РОССИЙСКАЯ ФЕДЕРАЦИЯ
ФЕДЕРАЛЬНЫЙ ЗАКОН
О внесении изменений в Федеральный закон \"О безопасности критической информационной инфраструктуры Российской Федерации\"
Принят Государственной Думой 25 марта 2025 года
Одобрен Советом Федерации 2 апреля 2025 года
(В редакции федеральных законов от 31.07.2025 № 325-ФЗ, от 26.07.2026 № 265-ФЗ)
Статья 1
Внести в Федеральный закон от 26 июля 2017 года № 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\" (Собрание законодательства Российской Федерации, 2017, № 31, ст. 4736; 2023, № 29, ст. 5330) следующие изменения:
1) в пункте 8 статьи 2 слова \"и (или) индивидуальные предприниматели\" исключить;
2) в статье 5:
а) в части 1 слова \"В целях настоящей статьи\" заменить словами \"Для целей настоящего Федерального закона\";
б) пункт 3 части 2 после слов \"критической информационной инфраструктуры,\" дополнить словами \"а также иных органов и организаций,\";
в) часть 3 после слов \"субъектам критической информационной инфраструктуры\" дополнить словами \"и иным не являющимся субъектами критической информационной инфраструктуры органам и организациям\";
г) часть 6 после слов \"обмен информацией о компьютерных\" дополнить словами \"атаках и компьютерных\";
3) в статье 6:
а) часть 2 дополнить пунктами 4 - 8 следующего содержания:
\"4) перечни типовых отраслевых объектов критической информационной инфраструктуры;
5) отраслевые особенности категорирования объектов критической информационной инфраструктуры (по согласованию с федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, в банковской сфере и иных сферах финансового рынка - также по согласованию с Центральным банком Российской Федерации), определяющие порядок установления соответствия объекта критической информационной инфраструктуры критериям значимости и показателям их значений в целях присвоения ему одной из категорий значимости и включающие в себя отраслевые признаки значимости объектов критической информационной инфраструктуры, соответствующие критериям значимости и показателям их значений, а также порядок расчета значений показателей критериев значимости с учетом особенностей функционирования объекта критической информационной инфраструктуры;
6) требования к используемым на значимых объектах критической информационной инфраструктуры программно-аппаратным средствам (в банковской сфере и иных сферах финансового рынка - по согласованию с Центральным банком Российской Федерации);
7) порядок и сроки перехода субъектов критической информационной инфраструктуры на использование на значимых объектах критической информационной инфраструктуры программ для электронных вычислительных машин и баз данных (далее - программное обеспечение), указанных в подпункте \"а\" пункта 5 части 3 статьи 9 настоящего Федерального закона, и программно-аппаратных средств, соответствующих требованиям, указанным в пункте 6 настоящей части;
8) порядок осуществления мониторинга за исполнением субъектами критической информационной инфраструктуры обязанности по использованию на значимых объектах критической информационной инфраструктуры программного обеспечения, указанного в пункте 5 части 3 статьи 9 настоящего Федерального закона, и программно-аппаратных средств, соответствующих требованиям, указанным в пункте 6 настоящей части.\";
б) в части 4:
пункт 3 после слов \"критической информационной инфраструктуры\" дополнить словами \"и иных органов и организаций\";
пункт 6 изложить в следующей редакции:
\"6) утверждает порядок информирования федерального органа исполнительной власти, уполномоченного в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, о компьютерных атаках и компьютерных инцидентах, реагирования на них, принятия мер по ликвидации последствий компьютерных атак, проведенных в отношении значимых объектов критической информационной инфраструктуры и иных информационных ресурсов Российской Федерации, принадлежащих органам и организациям, на которые возложены обязанности, предусмотренные частью 4 статьи 9 настоящего Федерального закона (в банковской сфере и в иных сферах финансового рынка утверждает указанный порядок по согласованию с Центральным банком Российской Федерации);\";
пункт 7 после слов \"информацией о компьютерных\" дополнить словами \"атаках и компьютерных\";
пункт 8 изложить в следующей редакции:
