Субъекты КИИ по Закону № 187-ФЗ — госорганы, госучреждения и российские юрлица, чьи системы работают в сферах из закона. Здесь — кто попадает в этот круг, обязанности по защите и информированию об инцидентах, штрафы и порядок действий компании.
Коротко
Субъекты КИИ по Закону № 187-ФЗ — это государственные органы, государственные учреждения и российские юридические лица, которым на праве собственности, аренды или ином законном основании принадлежат информационные системы, информационно-телекоммуникационные сети или автоматизированные системы управления в сферах из п. 8 ст. 2 Закона № 187-ФЗ, а также российские юридические лица, обеспечивающие их взаимодействие. Любой субъект обязан незамедлительно информировать о компьютерных атаках и инцидентах (п. 1 ч. 2 ст. 9 Закона № 187-ФЗ).
Первые шаги субъекта КИИ в частых ситуациях.
ч. 2, 3 ст. 9 Закона № 187-ФЗ
п. 8 ст. 2 Закона № 187-ФЗ
ч. 5 ст. 13 Закона № 187-ФЗ, ч. 4 ст. 198 АПК РФ
п. 4 ч. 3 ст. 9 Закона № 187-ФЗ, ч. 2 ст. 13 Закона № 187-ФЗ
ч. 1, 2 ст. 4.5 КоАП РФ
ч. 5, 9 ст. 7 Закона № 187-ФЗ
Ошибки, из-за которых субъект КИИ получает штраф или теряет время на споре с уполномоченным органом.
Случаи, в которых компании стоит разобрать свой статус и обязанности вместе с адвокатом.
Кто входит в круг субъектов и какие органы с ними взаимодействуют.
| Участник | Обязанность или право | Норма |
|---|---|---|
| Субъект КИИ | Государственный орган, государственное учреждение или российское юридическое лицо, которому принадлежат системы в сферах закона; сам присваивает своим объектам категорию значимости, информирует об атаках и инцидентах, содействует уполномоченному органу | п. 8 ст. 2 Закона № 187-ФЗ, ч. 4 ст. 7 Закона № 187-ФЗ, ч. 2 ст. 9 Закона № 187-ФЗ |
| Российское юридическое лицо, обеспечивающее взаимодействие систем | Признаётся субъектом КИИ, если обеспечивает взаимодействие систем или сетей из перечня закона | п. 8 ст. 2 Закона № 187-ФЗ |
| Субъект КИИ, которому принадлежит значимый объект | Дополнительно соблюдает требования по безопасности, выполняет предписания, создаёт систему безопасности объекта | ч. 3 ст. 9 Закона № 187-ФЗ, ч. 1 ст. 10 Закона № 187-ФЗ |
| Уполномоченный орган по безопасности КИИ | Проверяет сведения о категорировании, ведёт реестр значимых объектов, устанавливает требования к их безопасности, проводит плановые и внеплановые проверки, выдаёт предписания | ч. 3 ст. 6 Закона № 187-ФЗ, ч. 6, 7 ст. 7 Закона № 187-ФЗ, ч. 1, 5 ст. 13 Закона № 187-ФЗ |
| Уполномоченный орган по государственной системе обнаружения атак | Координирует субъектов, проводит оценку безопасности КИИ, утверждает порядок информирования об инцидентах | п. 3, 4, 6 ч. 4 ст. 6 Закона № 187-ФЗ |
| Центральный банк Российской Федерации | Получает информацию об атаках и инцидентах от субъектов банковской сферы и иных сфер финансового рынка | п. 1 ч. 2 ст. 9 Закона № 187-ФЗ |
| Правительство Российской Федерации | Устанавливает показатели критериев значимости, порядок и сроки категорирования, перечни типовых отраслевых объектов | п. 1, 4 ч. 2 ст. 6 Закона № 187-ФЗ |
| Должностное лицо субъекта | Отвечает за правонарушение, совершённое в связи с неисполнением либо ненадлежащим исполнением служебных обязанностей | ст. 2.4 КоАП РФ |
Статус зависит от того, кому принадлежат системы и в какой сфере они работают.
