24 августа 2026 года Президент Российской Федерации подписал Указ №604 «О мерах по обеспечению безопасности объектов критической инфраструктуры Российской Федерации».
Документ вводит принципиально новый уровень последствий для бизнеса.
Если компания не принимает необходимые меры безопасности, принимает их несвоевременно, нарушает обязательные требования, создаёт угрозу безопасности или нормальному функционированию критически важного объекта либо не обеспечивает своевременное восстановление его работы, в отношении имущества хозяйствующего субъекта может быть введено временное управление.
Причём речь может идти не только о самом объекте, на котором выявлены проблемы.
Указ позволяет распространить временное управление на всё или часть движимого и недвижимого имущества хозяйствующего субъекта.
Под временное управление могут попасть принадлежащие хозяйствующему субъекту ценные бумаги, доли в уставных капиталах российских юридических лиц и имущественные права.
Решение о введении временного управления принимает Правительство Российской Федерации на основании поручения Президента.
По общему правилу временным управляющим становится Росимущество. Фиксированного срока такого управления Указ не устанавливает: его прекращение также осуществляется решением Правительства на основании поручения Президента.
Раньше: «Выполняет ли наша ИБ-служба требования регуляторов?»
«Может ли компания доказать, что критически важные объекты защищены, установленные государством меры реализованы своевременно и эффективно, а в случае инцидента функционирование объекта будет восстановлено?»
Для собственника бизнеса это уже вопрос не только информационной безопасности. Это вопрос устойчивости бизнеса и сохранения управляемости его активами.
Это принципиально важно понимать.
Сам Указ не содержит перечня межсетевых экранов, средств мониторинга, требований к сегментации сети или правил резервного копирования.
Он не заменяет действующее законодательство в области промышленной, транспортной, антитеррористической, информационной и другой безопасности.
Значение имеет не только наличие мероприятия, но и срок его реализации.
«Мы собирались сделать» или «проект находится в плане на следующий год» при наличии установленного срока уже может означать проблему.
Указ говорит не только о требованиях федеральных законов.
Он распространяется также на требования, предусмотренные нормативными правовыми актами РФ и решениями уполномоченных органов.
Для возникновения риска необязательно ждать аварии или фактической остановки производства.
Указ говорит именно о создании угрозы. Отдельно упоминается неэффективность мероприятий по пресечению угроз нападения с использованием БПЛА.
Это одна из наиболее важных норм для ИТ и информационной безопасности.
После инцидента значение имеет не только факт восстановления, но и то, насколько своевременно организация способна вернуть критический объект в работу.
Указ №604 использует широкое понятие критической инфраструктуры. Оно значительно шире одного типа предприятий или одной отрасли.
«Иные объекты, имеющие особо важное значение для обеспечения безопасности, экономической стабильности Российской Федерации и жизнедеятельности населения».
Понятие критической инфраструктуры из Указа №604 нельзя автоматически отождествлять с понятием критической информационной инфраструктуры — КИИ. Но для современного предприятия эти два контура тесно связаны.
Именно поэтому один из важнейших пластов анализа Указа №604 — Федеральный закон №187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации».
Для руководителя предприятия эту систему удобнее воспринимать не как набор отдельных нормативных документов, а как единую последовательность — от критического объекта бизнеса до управленческого риска.
Именно в этой цепочке находится связь между нормативным регулированием КИИ и Указом №604: требования к безопасности информационной инфраструктуры превращаются в вопрос устойчивости критического объекта и, в конечном итоге, в управленческий риск для предприятия.
Федеральный закон №187-ФЗ действует с 2018 года, поэтому у части руководителей возникает ощущение, что вопрос КИИ компания уже когда-то закрыла.
Но регулирование продолжает существенно меняться.
Сегодня перечень охватывает типовые объекты, относящиеся, в частности, к следующим сферам:
Документ, подготовленный несколько лет назад, показывает состояние компании на момент его создания, но не обязательно отражает текущую архитектуру, системы и бизнес-процессы.
Сначала необходимо определить актуальный перечень информационных систем, сетей и автоматизированных систем управления, от которых зависит деятельность организации.
Какие информационные системы, информационно-телекоммуникационные сети и автоматизированные системы управления нашей организации сегодня относятся или могут относиться к объектам КИИ?
Категорирование определяет дальнейший режим защиты объекта.
