КИИ-2025: один день до дедлайна - итоги перехода

До 1 января три недели. Не «скоро», не «под конец года» - три рабочих недели, из которых одна - праздничная. Мы в декабре фактически закрываем работу по КИИ с клиентами, с которыми шли весь этот год, и сейчас - момент честно зафиксировать, где кто оказался.

Не для отчёта, не для публикации в регуляторный орган. Просто рабочая картина, как она выглядит изнутри.

Что реально удалось перевести

Инфраструктурный слой закрыт у подавляющего большинства - и это, пожалуй, главный результат года. Astra Linux, РЕД ОС на рабочих местах и серверах; Postgres Pro или Tantor вместо зарубежных СУБД. Там, где начали в 2022-2023 году, это уже не пилот - это продуктив, обкатанный на реальных нагрузках.

Средства защиты в основном тоже переведены - российские SIEM, DLP, средства антивирусной защиты, сертифицированные по требованиям ФСТЭК. С этим проблем меньше, потому что рынок здесь давно сформирован.

Хуже всего - прикладное и отраслевое ПО. Это предсказуемо, но всё равно неприятно видеть в цифрах. Реестр Минцифры по специализированным решениям остаётся дырявым: для части технологических процессов российского аналога просто нет, для другой части - есть, но без подтверждённой совместимости с существующей инфраструктурой клиента. Здесь к январю полный переход не реализуется ни у кого из тех, у кого сложная отраслевая специфика.

Где согласованы дорожные карты

По клиентам, с которыми мы работали на аудите и подготовке документации, картина такая: большинство из тех, кто находится во «второй корзине» - инфраструктура переведена, прикладное ПО нет, - успели оформить обоснования и передать их регулятору. Не все, но большинство.

Ключевое слово - «передать». Не подготовить, не согласовать внутри, а именно передать в ФСТЭК с получением подтверждения о приёме. Это важно, потому что документ, который лежит в папке на компьютере сотрудника и документ, зарегистрированный регулятором, - принципиально разные вещи с точки зрения любой последующей проверки.

По тем позициям, где обоснование подготовлено правильно - с конкретными ссылками на реестр, с техническим описанием ограничений, с реалистичной дорожной картой на 2025 год - ФСТЭК в целом принимает такую позицию. Не без вопросов, но принимает. Запросы на уточнение приходят, и это нормально: значит, документ читают.

Как регулятор реагирует на неготовность

Здесь важно разделить два сценария, потому что реакция принципиально разная.

Первый - неготовность с позицией. Субъект понимает свой статус, оформил обоснования, вышел к ФСТЭК до дедлайна, зафиксировал дорожную карту. В этом случае разговор идёт. Регулятор задаёт уточняющие вопросы, может запросить дополнительные материалы, но катастрофы не происходит. Механизм поэтапного перехода существует именно для таких ситуаций.

Второй - неготовность без позиции. Субъект либо игнорировал вопрос, либо вёл имитацию работы без реального движения, и к декабрю у него нет ни документов, ни понимания что именно отсутствует, ни контакта с регулятором. Вот здесь ситуация принципиально иная. ФСТЭК сейчас не в настроении принимать объяснение «не успели» без каких-либо подтверждений что работа вообще велась.

По нашим наблюдениям: несколько организаций, к которым пришли с запросами в ноябре-декабре, получили не просто вопросы, а предписания с конкретными сроками ответа. Это ещё не штраф и не уголовное дело, но это уже не добровольный диалог.

Что делаем в оставшиеся три недели

По клиентам, у которых всё в порядке или близко к тому, - финальная проверка документации. Реестр ПО должен соответствовать фактической конфигурации на конкретную дату, план защиты объектов - быть актуализирован. Мелочи, которые кажутся формальностью, именно они вылезают при проверке.

По тем, у кого остаются незакрытые позиции, - убеждаемся, что обоснования физически переданы и зарегистрированы, а не «почти готовы к отправке».

Отдельная история - те, кто пришёл к нам в ноябре-декабре с нуля. За три недели полный переход не делается. Делается другое: собрать честную картину текущего состояния, подготовить максимально обоснованную позицию и выйти с ней к регулятору самостоятельно - до того, как регулятор придёт самостоятельно к вам. Это не решение проблемы, но это принципиально лучшая стартовая позиция, чем молчать.

1 января наступит в любом случае. Вопрос только в том, с каким пакетом документов к нему подходить.