Импортозамещение: обязательно ли включать ПО собственной разработки, которое планируется использовать на значимых объектах КИИ, в Реестр российского ПО?

2025 год

Ответ: требования по использованию на значимых объектах критической информационной инфраструктуры (далее – КИИ) программного обеспечения (далее – ПО), сведения о котором включены в единый реестр российских программ для электронных вычислительных машин и баз данных (далее – Реестр российского ПО), установлены п. 5 ч. 3 ст. 9 Федерального закона от 26.06.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации». Требования вступили в силу 01.09.2025.
Изменения, вносимые Федеральным законом от 31.07.2025 № 325-ФЗ «О внесении изменений в отдельные законодательные акты Российской Федерации» (далее – 325-ФЗ) в ст. 2 Федерального закона от 07.04.2025 № 58-ФЗ «О внесении изменений в Федеральный закон «О безопасности критической информационной инфраструктуры Российской Федерации», затрагивают процесс исполнения субъектом КИИ обязанности по применению на значимых объектах КИИ ПО, включенного в Реестр российского ПО.
В соответствии с 325-ФЗ обязанность субъекта КИИ по использованию ПО, включенного в Реестр российского ПО, считается исполненной, если на значимом объекте КИИ используется ПО, сведения о котором включены в перечень российских программ для электронных вычислительных машин и баз данных, разработанных и используемых для собственных нужд российскими юридическими лицами (далее – Перечень ПО для собственных нужд). Данные изменения вступают в силу с 01.03.2026.
Таким образом, субъекту КИИ необходимо использовать на значимых объектах КИИ либо ПО, включенное в Реестр российского ПО, либо, с 01.03.2026, – ПО собственной разработки, путем включения его в Перечень ПО для собственных нужд в рамках установленной процедуры.