Федеральный закон №187-ФЗ предусматривает категории значимости объектов КИИ в зависимости от потенциальных последствий нарушения их функционирования.
Оцениваются социальные, экономические, экологические и другие последствия, а также влияние на безопасность государства и иные установленные критерии.
Предприятие могло провести категорирование несколько лет назад. Но с тех пор могли измениться:
«Категорирование проводили?»
«Соответствует ли проведённое категорирование сегодняшней инфраструктуре и действующим требованиям?»
После утверждения перечня типовых отраслевых объектов КИИ вопрос актуальности ранее проведённого категорирования становится особенно важным.
Сведения о значимых объектах КИИ включаются ФСТЭК России в соответствующий реестр.
Но включение в реестр — не окончание работы по КИИ.
Фактически после определения объекта как значимого начинается основная часть обязательств субъекта.
Система безопасности значимого объекта КИИ должна не просто существовать в документах. Она должна обеспечивать выполнение конкретных задач, критически важных и для понимания Указа №604.
Предотвращение неправомерного доступа к информации и других неправомерных воздействий
Недопущение воздействия на технические средства, способного привести к нарушению или прекращению функционирования объекта
Восстановление функционирования значимого объекта КИИ
Взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак — ГосСОПКА
187-ФЗ требует обеспечить возможность восстановления функционирования значимого объекта КИИ.
Указ №604 спустя несколько лет вводит уже потенциальное последствие за невосстановление или несвоевременное восстановление функционирования критической инфраструктуры.
Система безопасности должна позволять вернуть значимый объект КИИ к функционированию после инцидента.
В фокусе оказывается не только наличие процедур, но и фактическая способность вернуть критический объект в работу в требуемые сроки.
Для генерального директора связь здесь очевидна: резервное копирование, отказоустойчивость и восстановление — больше не исключительно технические вопросы ИТ-службы. Они являются частью устойчивости критического бизнеса.
Федеральный закон определяет общую систему требований к безопасности значимых объектов КИИ.
Конкретные требования устанавливает, в частности, приказ ФСТЭК России от 25 декабря 2017 года №239.
Документ действует с учётом внесённых изменений, а предусмотренные им требования сопровождают объект на всём его жизненном цикле.
Приказ предусматривает комплекс организационных и технических мер. Для удобства восприятия их можно объединить в несколько функциональных контуров.
Конкретный состав мер определяется не универсальным списком: он зависит от категории значимости объекта, его архитектуры и актуальных угроз.
Именно здесь возникает одна из наиболее распространённых ошибок: считать, что наличие закупленных средств информационной безопасности само по себе означает выполнение требований.
Наличие NGFW, антивирусной защиты, средств обнаружения атак, SIEM, криптографических средств или другого оборудования само по себе ещё не подтверждает выполнение требований. Приказ №239 предполагает именно систему организационных и технических мер.
Требование считается реализованным не потому, что средство защиты приобретено, а потому, что необходимая мера действительно работает в конкретной инфраструктуре и даёт требуемый результат.
Указ прямо использует понятие неэффективности реализации мероприятий. Поэтому разрыв между формальным наличием средств защиты и их фактической работоспособностью становится уже не только технической проблемой, но и отдельным управленческим риском.
187-ФЗ применяется не только к государственным компаниям. Решающее значение имеют сфера деятельности, статус организации и наличие соответствующих информационных систем, сетей и автоматизированных систем управления. Частная форма собственности сама по себе не исключает применение требований КИИ.
Проведённое несколько лет назад категорирование не обязательно отражает сегодняшнюю инфраструктуру. Если изменились технологические процессы, системы, архитектура или нормативное регулирование, результаты необходимо оценить на актуальность.
Наличие одного или нескольких средств защиты не означает построения системы безопасности значимого объекта. Регулирование распространяется на совокупность организационных и технических мер.
ИБ-подразделение действительно обеспечивает значительную часть работы. Но последствия нарушения функционирования критического объекта возникают уже на уровне бизнеса. Допустимый риск, финансирование, сроки устранения критических разрывов и обеспечение непрерывности относятся к зоне ответственности руководства организации.
Наличие резервной копии и способность восстановить критическую систему в требуемый срок — совершенно разные вещи.
Руководителю важно знать не только, выполняется ли резервирование, но и проверена ли фактическая способность бизнеса восстановиться после серьёзного инцидента.