\"8) организует установку на значимых объектах критической информационной инфраструктуры, в сетях электросвязи, используемых для организации взаимодействия объектов критической информационной инфраструктуры, и в иных информационных ресурсах Российской Федерации, принадлежащих органам и организациям, на которые возложены обязанности, предусмотренные частью 4 статьи 9 настоящего Федерального закона, средств, предназначенных для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты, в том числе средств, предназначенных для поиска признаков компьютерных атак;\";
пункт 9 дополнить словами \", в том числе к средствам, предназначенным для поиска признаков компьютерных атак\";
пункт 10 после слов \"компьютерные инциденты,\" дополнить словами \"в том числе средств, предназначенных для поиска признаков компьютерных атак,\";
4) в статье 7:
а) в части 4 слова \"а также\" исключить, после слова \"категорирования\" дополнить словами \", перечнями типовых отраслевых объектов критической информационной инфраструктуры и отраслевыми особенностями категорирования объектов критической информационной инфраструктуры\";
б) часть 6 изложить в следующей редакции:
\"6. Федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, в тридцатидневный срок со дня получения сведений, указанных в части 5 настоящей статьи, проверяет соблюдение порядка осуществления категорирования с учетом перечней типовых отраслевых объектов критической информационной инфраструктуры, отраслевых особенностей категорирования объектов критической информационной инфраструктуры и правильность присвоения объекту критической информационной инфраструктуры одной из категорий значимости.\";
в) часть 7 после слова \"категорирования\" дополнить словами \"с учетом перечней типовых отраслевых объектов критической информационной инфраструктуры, отраслевых особенностей категорирования объектов критической информационной инфраструктуры\";
г) часть 8 изложить в следующей редакции:
\"8. В случае, если федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, выявлены нарушения порядка осуществления категорирования с учетом перечней типовых отраслевых объектов критической информационной инфраструктуры, отраслевых особенностей категорирования объектов критической информационной инфраструктуры, федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, возвращает представленные сведения субъекту критической информационной инфраструктуры в письменном виде с мотивированным обоснованием причин их возврата.\";
д) часть 11 дополнить словами \"с указанием срока выполнения данного требования\";
е) пункт 2 части 12 после слов \"и показателям их значений,\" дополнить словами \"отраслевым особенностям категорирования объектов критической информационной инфраструктуры,\";
ж) дополнить частями 13 и 14 следующего содержания:
\"13. В перечни типовых отраслевых объектов критической информационной инфраструктуры включаются только типы информационных систем, информационно-телекоммуникационных сетей, автоматизированных систем управления, обладающие признаком значимости.
14. Перечни типовых отраслевых объектов критической информационной инфраструктуры подлежат пересмотру и дополнению на основании предложений федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, или федерального органа исполнительной власти, уполномоченного в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации.\";
5) пункт 1 части 1 статьи 8 изложить в следующей редакции:
\"1) сведения о значимом объекте критической информационной инфраструктуры (наименование, доменное имя и сетевой адрес);\";
6) в статье 9:
а) наименование дополнить словами \", а также иных органов и организаций в сфере обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации\";
б) в части 2:
пункт 1 после слов \"о компьютерных\" дополнить словами \"атаках и компьютерных\";
пункт 3 после слов \"компьютерные инциденты,\" дополнить словами \"в том числе средств, предназначенных для поиска признаков компьютерных атак,\";
в) часть 3 дополнить пунктами 5 - 7 следующего содержания:
\"5) использовать на значимых объектах критической информационной инфраструктуры программное обеспечение:
а) сведения о котором включены в единый реестр российских программ для электронных вычислительных машин и баз данных, предусмотренный статьей 121 Федерального закона от 27 июля 2006 года № 149-ФЗ \"Об информации, информационных технологиях и о защите информации\";
