Инциденты: обязательно ли разрабатывать план реагирования на компьютерные инциденты и согласовывать его с ФСБ России?

2025 год

Ответ: в соответствии с п. 5 Порядка информирования ФСБ России о компьютерных атаках и компьютерных инцидентах, реагирования на них, принятия мер по ликвидации последствий компьютерных атак, проведенных в отношении значимых объектов критической информационной инфраструктуры (далее – КИИ) Российской Федерации (далее – РФ) и иных информационных ресурсов РФ, принадлежащих органам и организациям, на которые возложены обязанности, предусмотренные ч. 4 ст. 9 Федерального закона от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации», утвержденным приказом ФСБ России от 25.12.2025 № 547 (далее – Порядок информирования) для подготовки к реагированию на компьютерные инциденты и принятию мер по ликвидации последствий компьютерных атак субъектом КИИ, которому на праве собственности, аренды или ином законном основании принадлежит значимый объект КИИ, в срок не превышающий 90 календарных дней со дня включения данного объекта в реестр значимых объектов КИИ РФ разрабатывается план реагирования на компьютерные инциденты и принятия мер по ликвидации последствий компьютерных атак (далее – План реагирования).
Копия утвержденного Плана реагирования в срок, не превышающий 7 календарных дней со дня его утверждения, направляется в Национальный координационный центр по компьютерным инцидентам (далее – НКЦКИ) (п. 6 Порядка информирования).
Если в План реагирования включаются условия по привлечению к реагированию на компьютерные инциденты должностных лиц ФСБ России, то сам План реагирования и изменения в него необходимо будет согласовывать с Центром защиты информации и специальной связи ФСБ России (п. 7 и п. 8 Порядка информирования). Для разработки проекта Плана реагирования необходимо обратиться в НКЦКИ для получения методической поддержки. Необходимость включения условий по привлечению к реагированию на компьютерные инциденты подразделений и должностных лиц ФСБ России нормативно не регламентирована.

• При этом следует отметить, что субъекты КИИ, функционирующие в банковской сфере и в иных сферах финансовых рынков, должны включать в План реагирования условия привлечения подразделений и должностных лиц Банка России к проведению мероприятий по реагированию на компьютерные инциденты. Проект Плана реагирования и проекты о внесении изменений в него разрабатываются субъектом КИИ, который осуществляет деятельность в банковской сфере и в иных сферах финансового рынка, и до их утверждения направляются в Банк России на согласование. После согласования Банком России и утверждения проекта Плана реагирования или проекта о внесении изменений в него руководителем субъекта КИИ План реагирования или проект о внесении изменений в него направляется в НКЦКИ (п. 6 Порядка информирования).