Все пять заблуждений объединяет одно: подмена фактической готовности формальным признаком — формой собственности, старым документом, наличием оборудования, назначенным ответственным или резервной копией.
187-ФЗ предусматривает обязанности субъектов КИИ в части обнаружения компьютерных атак и инцидентов, реагирования на них, ликвидации последствий и взаимодействия с ГосСОПКА.
Генеральному директору необязательно разбираться в технической архитектуре такого взаимодействия.
Но ему важно понимать, как быстро организация обнаружит проблему и сможет принять решение.
Если атака на критическую систему начнётся сегодня ночью, кто и через сколько минут её обнаружит?
А затем руководителю нужно получить ещё четыре конкретных ответа:
Кто принимает решение о реагировании?
Кто обладает необходимыми полномочиями?
Кто взаимодействует с внешними организациями и государственными системами?
Сколько времени потребуется, чтобы вернуть критическую функцию бизнеса в работу?
Если организация не может дать конкретные ответы на эти вопросы, проблема находится уже не только на уровне информационной безопасности. Это вопрос способности бизнеса управлять критическим инцидентом во времени.
У предприятия может быть значительный комплект документации по КИИ. Но наличие документов само по себе ещё не показывает, соответствует ли им реальная инфраструктура и фактическая работа системы безопасности.
На предприятии могут быть подготовлены все необходимые организационные и проектные материалы.
При оценке безопасности возникает уже другой набор вопросов.
Требования описаны, регламенты утверждены, необходимые меры предусмотрены проектами.
Архитектура соответствует документации, меры функционируют, события контролируются, реагирование и восстановление проверяются на практике.
Именно здесь проходит граница между формальным выполнением требований и реальной устойчивостью объекта.
187-ФЗ предусматривает государственный контроль в области обеспечения безопасности значимых объектов КИИ.
Субъект должен соблюдать установленные требования, выполнять предписания уполномоченных органов и обеспечивать возможность проведения предусмотренных законом контрольных мероприятий.
До появления Указа №604 последствия несоответствия зачастую воспринимались как относительно понятная регуляторная последовательность.
Указ №604 не устанавливает автоматическую процедуру, при которой любое нарушение 187-ФЗ или требований приказа №239 непосредственно приводит к введению временного управления. Такой автоматической связи нет.
Но для руководителя изменилось главное: масштаб потенциального последствия. Вопрос соблюдения требований к безопасности критической инфраструктуры теперь может затрагивать уже не только регуляторную ответственность, но и управляемость активов бизнеса.
Генеральному директору не нужно самостоятельно анализировать логи SIEM, настраивать политики NGFW или проверять конфигурацию сетевого оборудования.
Ему нужны ответы другого уровня — о периметре КИИ, фактическом выполнении требований, способности реагировать и персональной ответственности за устранение разрывов.
Эти вопросы охватывают всю цепочку — от определения периметра КИИ до восстановления критического процесса после инцидента.
Попадает ли наша компания в контур критической инфраструктуры и КИИ?
Все ли потенциальные объекты КИИ выявлены?
Актуально ли их категорирование?
Какие объекты являются значимыми и находятся в реестре?
Какие обязательные требования применимы к каждому объекту?
Выполнены ли требования 187-ФЗ и приказа ФСТЭК №239?
Можем ли мы доказать не наличие, а работоспособность мер защиты?
Способны ли мы своевременно обнаружить атаку?
Способны ли мы локализовать её и продолжить работу?
За какое время мы реально восстановим критический процесс?
Какие нарушения или невыполненные мероприятия существуют сейчас?
Кто персонально отвечает за их устранение и в какие сроки?
Если руководство не получает такую картину в консолидированном и актуальном виде, у предприятия возникает самостоятельный управленческий риск: решения принимаются без понимания реального состояния критической инфраструктуры и существующих разрывов.
Модель безопасности должна строиться не только вокруг предотвращения атаки.
Необходимо исходить из того, что серьёзный инцидент может произойти, а значит организация должна заранее понимать, каким образом будет возвращена в работу критическая функция бизнеса.
Это не один резервный сервер и не одна инструкция. Восстановление — это последовательность взаимосвязанных технических и организационных действий.
Какие функции бизнеса должны быть восстановлены в первую очередь.
Какие системы обеспечивают работу критических процессов.
Какие системы, данные и сервисы необходимы друг другу.