б) которое используется в соответствующих требованиям о защите информации, установленным частью 5 статьи 16 Федерального закона от 27 июля 2006 года № 149-ФЗ \"Об информации, информационных технологиях и о защите информации\", государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений;
6) соблюдать указанные в пункте 6 части 2 статьи 6 настоящего Федерального закона требования к используемым на значимых объектах критической информационной инфраструктуры программно-аппаратным средствам;
7) осуществлять непрерывное взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации в порядке, установленном федеральным органом исполнительной власти, уполномоченным в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации.\";
г) дополнить частями 4 - 6 следующего содержания:
\"4. Обязанности, предусмотренные частью 2 и пунктом 7 части 3 настоящей статьи, распространяются также на руководителей государственных органов (за исключением органов федеральной службы безопасности, органов внешней разведки Российской Федерации, органов государственной охраны, федерального органа обеспечения мобилизационной подготовки органов государственной власти Российской Федерации, федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации), государственных унитарных предприятий, государственных учреждений, государственных фондов, государственных корпораций (компаний), иных российских юридических лиц, которые, если иное не предусмотрено международным договором Российской Федерации, находятся под контролем Российской Федерации, и (или) субъекта Российской Федерации, и (или) контролируемых ими совместно или по отдельности лиц, в части информационных ресурсов Российской Федерации, принадлежащих таким органам и юридическим лицам на праве собственности, аренды или ином законном основании. При этом под контролем понимается возможность определять решения, принимаемые юридическим лицом, в силу наличия права прямо или косвенно распоряжаться более чем пятьюдесятью процентами общего количества голосов, приходящихся на голосующие акции (доли), составляющие уставный капитал данного юридического лица.
5. Порядок и технические условия установки и эксплуатации в указанных в части 4 настоящей статьи информационных ресурсах средств, предназначенных для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты, в том числе средств, предназначенных для поиска признаков компьютерных атак, устанавливаются федеральным органом исполнительной власти, уполномоченным в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации.
6. Порядок информирования руководителями, указанными в части 4 настоящей статьи, федерального органа исполнительной власти, уполномоченного в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, о компьютерных атаках и компьютерных инцидентах, связанных с функционированием информационных ресурсов, устанавливается указанным федеральным органом исполнительной власти.\";
7) часть 1 статьи 13 после слов \"правовыми актами\" дополнить словами \", в том числе правильности отнесения субъектами критической информационной инфраструктуры принадлежащих им на праве собственности, аренды или ином законном основании объектов критической информационной инфраструктуры к значимым объектам критической информационной инфраструктуры\".
Статья 2
1. Настоящий Федеральный закон вступает в силу с 1 сентября 2025 года.
2. До установления перечней типовых отраслевых объектов критической информационной инфраструктуры, отраслевых особенностей категорирования объектов критической информационной инфраструктуры, предусмотренных пунктами 4 и 5 части 2 статьи 6 Федерального закона от 26 июля 2017 года № 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\", категорирование объектов критической информационной инфраструктуры осуществляется в соответствии с порядком осуществления категорирования, установленным Правительством Российской Федерации.
3. Исполнение обязанностей, установленных пунктами 5 и 6 части 3 статьи 9 Федерального закона от 26 июля 2017 года № 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\", осуществляется с учетом положений пункта 7 части 2 статьи 6 Федерального закона от 26 июля 2017 года № 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\".
