Импортозамещение 10 пунктов О 20 августа 2026, 16:37 400

Российское ПО для КИИ: 10 шагов для бизнеса

#безопасность #внедряем it #программное обеспечение #цифровизация

Алла Чернова

Аудит и финансовый контроль

Автор

Переход объектов КИИ (критической информационной инфраструктуры) на российские решения нельзя планировать по одной общей дате. В 2026 году отдельно проверяем требования к программам, собственным разработкам и программно-аппаратным комплексам. Сначала определяем правовой статус объекта, затем выясняем, какие нормы относятся именно к нему, и только после этого утверждаем бюджет и календарь миграции.

Регулирование критической информационной инфраструктуры за последние два года заметно изменилось. С 1 сентября 2025 года применяется обновленная редакция Федерального закона от 26.07.2017 № 187-ФЗ с учетом Федерального закона от 07.04.2025 № 58-ФЗ. В 2026 году работают новые механизмы учета российского ПО, собственных программ и доверенных решений. Поэтому старый план импортозамещения лучше не продлевать автоматически. Его нужно заново сопоставить с действующими нормами и отраслевыми требованиями.

Выясняем, распространяется ли закон о КИИ на наш бизнес

Иллюстрация

Начинаем с правового статуса организации, а не с перечня установленного софта. Федеральный закон № 187-ФЗ распространяется на субъектов, которые владеют либо на ином законном основании используют информационные системы, сети и автоматизированные системы управления в установленных законом сферах. К ним относятся, в частности, транспорт, связь, энергетика, здравоохранение, финансовый рынок, наука, атомная отрасль, топливно-энергетический комплекс и отдельные отрасли промышленности. Наличие серверной, ERP или крупной корпоративной сети само по себе еще не означает, что организация является субъектом КИИ. Проверять нужно назначение системы и процессы, которые от нее зависят. После этого определяем, входит ли конкретная система в состав объектов КИИ.

! Сопоставляем фактическую деятельность с перечнем сфер из Федерального закона № 187-ФЗ. Отдельно описываем информационные системы, сети и автоматизированные системы управления. Закрепляем результат проверки внутренним документом.

X Ошибки: Относить к КИИ любое дорогое ИТ-оборудование. Проверять статус только по кодам ОКВЭД. Не анализировать системы, которые обеспечивают отдельное критически важное направление деятельности.

Пересматриваем результаты категорирования

Иллюстрация

Дальше проверяем, правильно ли определена категория значимости объекта. После изменений 2025 года роль отраслевого регулирования стала выше: Правительство устанавливает типовые отраслевые объекты и особенности их категорирования. В 2026 году такие акты уже действуют для ряда сфер. Поэтому старый акт комиссии следует сопоставить не только с текущими характеристиками системы, но и с новыми требованиями своей отрасли. При этом возраст документа сам по себе не обязывает автоматически проводить категорирование заново. Основанием служат изменения объекта, показателей значимости, законодательства или иные предусмотренные законом обстоятельства.

! Находим действующие правила именно для своей отрасли. Сверяем текущие параметры объекта с ранее направленными в ФСТЭК сведениями. При наличии оснований оформляем пересмотр категории и обновляем документы.

X Ошибки: Считать акт категорирования бессрочным при любых изменениях системы. Проводить повторную процедуру только потому, что прошло несколько лет. Использовать критерии, установленные для другой отрасли.

Разделяем требования к ПО и программно-аппаратным комплексам

Иллюстрация

В законодательстве это разные категории, поэтому график для них строим отдельно. Российское программное обеспечение регулируется нормами Федерального закона № 187-ФЗ и связанных с ним актов. Программно-аппаратный комплекс объединяет программную часть с техническими средствами и оборудованием. Для доверенных ПАК действует самостоятельный порядок, установленный постановлением Правительства РФ от 14.11.2023 № 1912. Из этого следует важный практический вывод: срок, установленный для доверенных ПАК, нельзя автоматически применять к каждой программе на значимом объекте. Сначала классифицируем решение, а затем ищем норму, которая регулирует именно этот класс.

! Делим инвентаризацию минимум на две группы: программное обеспечение и ПАК. Для каждой позиции указываем применимый нормативный акт. Срок замены устанавливаем только после правовой классификации решения.

