензиатам ФСТЭК, поэтому услугу мы ведём с партнёром-лицензиатом, а наш вклад — организационная и документальная часть.

Частые вопросы

Чтобы закрепить картину, прочитайте разбор того, как устроено категорирование объектов КИИ на практике, посмотрите нормативную базу и задайте вопрос по вашей ситуации через контакты. Если задача шире, подготовим комплект документов по информационной безопасности.