Федеральный закон 187-ФЗ в информационной безопасности

09.07.2026

Принятие Федерального закона номер 187, известного как закон о безопасности критической информационной инфраструктуры, стало поворотным моментом в истории российского законодательства в сфере кибербезопасности. До его появления требования к защите информации носили фрагментарный характер и касались в основном государственных органов. Закон 187-ФЗ четко обозначил, что в современном мире цифровая инфраструктура, обеспечивающая взаимодействие государства, экономики и общества, является такой же критически важной, как транспортные магистрали или энергетические сети. Кибератака на систему управления электростанцией, больницей или банком может привести к катастрофическим последствиям, и закон призван предотвратить такие сценарии.

Под действие закона подпадают субъекты критической информационной инфраструктуры, к которым относятся государственные органы, крупные компании в сферах здравоохранения, науки, транспорта, связи, энергетики, banking и топливно-энергетического комплекса. Ключевым процессом для этих организаций является категорирование. Компания должна провести внутреннюю комиссию, выявить все свои информационные системы, технологические процессы и автоматизированные системы управления, и присвоить им одну из трех категорий значимости или установить, что они не являются значимыми. От присвоенной категории зависят строгость применяемых мер защиты и уровень внимания со стороны государства.

Требования закона предписывают субъектам КИИ выстраивать комплексную систему безопасности, которая должна включать в себя не только технические средства, но и организационные меры. Необходимо обеспечить непрерывный мониторинг, реагирование на инциденты и восстановление работы систем после сбоев. При этом закон четко разграничивает зоны ответственности регуляторов: ФСТЭК России отвечает за разработку требований и защиту от технических угроз, а ФСБ России курирует вопросы противодействия разведывательной и диверсионной деятельности в киберпространстве, а также управляет государственной системой обнаружения и реагирования на атаки.

Самым заметным на практике аспектом закона стало обязательство субъектов КИИ взаимодействовать с государственной системой GosSOPKA. Это означает, что при обнаружении компьютерного инцидента организация обязана не только устранить его своими силами, но и отправить подробное уведомление в национальный центр координации. Игнорирование этого требования, как и в целом несоблюдение закона о КИИ, влечет за собой серьезные штрафы для юридических должностных лиц, а в случае тяжких последствий может привести к уголовной ответственности для руководителей. Это превратило информационную безопасность из сугубо технической задачи в вопрос личной ответственности топ-менеджмента.

Реализация 187-ФЗ на практике оказалась для многих компаний сложным вызовом. Основная трудность заключалась в методологии категорирования, поскольку критерии оценки ущерба часто носят качественный характер и требуют глубокого понимания бизнес-процессов. Кроме того, интеграция с государственной системой потребовала модернизации сетевой инфраструктуры и закупки специализированного оборудования. Тем не менее, закон выполнил свою главную задачу: он заставил крупнейшие компании страны пересмотреть свое отношение к киберрискам, инвестировать в средства защиты и выстроить прозрачные процессы взаимодействия с государством в сфере кибербезопасности.