Статус субъекта зависит от основания владения системами и сферы их работы. Субъекты — государственные органы, государственные учреждения, российские юридические лица, которым на праве собственности, аренды или ином законном основании принадлежат информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления в сферах, перечисленных в законе, — от здравоохранения, связи и энергетики до финансового рынка и ряда отраслей промышленности, а также российские юридические лица, обеспечивающие их взаимодействие (п. 8 ст. 2 Закона № 187-ФЗ).
Сами эти системы — объекты КИИ (п. 7 ст. 2 Закона № 187-ФЗ). Категорию значимости — первую, вторую или третью — субъект присваивает своим объектам сам; объекту, который не соответствует критериям значимости и показателям их значений, категория не присваивается (ч. 3, 4 ст. 7 Закона № 187-ФЗ). Объект, которому присвоена одна из категорий значимости и который включён в реестр, становится значимым (п. 3 ст. 2 Закона № 187-ФЗ). От этого зависит объём обязанностей: каждый субъект информирует об атаках и инцидентах и содействует уполномоченному органу (ч. 2 ст. 9 Закона № 187-ФЗ), а владелец значимого объекта дополнительно соблюдает требования к его безопасности и создаёт систему безопасности (ч. 3 ст. 9 Закона № 187-ФЗ, ч. 1 ст. 10 Закона № 187-ФЗ).
Компьютерная атака — целенаправленное воздействие программных и программно-аппаратных средств на объекты ради нарушения их работы или угрозы безопасности информации (п. 4 ст. 2 Закона № 187-ФЗ); компьютерный инцидент — факт нарушения или прекращения функционирования объекта либо нарушения безопасности обрабатываемой им информации (п. 5 ст. 2 Закона № 187-ФЗ).
Определение субъекта критической информационной инфраструктуры.
Комментарий адвоката Вруцкогоадвокат · рег. № 78/8790
Определение держится на двух признаках: основании владения системой и сфере её работы. Аренда и иное законное основание поставлены в один ряд с собственностью, поэтому компания, арендующая систему в одной из названных сфер, тоже субъект. Отдельно названы российские юридические лица, которые обеспечивают взаимодействие таких систем или сетей.
Статьи закона, на которых держится тема, — с названиями из официального текста
Официальный текст: О безопасности критической информационной инфраструктуры Российской Федерации
С какими вопросами приходят компании, которые являются или могут быть субъектами КИИ.
Компания из сферы связи, энергетики или здравоохранения не уверена, относится ли к субъектам: системы арендованы, часть сервисов у подрядчика. Разбираю основание владения и сферу работы каждой системы по п. 8 ст. 2 Закона № 187-ФЗ.
Нужно направить сведения о категории значимости или об отсутствии необходимости её присвоения. Проверяю оценку социальной, политической, экономической, экологической и оборонной значимости объекта (ч. 2 ст. 7 Закона № 187-ФЗ) и расчёт по показателям, которые устанавливает Правительство (п. 1 ч. 2 ст. 6 Закона № 187-ФЗ).
Атака уже случилась: нужно сообщить о ней и ответить на запросы органа. Выстраиваю информирование и содействие по ч. 2 ст. 9 Закона № 187-ФЗ, а для значимого объекта — реагирование и ликвидацию последствий по п. 3 ч. 3 ст. 9 Закона № 187-ФЗ.
Уполномоченный орган провёл плановую или внеплановую проверку и на основании акта выдал предписание по значимому объекту (ч. 1, 5 ст. 13 Закона № 187-ФЗ). Проверяю основание проверки, обоснованность предписания и готовлю заявление в арбитражный суд по ст. 198 АПК РФ, если предписание нарушает права компании.
Компании или руководителю вменяют нарушение требований к защите значимого объекта, порядка информирования или непредставление сведений. Проверяю состав по ст. 13.12.1 КоАП РФ, ст. 19.7.15 КоАП РФ и срок давности по ст. 4.5 КоАП РФ.
