СБ ЗОКИИ: подпадают ли под запрет использования иностранные средства защиты информации союзных государств (Республика Беларусь) на значимых объектах КИИ?

2025 год

Ответ: запрет использования на значимых объектах критической информационной инфраструктуры (далее – КИИ) иностранных средств защиты информации (далее – СрЗИ) и иностранного программного обеспечения (далее – ПО), к которому, в том числе, могут относиться СрЗИ, установлен несколькими нормативными правовыми актами:

1. Подпунктом «б» пункта 1 Указа Президента Российской Федерации от 30.03.2022 № 166 «О мерах по обеспечению технологической независимости и безопасности критической информационной инфраструктуры Российской Федерации» устанавливается запрет использования иностранного ПО (в том числе СрЗИ) на значимых объектах КИИ сферы регулирования Указа. Соответственно запрет распространяется и на СрЗИ союзных государств, используемых на значимых объектах КИИ.
2. Пунктом 6 Указа Президента Российской Федерации от 01.05.2022 № 250 «О дополнительных мерах по обеспечению информационной безопасности Российской Федерации» запрещается использование СрЗИ, «странами происхождения которых являются иностранные государства, совершающие в отношении Российской Федерации, российских юридических лиц и физических лиц недружественные действия, либо производителями которых являются организации, находящиеся под юрисдикцией таких иностранных государств, прямо или косвенно подконтрольные им либо аффилированные с ними». Запрет на использование СрЗИ союзных государств Указом не установлен.
3. Абзацем 2 пункта 29.2 Требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации, утвержденных приказом ФСТЭК России от 25.12.2017 № 239, установлена необходимость оценки соответствия требованиям к уровню доверия для СрЗИ, не имеющих сертификата соответствия. Абзацем 7 и абзацем 5 пунктов 12.2 и 12.3 Требований по безопасности информации, устанавливающих уровни доверия к средствам технической защиты информации и средствам обеспечения безопасности информационных технологий, утвержденных приказом ФСТЭК России от 02.06.2020 № 76, установлено:

• для 5 уровня доверия (2 категория значимости объектов КИИ), сведения об аппаратной платформе СрЗИ должны быть включены в единый реестр российской радиоэлектронной продукции;
• для 4 уровня доверия (1 категория значимости объектов КИИ), сведения о процессорах или микросхемах, выполняющих функции процессоров (микроконтроллеры), элементах памяти, сетевых картах, графических адаптерах аппаратной платформы СрЗИ должны быть включены в единый реестр российской радиоэлектронной продукции.

Таким образом, запрещено использование не имеющих сертификата соответствия аппаратных и аппаратно-программных СрЗИ дружественных государств для обеспечения безопасности объектов КИИ 1 и 2 категорий значимости.