КИИ после 1 января: первый рабочий день и первые выводы

Праздники закончились. Сегодня первый рабочий день после дедлайна, который субъекты КИИ ждали и боялись с 2022 года. Указ № 166 и постановление Правительства № 1912 недвусмысленны: с 1 января 2025 года объекты критической информационной инфраструктуры значимых категорий обязаны работать на отечественном программном обеспечении.

Мы провели несколько звонков с клиентами прямо сегодня, не дожидаясь конца недели. Картина неоднородная - и именно поэтому интересная.

Кто реально перешёл

Организации, которые начали переход в 2022-2023 году и шли системно, закрыли дедлайн без аврала. Инфраструктурный слой - операционные системы, СУБД, средства защиты - переехал давно, продуктив обкатан. То, что закрывалось в декабре, это последние прикладные системы и документация. Прикладное ПО в промышленной автоматизации кое-где осталось на согласованных дорожных картах, но это отдельная история.

Один клиент из металлургии сказал коротко: «Мы 1 января вообще не почувствовали. Переход закончился в октябре». Это приятно слышать, особенно если вспомнить, сколько нервов ушло на подготовку в ноябре.

Кто закрылся на бумаге

Это самая многочисленная и самая интересная категория. Организация формально выполнила требования: реестр отечественного ПО заполнен, договоры с вендорами подписаны, внутренние приказы изданы. На рабочих местах и серверах - продукты из Реестра. Но если копнуть глубже, вскрываются характерные детали.

Несколько наблюдений, которые мы зафиксировали буквально за последние две недели:

• Лицензии есть, эксплуатация - нет. Astra Linux развёрнута, но часть пользователей работает с Windows-машин через RDP на терминальные серверы с отечественной ОС. Формально - отечественное ПО. Практически - переход не завершён.
• СУБД заменена, приложение - нет. Postgres Pro установлен и сертифицирован, а прикладная система над ним всё ещё импортная и в реестр не входит. В документах это аккуратно обойдено.
• Документация опережает реальность. Акты приёмки подписаны в декабре. Реальная миграция данных запланирована на февраль. Регулятор видит акты.

Это не криминал в моменте, но риск при проверке существенный.

Что ФСТЭК реально проверяет в январе

По нашим данным - а это сочетание открытых писем ФСТЭК, общения с коллегами по рынку и собственного опыта сопровождения проверок - фокус надзора сейчас смещён в сторону значимых объектов первой и второй категории. Третья категория пока под меньшим давлением, хотя расслабляться не стоит.

Что смотрят на практике:

• Наличие актуального перечня объектов КИИ и его соответствие тому, что реально функционирует. Расхождения - типичная находка.
• Состав ПО на объектах - не по внутренним документам, а по факту: выгрузки инвентаризационных систем, скриншоты, акты технического обследования.
• Журналы инцидентов и взаимодействие с ГосСОПКА - есть ли вообще настроенный коннектор, ходят ли оповещения.
• Организационные документы - политики, инструкции, назначение ответственных. Это проверяется быстрее всего и чаще всего оказывается в порядке даже там, где техническая сторона хромает.

Внеплановые проверки по жалобе или по плану - инструмент точечный, но ФСТЭК чётко обозначил курс ещё осенью. Январские выезды уже идут, несколько коллег из других интеграторов это подтвердили.

Что делать прямо сейчас

Если статус «формально закрыто, но есть хвосты» - не ждать. Типичный сценарий проверки даёт несколько недель на устранение нарушений, и это время надо использовать, а не тратить на споры с проверяющими.

Первый шаг, который мы рекомендуем всем клиентам в такой ситуации - честный технический срез: что реально стоит на объектах, совпадает ли это с документами, где разрывы. Не регуляторный аудит для галочки, а рабочая инвентаризация с выводами. Дальше - приоритизация: что закрывается быстро и снижает риск при проверке, что требует согласования дорожной карты.

Мы сейчас активно работаем именно с таким форматом - аудит состояния КИИ с конкретным планом действий на выходе. Январь для этого - момент разумный: проверки уже идут, но большинство предписаний ещё не выписано.

Картина по рынку сложится чуть позже, когда накопится информация о реальных результатах надзора. Пока фиксируем: дедлайн прошёл тихо, но тихо - не значит без последствий.