Используемое программное обеспечение не включено в единый реестр российских программ. Проверяю, какие требования п. 5 ч. 3 ст. 9 Закона № 187-ФЗ относятся к объекту и какой порядок перехода установлен (п. 7 ч. 2 ст. 6 Закона № 187-ФЗ).
Составы, которые применяются к субъекту, его должностным лицам и работникам.
| Нарушение | Кто отвечает | Санкция | Норма |
|---|---|---|---|
| Нарушение требований к безопасности значимых объектов | Юридическое лицо | Штраф от 50 000 до 100 000 руб. | ч. 1 ст. 13.12.1 КоАП РФ |
| Нарушение требований к безопасности значимых объектов | Должностное лицо | Штраф от 10 000 до 50 000 руб. | ч. 1 ст. 13.12.1 КоАП РФ |
| Нарушение порядка информирования об инцидентах и реагирования на них | Юридическое лицо | Штраф от 100 000 до 500 000 руб. | ч. 2 ст. 13.12.1 КоАП РФ |
| Нарушение порядка информирования об инцидентах и реагирования на них | Должностное лицо | Штраф от 10 000 до 50 000 руб. | ч. 2 ст. 13.12.1 КоАП РФ |
| Непредставление сведений о категорировании или недостоверные сведения | Юридическое лицо | Штраф от 50 000 до 100 000 руб. | ч. 1 ст. 19.7.15 КоАП РФ |
| Нарушение правил эксплуатации и доступа к объектам КИИ | Гражданин | Штраф от 5 000 до 10 000 руб. | ст. 13.12.2 КоАП РФ |
| Нарушение правил эксплуатации, повлёкшее уничтожение, блокирование, модификацию либо копирование информации | Лицо, нарушившее правила | Принудительные работы на срок до пяти лет или лишение свободы на срок до шести лет | ч. 3 ст. 274.1 УК РФ |
Условие для штрафов по ч. 1 ст. 13.12.1 КоАП РФ и ст. 13.12.2 КоАП РФ — отсутствие в действиях признаков уголовно наказуемого деяния; ст. 13.12.2 КоАП РФ применяется за исключением случаев, предусмотренных ст. 13.12.1 КоАП РФ. Примечание к ст. 274.1 УК РФ: за нарушение правил эксплуатации лицо освобождается от уголовной ответственности, если активно способствовало раскрытию и (или) расследованию преступления и в его действиях нет иного состава.
Чем заканчивается работа со статусом субъекта и спором с уполномоченным органом.
адвокат · рег. № 78/8790
Чаще всего ко мне приходят не после атаки, а в момент, когда компания впервые понимает, что её системы могут сделать её субъектом КИИ. Решают здесь не размер бизнеса и не форма собственности, а две вещи из п. 8 ст. 2 Закона № 187-ФЗ: на каком основании компании принадлежат системы и в какой сфере они функционируют. Арендованная система в сфере связи или здравоохранения учитывается так же, как собственная.
Вторая частая ошибка — смешивать субъекта и владельца значимого объекта. Обязанности по ч. 2 ст. 9 Закона № 187-ФЗ есть у любого субъекта, а требования к системе безопасности, предписания и использование программ из реестра касаются значимых объектов (ч. 3 ст. 9 Закона № 187-ФЗ). Поэтому я начинаю с перечня систем и результатов категорирования и только затем оцениваю риски по ст. 13.12.1 КоАП РФ и ст. 19.7.15 КоАП РФ.
Если инцидент уже произошёл, я слежу, чтобы информирование не затягивалось: закон требует делать это незамедлительно. Документы о том, когда и кому сообщено, потом проверяю в первую очередь, если компании вменяют нарушение порядка информирования.
Шаги компании от проверки статуса до спора с уполномоченным органом.
