СБ ЗОКИИ: как разграничиваются функции по обеспечению информационной безопасности между субъектом КИИ и оператором ГИС при подключении объекта КИИ к ГИС?

2026 год

Ответ: нормативные правовые акты не содержат жесткого разделения по функциям и ответственности участников информационного взаимодействия на участке интеграции объекта критической информационной инфраструктуры (далее – КИИ) и государственной информационной системы (далее – ГИС), при этом необходимо учитывать общие требования:

1. Субъект КИИ должен реализовать Требования по обеспечению безопасности значимых объектов КИИ, утвержденные приказом ФСТЭК России от 25.12.2017 № 239, в отношении своего значимого объекта КИИ.
2. Субъект КИИ должен реализовать Требования о защите информации, содержащейся в ГИС, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений, утвержденные приказом ФСТЭК России от 11.04.2025 № 117, на участке интеграции объекта КИИ с ГИС.
3. Оператор ГИС должен реализовать Требования о защите информации, содержащейся в ГИС, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений, утвержденные приказом ФСТЭК России от 11.04.2025 № 117 в отношении ГИС, в том числе меры и мероприятия по направлению сетевого информационного взаимодействия с иными системами.
4. Детальное распределение функций и ответственности сторон фиксируются в совместных документах субъекта КИИ и оператора ГИС – например, в соглашении об информационном взаимодействии.
5. Конкретные технические и организационные меры по защите каналов связи, интерфейсов взаимодействия (API), передаваемой информации должны быть определены в техническом задании, модели угроз безопасности информации, проектной и эксплуатационной документации обеих сторон.