Откуда взялась дата и что она значит
Базовый закон о безопасности КИИ — 187-ФЗ — работает с 2018 года: категорирование объектов, требования защищённости, ГосСОПКА. Дедлайн перехода на отечественные решения на значимых объектах переносился и в итоге закреплён на 1 января 2028 года: с этой даты вводить новые зарубежные ПАК на ЗО КИИ нельзя, а иностранное ПО применяется в ограниченном режиме — по исключениям и планам замещения, действующим с 1 сентября 2025 года по 58-ФЗ. Обсуждавшиеся инициативы о продлении сроков до 2031–2036 годов — предложения, не принятые нормативно; планировать следует от действующей даты.
| Требование | Срок | Основание |
|---|---|---|
| Иностранное ПО на ЗО КИИ — только по исключениям/планам замещения | с 01.09.2025 | 58-ФЗ от 07.04.2025 |
| Запрет ввода новых зарубежных ПАК на ЗО КИИ | с 01.01.2028 | 187-ФЗ в редакции 58-ФЗ |
| Ответственность за нарушение правил эксплуатации КИИ | с 20.04.2026 | 76-ФЗ, 77-ФЗ от 09.04.2026 |
| Категорирование объектов, обязанности субъекта КИИ | действует | 187-ФЗ |
Ответственность: что изменилось в 2026 году
Законы 76-ФЗ и 77-ФЗ от 9 апреля 2026 года (в силе с 20.04.2026) ввели административную ответственность за нарушение правил эксплуатации объектов КИИ: для юридических лиц — штрафы от 100 до 500 тысяч рублей, для должностных — от 10 до 50 тысяч, с годичным сроком давности. Ранее существовавшие составы сохраняются: до 500 тысяч рублей для юрлиц по составам о нарушении требований к защите КИИ и уголовная ответственность за преступления в сфере КИИ. Контроль усиливается: в 2025 году ФСТЭК провела более 700 проверок значимых объектов — вдвое больше, чем годом ранее, с примерно 1200 выявленными нарушениями.
Дорожная карта субъекта КИИ на 2027 год
Шаг 1. Реестр объектов и их статусы
Список объектов КИИ, их категории, значимые объекты с определённым уровнем защищённости. Распространённая проблема — просроченные сроки категорирования: в 2025 году более 1700 объектов нарушили сроки подачи сведений. Если реестр неполон — это первый пункт плана.
Шаг 2. Инвентаризация иностранного ПО на ЗО КИИ
По каждому значимому объекту: какие зарубежные решения работают, какие попадают под исключения, какие требуют замены. Результат — матрица «система — статус — план».
Шаг 3. Планы замещения
Для систем без исключений — план миграции на отечественные решения с привязкой к дате 01.01.2028: приоритет системам с долгими циклами внедрения (АСУ ТП, отраслевые комплексы), затем стандартному ИТ-парку. Ориентиры по классам решений — в материалах о СЗИ нового поколения и on-premise LLM для ИИ-компонентов.
Шаг 4. Защищённость и взаимодействие
Меры защиты по уровню защищённости объекта, подключение к ГосСОПКА в установленных случаях, отработка инцидентных процедур. Приказ ФСТЭК № 117 задаёт процессную модель для систем госорганов — логика процесса полезна и остальным субъектам КИИ.
Шаг 5. Документы и доказательства
Категорирование, модели угроз, акты, планы замещения, протоколы проверок — в порядке и под руками. Практика проверок: спрашивают документы и факты, а не намерения.
Что мешает субъектам КИИ
- Нет владельца процесса. КИИ размазана по ИТ, АСУ и безопасности; без координатора дедлайн встречают по частям.
- Длинные циклы АСУ ТП. Замена промышленных комплексов занимает годы; начинать в 2027-м — уже впритык.
- Иллюзия продлений. Ожидание «ещё перенесут» — не план; от действующей даты работают те, кто успевает.
- Замещение ради галочки. Формальная замена без проверки функциональности создаёт операционные риски хуже исходных. Каждый этап миграции — с приёмочными испытаниями.
Проверочный чек-лист готовности к 2028 году
- [ ] Все объекты КИИ закатегорированы, сведения поданы в срок.
- [ ] ЗО КИИ определены, уровни защищённости присвоены.
- [ ] Иностранное ПО на ЗО КИИ — по исключениям или в планах замещения.
- [ ] Новые закупки зарубежных ПАК для ЗО КИИ прекращены.
- [ ] Меры защиты внедрены по уровням защищённости.
- [ ] Инцидентные процедуры и взаимодействие с ГосСОПКА отработаны.
- [ ] Документация собрана и актуальна.
Субъектам КИИ и обслуживающим организациям — заявка: НЬЮ-ССТ помогает с категорированием, оценкой защищённости и планами замещения под дедлайн 2028 года.