31. Обязанность, установленная подпунктом \"а\" пункта 5 части 3 статьи 9 Федерального закона от 26 июля 2017 года № 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\", считается исполненной в случае использования программ для электронных вычислительных машин и баз данных, сведения о которых включены в перечень, указанный в части 32 настоящей статьи. (Дополнение частью - Федеральный закон от 31.07.2025 № 325-ФЗ)
32. Федеральный орган исполнительной власти, осуществляющий функции по выработке и реализации государственной политики и нормативно-правовому регулированию в сфере информационных технологий, формирует и ведет перечень российских программ для электронных вычислительных машин и баз данных, разработанных и используемых для собственных нужд российскими юридическими лицами. В указанный перечень на основании решений правительственной комиссии, если иное не предусмотрено федеральными законами, включаются сведения о программах для электронных вычислительных машин и базах данных, которые соответствуют следующим требованиям:
1) исключительное право на программу для электронных вычислительных машин или базу данных на территории всего мира и на весь срок действия исключительного права принадлежит одному либо нескольким из следующих лиц (правообладателей):
а) Российской Федерации, субъекту Российской Федерации, муниципальному образованию;
б) российской некоммерческой организации, высший орган управления которой формируется прямо и (или) косвенно Российской Федерацией, субъектами Российской Федерации, муниципальными образованиями и (или) гражданами Российской Федерации и решения которой иностранное лицо не имеет возможности определять в силу особенностей отношений между таким иностранным лицом и российской некоммерческой организацией;
в) российской коммерческой организации, которая, если иное не предусмотрено международным договором Российской Федерации, находится под контролем Российской Федерации, и (или) субъекта Российской Федерации, и (или) муниципального образования, и (или) гражданина Российской Федерации, и (или) контролируемых ими совместно или по отдельности лиц. При этом под контролем понимается возможность определять решения, принимаемые указанной российской коммерческой организацией, в силу наличия права прямо или косвенно распоряжаться более чем пятьюдесятью процентами общего количества голосов, приходящихся на голосующие акции (доли), составляющие уставный капитал данной российской коммерческой организации;
г) гражданину Российской Федерации;
2) сведения о программе для электронных вычислительных машин или базе данных не составляют государственную тайну, и программа для электронных вычислительных машин или база данных не содержит сведений, составляющих государственную тайну.
(Дополнение частью - Федеральный закон от 31.07.2025 № 325-ФЗ)
33. Положение о правительственной комиссии, указанной в части 32 настоящей статьи, ее состав и порядок принятия ею решений утверждаются Правительством Российской Федерации. В отношении программ для электронных вычислительных машин и баз данных, исключительное право на которые принадлежит кредитным организациям, некредитным финансовым организациям, которые осуществляют указанные в части первой статьи 761 Федерального закона от 10 июля 2002 года № 86-ФЗ \"О Центральном банке Российской Федерации (Банке России)\" виды деятельности, лицам, оказывающим профессиональные услуги на финансовом рынке и указанным в части второй статьи 769-5 Федерального закона от 10 июля 2002 года № 86-ФЗ \"О Центральном банке Российской Федерации (Банке России)\", субъектам национальной платежной системы, указанная правительственная комиссия принимает решение, предусмотренное частью 32 настоящей статьи, по представлению Центрального банка Российской Федерации. (Дополнение частью - Федеральный закон от 31.07.2025 № 325-ФЗ)
34. Правительством Российской Федерации могут быть установлены дополнительные требования к программам для электронных вычислительных машин и базам данных, сведения о которых включены в перечень, предусмотренный частью 32 настоящей статьи. (Дополнение частью - Федеральный закон от 31.07.2025 № 325-ФЗ)
35. Правила формирования и ведения перечня, предусмотренного частью 32 настоящей статьи, состав сведений, включаемых в данный перечень, в том числе об основаниях возникновения исключительного права у правообладателя (правообладателей), условия включения таких сведений в данный перечень и исключения их из данного перечня, порядок предоставления сведений, включаемых в данный перечень, устанавливаются Правительством Российской Федерации. (Дополнение частью - Федеральный закон от 31.07.2025 № 325-ФЗ)
36. В случае, если федеральными законами и иными нормативными правовыми актами установлено требование об использовании программы для электронных вычислительных машин и базы данных, сведения о которых включены в единый реестр российских программ для электронных вычислительных машин и баз данных, предусмотренный статьей 121 Федерального закона от 27 июля 2006 года № 149-ФЗ \"Об информации, информационных технологиях и о защите информации\", указанное требование считается выполненным при условии использования программ для электронных вычислительных машин и баз данных, сведения о которых включены в перечень, предусмотренный частью 32 настоящей статьи. (Дополнение частью - Федеральный закон от 31.07.2025 № 325-ФЗ)