X Ошибки: Называть ПАК любую программу, которая работает на сервере. Использовать единую дату импортозамещения для всех ИТ-активов. Смешивать требования постановления № 1912 с общими требованиями к российскому ПО.

Проверяем собственное ПО по новым правилам

Иллюстрация

В 2026 году внутренние разработки уже нельзя оценивать только по принципу «создали сами, значит российское». Для них появился отдельный правовой механизм. Федеральный закон от 31.07.2025 № 325-ФЗ предусмотрел перечень российских программ и баз данных, которые юридические лица разрабатывают и используют для собственных нужд. С 1 марта 2026 года порядок формирования этого перечня регулирует постановление Правительства РФ № 1936. Покупное программное обеспечение, в свою очередь, проверяем по единому реестру российского ПО. Следовательно, статус каждого решения должен подтверждаться документально.

! Разделяем покупные и собственные программы. Покупные решения сверяем с единым реестром, для внутренних разработок проверяем возможность включения в специальный перечень. Подтверждающие сведения сохраняем вместе с карточкой программного продукта.

X Ошибки: Считать любую собственную разработку автоматически соответствующей требованиям. Подтверждать российское происхождение только договором с программистами. Не проверять реестровый статус после обновления или смены правообладателя.

Планируем замену доверенных ПАК до 2030 года

Иллюстрация

Для программно-аппаратных комплексов законодатель установил конкретный ориентир. Постановление Правительства РФ № 1912 предусматривает переход значимых объектов КИИ на преимущественное использование доверенных ПАК до 1 января 2030 года. К 31 декабря 2029 года их доля должна достигнуть 100 процентов от учитываемых комплексов. Кроме того, с 1 сентября 2024 года при наличии подходящего российского доверенного аналога нельзя приобретать для значимого объекта новый недоверенный ПАК. Если аналога нет, это обстоятельство подтверждаем в предусмотренном государством порядке. Одного внутреннего заключения технической службы для такого решения недостаточно.

! Проверяем будущую закупку до подписания договора. Сначала ищем доверенный российский аналог с требуемыми характеристиками. Если подходящего решения нет, оформляем предусмотренное нормативными актами подтверждение.

X Ошибки: Сначала покупать оборудование, а потом проверять его статус. Подтверждать отсутствие российского аналога только коммерческой перепиской. Откладывать основную часть замены ПАК на конец 2029 года.

Оформляем официальный план перехода

Иллюстрация

Для значимых объектов КИИ недостаточно внутренней дорожной карты ИТ-службы. Постановление № 1912 содержит специальную форму плана перехода на доверенные программно-аппаратные комплексы. Она приведена в приложении № 3 к Правилам. В документ заносим сведения о субъекте КИИ, значимых объектах, используемых комплексах, плановой доле доверенных решений и расходах. План утверждает руководитель, а в предусмотренных случаях требуется дополнительное согласование. Для объектов, которые получили категорию значимости после 1 сентября 2024 года, действует отдельный срок подготовки документа, связанный с уведомлением о внесении объекта в реестр.

! Берем форму непосредственно из приложения № 3 к постановлению № 1912. Включаем в нее сведения по всем соответствующим значимым объектам. После утверждения направляем копию плана в установленный Правилами срок.

X Ошибки: Подменять нормативную форму обычным внутренним графиком. Не включать в план отдельные зарегистрированные объекты. Указывать на конец 2029 года показатель доверенных ПАК ниже установленного уровня.

Готовим ежегодный отчет о выполнении плана

Иллюстрация

В 2026 году отчетность по доверенным ПАК уже является действующей процедурой. Начиная с этого года субъекты КИИ ежегодно представляют сведения о выполнении плана за предыдущий календарный год. Крайний срок для субъекта, 1 марта. Для отчета используется форма из приложения № 5 к постановлению № 1912. Далее сведения консолидируются на отраслевом уровне: уполномоченные органы направляют данные до 1 апреля, после чего формируется сводная информация для Правительства. Значит, по результатам 2026 года очередной отчет субъекту КИИ нужно подготовить к 1 марта 2027 года.

! Ведем фактические показатели в течение всего года. Перед отчетностью сверяем их с утвержденным планом и первичными документами. Готовим форму приложения № 5 заранее и направляем ее без ожидания отдельного запроса.

