ФСТЭК ускоряет сроки импортозамещения для КИИ: что это значит на практике

На прошлой неделе ФСТЭК выпустила информационное сообщение, которое многие ждали и многие боялись. Официально - никаких сюрпризов: субъекты КИИ должны перейти на отечественное ПО в ускоренные сроки. Неофициально - теперь это не рекомендации, а зафиксированная позиция регулятора с требованием документального подтверждения хода замены.

Для клиентов, с которыми мы работаем, это означает одно: «у нас есть план» больше не достаточно. Нужен документ, который этот план описывает, и документ, который подтверждает, что план выполняется.

Что именно сказал регулятор

Информационное сообщение ФСТЭК - не приказ и не постановление. Но в российской регуляторной практике это означает не «можно проигнорировать», а «ориентир, который ляжет в основу проверочных листов при следующей инспекции». Паттерн хорошо знаком всем, кто проходил проверки по 187-ФЗ.

Конкретика сообщения: сроки замены зарубежного ПО на объектах КИИ сжаты, организации должны иметь утверждённые планы-графики перехода и быть готовы предъявить документальное подтверждение фактического хода замены. Отчёты должны отражать реальное состояние, а не пожелания.

Это не апрельский сюрприз - сжатие сроков обсуждалось с февраля. Но теперь это официальная позиция, а не аппаратные разговоры.

Почему документация - отдельная проблема

Большинство субъектов КИИ, с которыми мы работаем, находятся примерно в одном состоянии: провели инвентаризацию (или начали), понимают, что нужно менять, имеют какой-то список задач. Но между списком задач и «планом-графиком с документальным подтверждением» - пропасть.

Конкретно не хватает трёх вещей:

• Формата плана-графика. Не просто таблица с задачами и сроками, а документ, который регулятор воспринимает как план-график: с объектами КИИ, наименованием замещаемого ПО, наименованием отечественного аналога, реквизитами реестровой записи, ответственными и контрольными точками.
• Механизма отчётности. По каким критериям фиксировать, что этап выполнен? Акт внедрения? Скриншот системного реестра? Протокол испытаний? У разных организаций разные интерпретации, и все хотят угадать правильную.
• Связи между документами и фактическим состоянием. Это сложнее всего: плановый документ легко сделать красивым, а факт постоянно отстаёт. Нужна процедура актуализации, иначе через квартал план и реальность расходятся настолько, что проще написать новый.

Что мы готовим для клиентов

Мы взяли структуру из нашей методики аудита стека и матрицы приоритетов по ОС и на их основе делаем два документа.

Форма плана-графика импортозамещения. Структура под требования ФСТЭК: объект КИИ, система (ИС/АСУ), замещаемый компонент, вендор и страна происхождения, отечественная альтернатива, реестровая запись Минцифры, этапы перехода с датами, ответственный, статус. Шапка - реквизиты организации, гриф утверждения.

Ничего экзотического - но именно в такой форме документ воспринимается как план-график, а не как Excel-табличка из IT-отдела.

Шаблон отчёта о ходе замены. Привязан к плану-графику: для каждого этапа - факт выполнения, дата, подтверждающий документ (акт, протокол испытаний, приказ о вводе в эксплуатацию). Отдельный раздел - отклонения от плана с обоснованием и скорректированными сроками.

Отклонения - это нормально, если они задокументированы. Регулятора раздражает не задержка, а её отсутствие в документах при наличии в реальности.

Как это работает с аудитом

Оба документа - не самоцель, а выход конкретного процесса. Без инвентаризации и приоритизации форму плана-графика заполнить нечем. Поэтому для новых клиентов схема такая: сначала аудит стека, потом план-график на основе его результатов, потом - сопровождение отчётности.

Для тех, кто уже прошёл аудит весной - можно перейти сразу к документированию. Структура матрицы из аудита хорошо ложится в план-график.

Где мы сейчас

Шаблоны в работе, первый клиент забирает черновую форму плана-графика на этой неделе. Ещё несколько в очереди - у всех похожая ситуация: аудит провели, план в голове есть, а документа нет.

До конца апреля планируем финализировать оба шаблона и сделать их стандартной частью нашего процесса. Что именно потребует регулятор при проверке - точно не знаем, но документ, составленный по формальным признакам плана-графика, - заведомо лучше, чем его отсутствие.

Если вопрос уже горит - обращайтесь, разберём конкретную ситуацию.