Правительство РФ утвердило Распоряжение № 360-р от 26 февраля 2026 г., обновляющее перечень типовых отраслевых объектов критической информационной инфраструктуры (КИИ). Подход к защите КИИ стал отраслевым и гораздо более жёстким, а игнорирование грозит высокими штрафами и остановкой бизнеса. Разбираем по полочкам: что изменилось, кто в зоне риска и как не попасть под раздачу.
Критическая информационная инфраструктура — это цифровой «каркас» экономики: системы, от которых зависит здоровье граждан, энергетика, транспорт и оборона. Закон о КИИ (№ 187-ФЗ) обязывает компании идентифицировать, категорировать и защищать такие объекты. Перечень № 360-р — это «справочник» типовых объектов: от баз данных больниц до АСУ на заводах.
Ключевой сдвиг 2026 года: Идентификация теперь стартует с отраслевых типовых объектов, а не с общего анализа. Это упрощает процесс, но расширяет «сетку» — под удар попадают новые сектора, включая облачные сервисы и AI-системы НИОКР.
Структура обновленного перечня: от здравоохранения до космоса
Перечень — это детальная таблица с тремя колонками: название объекта, его функции и ОКВЭД. Разделен по 20+ сферам, с нумерацией внутри (всего >500 объектов).
Топ-изменений:
- Здравоохранение (I раздел, 12 объектов): Добавлены системы управления медоборудованием — от лучевой терапии (расчёт доз) до мониторинга реанимации. Риск: остановка операций в больницах.
- Наука (II раздел, 2 объекта): Фокус на НИОКР с технологиями уровня ≥7 (готовность к внедрению). Затрагивает ОПК и госкорпорации — ущерб от сбоев = срыв госзаказа.
- Другие сферы: Связь (ИТС для трафика), энергетика (АСУ ТП), атомная энергия (контроль реакторов), транспорт (системы диспетчеризации), финансы (банковские сети). Новинка: уточнения для химии и металлургии — автоматизация производств.
Если ваш ОКВЭД (например, 86.1 — больницы или 72 — исследования) совпадает, — вы в игре.
Что добавилось и как это меняет жизнь бизнеса?
По сравнению с 2018–2025 годами перечень стал менее декларативным и более конкретизированным: общие формулировки сокращены, а детализация существенно усилена.
- Добавлено: 100+ новых объектов (облачные ЦОД, виртуальные ресурсы, системы для ингаляционной анестезии). Уточнены риски: влияние на бюджеты, договоры, госкорпорации.
- Изменено: Срок уведомления ФСТЭК — 60 дней (было 30). Оценка защищенности (КЗИ) — каждые 6 месяцев. Отраслевой фокус: Минпромторг, Минздрав и т.д. дают свои гайдлайны.
- Упрощено: Категорирование по шкале ущерба (экономика, здоровье, оборона) — шаблоны для быстрого старта.
Для бизнеса: +30% компаний под КИИ (МСП в фарме, логистике). Затраты на compliance — 1–5% IT-бюджета, но ROI от снижения атак — в разы выше.
Обязанности: шаговый план для компаний
Не ждите проверок — действуйте сейчас. Вот roadmap:
- Аудит (1–2 недели): Сопоставьте ИС/ИТС/АСУ с перечнем. Инструменты: checklists ФСТЭК.
- Категорирование (1 месяц): Оцените риски, присвойте категорию (I–III).
- Уведомление (60 дней): Зарегистрируйте в реестре ФСТЭК, скопию ФСБ.
- Защита: Внедрите меры по № 235 ФСТЭК (мониторинг, шифрование). Тестируйте ежеквартально.
- Отчётность: КЗИ-отчёты 2 раза в год.
Госорганы (Минздрав, Минобрнауки) помогут с шаблонами.
Ответственность: штрафы растут, как снежный ком
2026 г. — год ужесточения. Новые нормы в КоАП (ч. 7.1 ст. 13.12):
- Административка: До 1 млн руб. за сокрытие + приостановка на 90 суток.
- Уголовка: До 7 лет за вред от атак (ст. 274.1 УК, если уничтожены данные).
- Сроки: Давность — 1 год, но повторки удваивают штрафы.
В 2025-м оштрафовали 500+ компаний; в 2026-м ждите +50%.
Риски: от кибератак до банкротства
Прогноз на 2026: атаки вырастут на 35% (AI-фишинг, цепочки поставок). Для бизнеса:
- Кибервымогательство: парализует производство (средний убыток — 20 млн руб.).
- Регуляторные: Несоответствие реестру — 70% проверок (указ №250).
- Экономические: Потери от простоев + репутация (утечки в здравоохранении — скандал века).
- Для МСП: 40% атак через подрядчиков; без SIEM — уязвимость x10.
Решение: Инвестируйте в ИБ заранее — окупается за 6 месяцев.
Вывод: Время действовать, а не ждать
Распоряжение № 360-р стоит рассматривать как возможность повысить устойчивость бизнеса и системно выстроить защиту ключевых процессов. Оптимально провести аудит до марта и синхронизировать работу с отраслевыми регуляторами. В условиях масштабной цифровизации КИИ вложения в безопасность превращаются в инструмент снижения операционных и правовых рисков и помогают избежать серьёзных последствий инцидентов.
Читайте нас в Telegram.