X Ошибки: Ждать письма от регулятора перед подготовкой отчета. Указывать фактические показатели без сверки с утвержденным планом. Считать срок 1 марта ориентировочной внутренней датой.

Отделяем действующие сроки от проектов нормативных актов

Иллюстрация

Особенно внимательно проверяем даты, которые появляются в публикациях и проектах документов. В первоначальных материалах по импортозамещению обсуждались разные горизонты перехода, в том числе период до 2036 года. Но проект и вступивший в силу нормативный акт имеют разный юридический статус. Для доверенных ПАК действует конкретное постановление № 1912 с ориентиром на 1 января 2030 года. Для российского ПО сроки определяем по действующим нормам и официальным отраслевым документам. Пока проект не утвержден, не опубликован и не вступил в силу, превращать предложенную в нем дату в обязательный дедлайн нельзя.

! У каждой даты фиксируем источник и юридический статус документа. Проекты учитываем как возможное изменение, но не как обязательное требование. Рабочий календарь корректируем после официального принятия нормы.

X Ошибки: Строить обязательный график по сообщениям СМИ. Переносить действующие мероприятия из-за еще не принятого проекта. Использовать 2036 год как универсальную дату для всей КИИ.

Разбираемся в новых перечнях ПО

Иллюстрация

С марта 2026 года одного упоминания «реестр российского ПО» уже недостаточно для точной проверки. Постановление № 1936 регулирует перечень программ для собственных нужд российских юридических лиц. Постановление № 1931 устанавливает порядок ведения перечня доверенного российского ПО. Одновременно постановление № 1937 меняет правила работы с реестровыми сведениями и предусматривает переходные даты для отдельных классов программ. Например, часть требований применяется к офисному ПО с 1 сентября 2026 года, к отдельным инфраструктурным программам с 1 января 2027 года, а к некоторым промышленным решениям позднее. Эти даты относятся к реестровому регулированию, а не к общей обязательной замене всех систем КИИ.

! Проверяем, к какому перечню относится конкретный продукт. Определяем его программный класс и применимую дату новых требований. Не смешиваем реестровые сроки с календарем миграции самого объекта.

X Ошибки: Называть разные перечни одним реестром. Считать переходную дату для отдельного класса ПО общим дедлайном импортозамещения. Проверять только разработчика вместо конкретного продукта и его записи в реестре.

Формируем единое досье по каждому объекту

Иллюстрация

К проверке лучше готовить не отдельные справки, а полную историю выполнения требований. В досье включаем документы по категорированию, сведения о значимом объекте, инвентаризацию программ и ПАК, подтверждения нахождения продуктов в реестрах и материалы по собственным разработкам. Здесь же храним утвержденный план перехода на доверенные ПАК и ежегодные отчеты о его исполнении. Если используется недоверенное решение из-за отсутствия отечественного аналога, прилагаем документ, который подтверждает это основание. Ответственных за актуальность сведений целесообразно закрепить внутренним приказом, разделив функции ИТ, информационной безопасности, закупок и юридического блока.

! Собираем документы по каждому объекту в одном месте. Связываем каждое исключение или переходное решение с конкретной нормой и подтверждением. Актуализируем досье после закупок, модернизации, списания оборудования и пересмотра категории.

X Ошибки: Хранить юридические и технические документы отдельно без связи между ними. Не оформлять основание для временного использования неподходящего решения. Начинать собирать доказательства только после получения требования контролирующего органа.

Переход КИИ на российское ПО в 2026 году представляет собой не одну закупочную кампанию, а последовательную юридическую и техническую работу. Для одного объекта могут одновременно действовать правила категорирования, требования к российскому ПО, отдельный порядок по собственным разработкам и график перехода на доверенные ПАК. Поэтому безопаснее двигаться от правового статуса к инвентаризации, затем к официальному плану и только после этого к закупкам. Такой порядок уменьшает риск вложить деньги в решение, которое не закрывает требования закона.

Официальные документы и формы: Федеральный закон от 07.04.2025 № 58-ФЗ, Федеральный закон от 31.07.2025 № 325-ФЗ, постановление Правительства РФ от 14.11.2023 № 1912, постановления Правительства РФ № 1931, № 1936 и № 1937. Формы плана и отчета содержатся соответственно в приложениях № 3 и № 5 к постановлению № 1912.