Что понадобится, чтобы подтвердить статус, обязанности и позицию в споре.
| Документ | Зачем | Кто подписывает, форма |
|---|---|---|
| Перечень информационных систем, сетей и автоматизированных систем управления | Определить, есть ли у компании объекты КИИ и в каких сферах они функционируют (п. 7, 8 ст. 2 Закона № 187-ФЗ) | Субъект КИИ; внутренний документ компании |
| Договоры аренды, документы о праве собственности на системы | Подтвердить основание, на котором системы принадлежат компании (п. 8 ст. 2 Закона № 187-ФЗ) | Компания и арендодатель или продавец системы; экземпляры с подписями |
| Сведения о результатах присвоения категории значимости | Сообщить о категории объекта либо об отсутствии необходимости её присвоения (ч. 5 ст. 7 Закона № 187-ФЗ) | Субъект КИИ; письменно, по форме уполномоченного органа, в десятидневный срок со дня решения |
| Документы системы безопасности значимого объекта | Показать, что система создана и функционирует по утверждённым требованиям (ч. 1 ст. 10 Закона № 187-ФЗ) | Субъект КИИ; по требованиям уполномоченного органа |
| Порядок информирования и реагирования на инциденты | Исполнять обязанности по ч. 2 и п. 3 ч. 3 ст. 9 Закона № 187-ФЗ | Руководитель субъекта; внутренний документ |
| Акт проверки и предписание | Основание для исполнения или заявления в арбитражный суд (ч. 1 ст. 198 АПК РФ) | Уполномоченный орган; акт — по утверждённой им форме, предписание — со сроками устранения (ч. 4, 5 ст. 13 Закона № 187-ФЗ) |
Когда субъект действует.
| Действие | Срок | С какого дня | Норма |
|---|---|---|---|
| Информирование об атаке или инциденте | Незамедлительно | Порядок устанавливает уполномоченный орган | п. 1 ч. 2 ст. 9 Закона № 187-ФЗ |
| Направление сведений о результатах категорирования | Десятидневный срок | Со дня принятия субъектом решения | ч. 5 ст. 7 Закона № 187-ФЗ |
| Проверка органом правильности категорирования | Тридцатидневный срок | Со дня получения сведений | ч. 6 ст. 7 Закона № 187-ФЗ |
| Повторное направление возвращённых сведений | Не более чем десятидневный срок | После получения мотивированного обоснования возврата | ч. 9 ст. 7 Закона № 187-ФЗ |
| Плановая проверка значимого объекта | По истечении трёх лет | Со дня внесения объекта в реестр или окончания последней плановой проверки | ч. 2 ст. 13 Закона № 187-ФЗ |
| Оспаривание предписания по значимому объекту КИИ в арбитражном суде | На обращение: три месяца; федеральный закон может установить иной срок. При уважительной причине пропуска суд может восстановить срок обращения по предписанию КИИ | Дата, когда субъект КИИ узнал о нарушении своих прав | ч. 4 ст. 198 АПК РФ |
| Давность административной ответственности | Один год | Со дня совершения правонарушения, при длящемся — со дня обнаружения | ч. 1, 2 ст. 4.5 КоАП РФ |
Сроки самого категорирования и перехода значимых объектов на программы из реестра устанавливает Правительство Российской Федерации (п. 1, 7 ч. 2 ст. 6 Закона № 187-ФЗ). При непредставлении сведений срок называет требование органа (ч. 11 ст. 7 Закона № 187-ФЗ).
Как адвокат ведёт поручение компании
Что компания делает своими силами, а где нужен адвокат.
Перечень систем компания составляет сама; спорный статус, предписание и административное дело я разбираю по документам компании.
Правовая помощь компаниям и предпринимателям — кто отвечает за ваше поручение
№ 78/8790 · адвокат
Поручение ведёт адвокат Константин Александрович Вруцкий лично. При обращении обсуждаем задачу компании, необходимые действия и объём сопровождения, который будет закреплён в соглашении.