37. Федеральный орган исполнительной власти, осуществляющий функции по выработке и реализации государственной политики и нормативно-правовому регулированию в сфере информационных технологий, ведет перечень доверенных российских программ для электронных вычислительных машин и баз данных. В указанный перечень на основании решений правительственной комиссии включаются сведения о программах для электронных вычислительных машин и базах данных, которые соответствуют следующим требованиям:
1) исключительное право на программу для электронных вычислительных машин или базу данных на территории всего мира и на весь срок действия исключительного права принадлежит одному либо нескольким из следующих лиц (правообладателей):
а) Российской Федерации, субъекту Российской Федерации, муниципальному образованию;
б) российской некоммерческой организации, высший орган управления которой формируется прямо и (или) косвенно Российской Федерацией, субъектами Российской Федерации, муниципальными образованиями и (или) гражданами Российской Федерации, не имеющими гражданства другого государства, и решения которой иностранное лицо не имеет возможности определять в силу особенностей отношений между таким иностранным лицом и российской некоммерческой организацией;
в) российской коммерческой организации, которая, если иное не предусмотрено международным договором Российской Федерации, находится под контролем Российской Федерации, и (или) субъекта Российской Федерации, и (или) муниципального образования, и (или) гражданина Российской Федерации, не имеющего гражданства другого государства, и (или) контролируемых ими совместно или по отдельности лиц. При этом под контролем понимается возможность определять решения, принимаемые указанной российской коммерческой организацией, в силу наличия права прямо или косвенно распоряжаться более чем пятьюдесятью процентами общего количества голосов, приходящихся на голосующие акции (доли), составляющие уставный капитал данной российской коммерческой организации;
г) гражданину Российской Федерации, не имеющему гражданства другого государства;
2) сведения о программе для электронных вычислительных машин или базе данных включены в единый реестр российских программ для электронных вычислительных машин и баз данных, предусмотренный статьей 121 Федерального закона от 27 июля 2006 года № 149-ФЗ \"Об информации, информационных технологиях и о защите информации\", или в перечень, предусмотренный частью 32 настоящей статьи;
3) программа для электронных вычислительных машин или база данных соответствует установленным Правительством Российской Федерации по согласованию с федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, требованиям к обеспечению информационной безопасности;
4) сведения о программе для электронных вычислительных машин или базе данных не составляют государственную тайну, и программа для электронных вычислительных машин или база данных не содержит сведений, составляющих государственную тайну.
(Дополнение частью - Федеральный закон от 31.07.2025 № 325-ФЗ)
38. Положение о правительственной комиссии, указанной в части 37 настоящей статьи, ее состав и порядок принятия ею решений утверждаются Правительством Российской Федерации. (Дополнение частью - Федеральный закон от 31.07.2025 № 325-ФЗ)
39. Правительством Российской Федерации могут быть установлены дополнительные требования к программам для электронных вычислительных машин и базам данных, сведения о которых включены в перечень, предусмотренный частью 37 настоящей статьи. (Дополнение частью - Федеральный закон от 31.07.2025 № 325-ФЗ)
310. Правила формирования и ведения перечня, предусмотренного частью 37 настоящей статьи, состав сведений, включаемых в данный перечень, условия включения таких сведений в данный перечень и исключения их из данного перечня, порядок предоставления сведений, включаемых в данный перечень, устанавливаются Правительством Российской Федерации. (Дополнение частью - Федеральный закон от 31.07.2025 № 325-ФЗ)
311. Случаи использования программ для электронных вычислительных машин и баз данных, сведения о которых включены в перечень, предусмотренный частью 37 настоящей статьи, определяются федеральными законами, актами Президента Российской Федерации и Правительства Российской Федерации. (Дополнение частью - Федеральный закон от 31.07.2025 № 325-ФЗ)
4. Правительство Российской Федерации вправе установить на период до 2030 года особенности применения пунктов 5 и 6 части 3 статьи 9 Федерального закона от 26 июля 2017 года № 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\" на территориях субъектов Российской Федерации, определяемых Президентом Российской Федерации. (В редакции Федерального закона от 26.07.2026 № 265-ФЗ)
Президент Российской Федерации В.Путин
Москва, Кремль
7 апреля 2025 года
№ 58-ФЗ
", "tounitid": null, "docid": "1000000000608504984", "toparaid": "", "baseid": "c000000000", "rdk": 2 }