ИИ в критической инфраструктуре: что требует 187-ФЗ от субъектов КИИ
Как закон о безопасности КИИ применяется к ИИ-системам: кто субъект КИИ, категорирование объектов, требования к защите и переход на российские решения.
Коротко
- Если компания относится к субъектам КИИ, требования к её ИИ-системам определяются не законом об ИИ, а законодательством о безопасности критической информационной инфраструктуры — оно жёстче и действует давно.
- Статус субъекта КИИ зависит от сферы деятельности, а не от размера компании: здравоохранение, транспорт, связь, энергетика, банковская сфера, промышленность и другие перечисленные в законе отрасли.
- ИИ-компонент внутри значимого объекта КИИ наследует его категорию и все требования к защите, включая подключение к государственной системе обнаружения и предупреждения компьютерных атак.
- Отдельная линия — переход на доверенные российские решения: зарубежная модель как компонент значимого объекта создаёт проблему, которая не решается договором с поставщиком.
Кого касается
Организации в сферах, перечисленных в законе: здравоохранение, наука, транспорт, связь, энергетика, банковская сфера и иные сферы финансового рынка, топливно-энергетический комплекс, атомная энергетика, оборонная, ракетно-космическая, горнодобывающая, металлургическая и химическая промышленность.
Компании, обеспечивающие взаимодействие информационных систем субъектов КИИ.
Подрядчики и интеграторы, встраивающие ИИ-компоненты в системы субъектов КИИ: требования доходят до них через договор.
Владельцы значимых объектов КИИ, планирующие автоматизацию процессов с помощью моделей.
Что требует
Провести категорирование объектов
Субъект КИИ определяет перечень своих объектов и присваивает им категории значимости либо фиксирует отсутствие таковой. Пока категорирование не проведено, невозможно определить и объём требований: они различаются в зависимости от категории.
Учесть ИИ-компонент в составе объекта
Модель, встроенная в информационную систему значимого объекта, становится его частью и наследует требования к нему. Отдельного «режима для ИИ» здесь нет: применяются те же правила защиты, что и к любому другому программному компоненту объекта.
Обеспечить обнаружение и реагирование на инциденты
Для значимых объектов установлена обязанность взаимодействия с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак. Инциденты с ИИ-компонентом попадают в тот же контур, что и остальные.
Оценить происхождение компонентов
Линия на использование доверенных отечественных решений в значимых объектах КИИ развивается отдельными актами и затрагивает выбор моделей и платформ. Обращение значимого объекта к зарубежному облачному API — вопрос, который нужно закрывать на этапе архитектуры, а не эксплуатации.
Сроки
- Принят закон о безопасности КИИФедеральный закон № 187-ФЗ
- Внесены изменения в закон о безопасности КИИФедеральный закон № 58-ФЗ от 07.04.2025
Что грозит за нарушение
Статья 274.1 УК РФ — уголовная ответственность за неправомерное воздействие на критическую информационную инфраструктуру, включая нарушение правил эксплуатации средств хранения, обработки и передачи информации, повлёкшее причинение вреда.
Административная ответственность за нарушение требований в области обеспечения безопасности КИИ, в том числе за нарушение порядка категорирования и порядка информирования об инцидентах.
Практическое последствие тяжелее формальной санкции: инцидент на значимом объекте влечёт проверку, приостановку эксплуатации и разбирательство с участием регулятора.
Как проверить себя
Определите, относится ли ваша организация к субъектам КИИ по сфере деятельности. Это первый и главный вопрос: если нет — дальнейшие требования не применяются.
Проверьте, проведено ли категорирование и когда оно актуализировалось. Добавление ИИ-компонента меняет состав объекта и может влиять на оценку.
Выясните, обращаются ли ваши значимые объекты к внешним ИИ-сервисам. Такое обращение часто появляется незаметно, через интеграцию, добавленную подрядчиком.
Проверьте договоры с интеграторами: перенесены ли на них требования к защите информации и порядок уведомления об инцидентах.
Оцените, что произойдёт при недоступности внешней модели. Для значимого объекта зависимость от внешнего сервиса — это не только вопрос доверия, но и вопрос непрерывности.
Порядок разбора
Тема кажется сложной из-за объёма подзаконных актов, но последовательность вопросов простая и её стоит проходить именно в этом порядке:
- •Субъект ли мы КИИ? Определяется сферой деятельности. Если нет — всё остальное неприменимо.
- •Какие у нас объекты и какие у них категории? Без категорирования объём требований определить нельзя.
- •Где в этих объектах ИИ? Модель внутри значимого объекта наследует его требования.
- •Есть ли внешние зависимости? Обращение к внешнему сервису из значимого объекта — отдельный вопрос и по безопасности, и по непрерывности.
Большинство компаний обнаруживает проблему на третьем шаге: ИИ-интеграция была добавлена подрядчиком в рамках обычной задачи, и в документах по объекту она не отражена.
Что здесь важнее закона об ИИ
Для субъектов КИИ 243-ФЗ — не главный документ. Он адресован преимущественно разработчикам больших фундаментальных моделей, а требования к эксплуатации систем в критической инфраструктуре живут в собственном, гораздо более детальном регулировании. Компаниям этой категории разумнее выстраивать работу от него, а закон об ИИ учитывать как дополнительный слой.
Проверьте свою компанию бесплатно
Шесть вопросов о том, как в компании используется ИИ. Результат — сразу на экране: какие требования вас касаются и к каким датам.
Пройти экспресс-проверку →