В какой последовательности возвращается инфраструктура.
Сколько реально занимает возврат критического процесса в работу.
Какие данные необходимо резервировать?
Где находятся резервные копии и как обеспечивается их защищённость?
Какие сотрудники должны участвовать в восстановлении?
Какие внешние подрядчики необходимы и доступны ли они при инциденте?
Проверялся ли этот сценарий восстановления на практике?
Определены действия, ответственные, резервирование и последовательность восстановления — но только в документации.
Организация провела восстановление на практике и знает фактическое время, реальные зависимости, узкие места и необходимые ресурсы.
План восстановления, который существует только в документе, и проверенный сценарий восстановления — это принципиально разные уровни риска для критического объекта.
Для первичной самопроверки руководству предприятия достаточно ответить на десять вопросов. Они позволяют быстро понять, есть ли у организации целостная и актуальная картина состояния КИИ.
Определены ли все системы, сети и АСУ, потенциально относящиеся к КИИ?
Учитывает ли проведённая оценка текущую архитектуру предприятия и перечень типовых отраслевых объектов КИИ 2026 года?
Корректно ли определены категории значимости?
Соответствуют ли переданные регулятору сведения фактическому состоянию инфраструктуры?
Сформирован ли полный перечень применимых требований для каждого значимого объекта?
Выполнены ли организационные и технические меры?
Проверяется ли фактическая работоспособность реализованных мер защиты?
Способна ли организация своевременно обнаруживать атаки и реагировать на них?
Определены и практически проверены процедуры восстановления критических процессов?
Получает ли руководство объективную картину выявленных разрывов, рисков, ответственных и сроков устранения?
Все эти формулировки означают одно: у руководства нет проверяемого подтверждения текущего состояния безопасности и готовности критической инфраструктуры.
Если хотя бы по нескольким вопросам нельзя быстро получить конкретный, актуальный и подтверждённый ответ, это уже основание для более глубокой оценки состояния КИИ.
Не обязательно с закупки новых средств защиты. И даже не с технического аудита отдельного межсетевого экрана.
Первый шаг — определить реальный периметр риска предприятия.
Логика должна идти от определения применимости требований к конкретному плану устранения выявленных разрывов.
Не каждый выявленный разрыв требует закупки нового оборудования. Решение должно соответствовать конкретной причине риска.
Если проблема связана с процедурами, распределением ответственности, отсутствием актуальных инструкций или порядком реагирования.
Если необходимые средства уже есть, но их конфигурация, интеграция или режим эксплуатации не обеспечивают требуемый результат.
Если существующая архитектура или набор средств защиты объективно не позволяют реализовать необходимые меры.
Правильная последовательность позволяет перейти от общего вопроса «готовы ли мы?» к конкретной дорожной карте: что необходимо изменить, почему, в какой очередности, кто отвечает и какие ресурсы для этого нужны.
Сегодня ответ на этот вопрос нельзя получить только из отчёта ИБ-службы.
Необходима комплексная картина состояния критической инфраструктуры и связанных с ней рисков.
Указ №604 переводит вопрос безопасности критической инфраструктуры из категории исключительно технических задач в категорию управленческих рисков бизнеса.
Можем ли мы подтвердить, что все применимые к нашим критическим объектам требования определены, выполнены своевременно, контролируются, реально работают и позволяют восстановить функционирование бизнеса после серьёзного инцидента?
Генеральному директору необязательно знать содержание каждой технической меры приказа ФСТЭК №239.
Но если доказательного ответа на этот вопрос сегодня нет, начинать стоит не с покупки очередного средства защиты.
Начинать стоит с диагностики.
Глобал АйТи проводит комплексную оценку текущего состояния инфраструктуры с учётом требований законодательства о КИИ.
Определить потенциальный контур КИИ.
Проверить актуальность существующего категорирования.
Сопоставить фактическое состояние объектов с применимыми требованиями 187-ФЗ и приказа ФСТЭК №239.
Оценить реализованные организационные и технические меры.
Выявить критические разрывы.
Оценить процессы мониторинга, реагирования и восстановления.
Сформировать приоритетную дорожную карту устранения выявленных рисков.
Руководство получает основание для принятия решений: какие риски действительно критичны, что нужно устранить в первую очередь и какие ресурсы для этого необходимы.
Начните с оценки текущего состояния и получите понятную картину существующих рисков и приоритетов.