Адвокатская тайна действует с первого слова, ещё до заключения соглашения: сведения о компании, её сделках и контрагентах не могут быть раскрыты, а адвоката нельзя допросить о том, что он узнал от доверителя.
Ответы на вопросы, которые задают компании о статусе субъекта КИИ.
Государственные органы, государственные учреждения и российские юридические лица, которым на праве собственности, аренды или ином законном основании принадлежат информационные системы, сети или автоматизированные системы управления в сферах из п. 8 ст. 2 Закона № 187-ФЗ: здравоохранение, наука, транспорт, связь, энергетика, финансовый рынок, топливно-энергетический комплекс, атомная энергия, ряд отраслей промышленности, регистрация прав на недвижимость. Субъекты — и российские юридические лица, обеспечивающие взаимодействие этих систем.
Да, если система функционирует в одной из сфер закона: определение прямо называет право собственности, аренды или иное законное основание (п. 8 ст. 2 Закона № 187-ФЗ). Поэтому договоры аренды оборудования и сетей я проверяю вместе с перечнем систем.
Любой субъект информирует об атаках и инцидентах, содействует уполномоченному органу и соблюдает порядок эксплуатации установленных средств обнаружения атак (ч. 2 ст. 9 Закона № 187-ФЗ). Владелец значимого объекта дополнительно соблюдает требования по безопасности, выполняет предписания, обеспечивает доступ проверяющим и использует программы из реестра (ч. 3 ст. 9 Закона № 187-ФЗ).
В федеральный орган, уполномоченный по государственной системе обнаружения компьютерных атак, — незамедлительно и в установленном им порядке. Субъект банковской сферы и иных сфер финансового рынка информирует также Центральный банк Российской Федерации (п. 1 ч. 2 ст. 9 Закона № 187-ФЗ).
За нарушение требований к безопасности значимых объектов — от 10 000 до 50 000 руб. для должностных лиц и от 50 000 до 100 000 руб. для юридических лиц (ч. 1 ст. 13.12.1 КоАП РФ). По ч. 2 ст. 13.12.1 КоАП РФ нарушение порядка информирования об инцидентах влечёт штраф на юридических лиц от 100 000 до 500 000 руб. Непредставление сведений о категорировании наказывается по ч. 1 ст. 19.7.15 КоАП РФ.
Предписание обязательно к исполнению (п. 2 ч. 3 ст. 9 Закона № 187-ФЗ), но его можно оспорить в арбитражном суде, если оно не соответствует закону и нарушает права компании (ч. 1 ст. 198 АПК РФ). Заявление подаётся в течение трёх месяцев со дня, когда стало известно о нарушении, если иное не установлено федеральным законом; пропущенный по уважительной причине срок суд может восстановить (ч. 4 ст. 198 АПК РФ).
Программное обеспечение, сведения о котором включены в единый реестр российских программ для электронных вычислительных машин и баз данных, либо используемое в отвечающих требованиям о защите информации государственных информационных системах, иных системах госорганов, ГУП и госучреждений (п. 5 ч. 3 ст. 9 Закона № 187-ФЗ). Порядок и сроки перехода устанавливает Правительство (п. 7 ч. 2 ст. 6 Закона № 187-ФЗ).
Письменно, по форме уполномоченного органа, в десятидневный срок со дня принятия решения о категории или об отсутствии необходимости её присвоения (ч. 5 ст. 7 Закона № 187-ФЗ).
Да. По ст. 13.12.2 КоАП РФ нарушение правил эксплуатации или правил доступа к объектам КИИ без признаков уголовно наказуемого деяния влечёт штраф на граждан от 5 000 до 10 000 руб., на должностных лиц — от 10 000 до 50 000 руб. Эта статья не применяется в случаях, предусмотренных ст. 13.12.1 КоАП РФ. Должностное лицо отвечает, если нарушение связано с неисполнением либо ненадлежащим исполнением служебных обязанностей (ст. 2.4 КоАП РФ).
Где нужна помощь адвоката и что прочитать дальше по этому вопросу