Безопасность КИИ

субъекты критической информационной инфраструктуры - государственные органы, государственные учреждения, российские юридические лица и (или) индивидуальные предприниматели, которым на праве собственности, аренды или на ином законном основании принадлежат информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления, функционирующие в сфере здравоохранения, науки, транспорта, связи, энергетики, банковской сфере и иных сферах финансового рынка, топливно-энергетического комплекса, в области атомной энергии, оборонной, ракетно-космической, горнодобывающей, металлургической и химической промышленности, российские юридические лица и (или) индивидуальные предприниматели, которые обеспечивают взаимодействие указанных систем или сетей.

Что это значит. Отрасли перечислены поимённо, и «ИТ» среди них нет. Компания попадает в круг не по тому, что она делает с данными, а по отрасли, в которой работает система. Отдельная строка — «обеспечивают взаимодействие указанных систем или сетей»: ею закон дотягивается до провайдера, который связывает чужие значимые объекты.

значимый объект критической информационной инфраструктуры - объект критической информационной инфраструктуры, которому присвоена одна из категорий значимости и который включен в реестр значимых объектов критической информационной инфраструктуры;

Что это значит. Разделение, на котором держится всё остальное. Быть субъектом КИИ — это одни обязанности (сообщать об инцидентах, содействовать, беречь установленные средства). Владеть ЗНАЧИМЫМ объектом — совсем другие: выполнять требования ФСТЭК, пускать проверяющих, реагировать по утверждённому порядку. Значимость присваивается категорированием, а не наступает сама.

Субъекты критической информационной инфраструктуры обязаны: 1) незамедлительно информировать о компьютерных инцидентах федеральный орган исполнительной власти, уполномоченный в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации

Что это значит. Минимум, который не зависит ни от категории, ни от реестра: сообщать об инцидентах немедленно, содействовать в разборе и беречь установленные средства ГосСОПКА. Требования к закупкам и к софту сюда не входят.

Что это значит. Прочитан целиком. Слова «отечественный» и «преимущественный» в тексте не встречаются ни разу; «российский» встречается только в определении субъекта («российские юридические лица») и в названиях органов. Обязанность про иностранное ПО введена указом Президента от 30.03.2022 № 166 — он в навигаторе отдельным актом. Это не придирка: искать норму в 187-ФЗ можно долго, а её там нет.