КИИ и крупные
заказчики

Банки, больницы, транспортные, энергетические и телекоммуникационные компании — субъекты критической информационной инфраструктуры. Когда SaaS-сервис продаётся такому заказчику, требования к безопасности КИИ начинают касаться и поставщика: реестр российского ПО, сертификация средств защиты, уведомление об инцидентах. В главе разобрано, что такое КИИ и какие вопросы задаст крупный заказчик.

Законы: 187-ФЗ ст. 2, 7, 9 · Указ Президента № 166 · КоАП РФ ст. 13.12.1 · УК РФ ст. 274.1
Уровень: Продвинутый
Связанные главы: 2.3 Реестр ПО · 3.5 Защита данных · 9.1 Взлом
Зачем это знать: Чтобы понимать требования в тендерной документации и анкете безопасности

§1Субъекты и объекты КИИ

187-ФЗ «О безопасности критической информационной инфраструктуры»ст. 2, п. 7–8ред. от 07.04.2025
7) объекты критической информационной инфраструктуры - информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления субъектов критической информационной инфраструктуры;
8) субъекты критической информационной инфраструктуры - государственные органы, государственные учреждения, российские юридические лица, которым […] принадлежат информационные системы […], функционирующие в сфере здравоохранения, науки, транспорта, связи, энергетики, государственной регистрации прав на недвижимое имущество и сделок с ним, банковской сфере и иных сферах финансового рынка, топливно-энергетического комплекса, в области атомной энергии, оборонной […] промышленности […].

Субъект КИИ проводит категорирование своих объектов: оценивает последствия их отказа для людей, экономики, государства. Объекту присваивают одну из трёх категорий значимости или признают его незначимым (ст. 7). Значимые объекты вносятся в реестр ФСТЭК, и к ним применяются строгие требования: система безопасности, сертифицированные средства защиты, реагирование на инциденты и взаимодействие с ГосСОПКА.

§2Иностранное ПО на значимых объектах

Указом Президента от 30.03.2022 № 166 с 1 января 2025 года органам власти и заказчикам — субъектам КИИ запрещено использовать иностранное программное обеспечение на значимых объектах КИИ. Для SaaS-поставщика это значит: чтобы продавать продукт для значимых объектов, нужна запись в реестре российского ПО (глава 2.3), а инфраструктура сервиса не должна зависеть от иностранных программ, которые заказчик не вправе применять.

§3Анкета безопасности заказчика

Крупный заказчик перед подключением сервиса присылает анкету или требования. Типичные вопросы и нормы, из которых они следуют:

Вопрос	Откуда
Включён ли продукт в реестр российского ПО?	149-ФЗ ст. 12.1; Указ № 166
Где размещены серверы и базы данных?	152-ФЗ ч. 5 ст. 18; реестр провайдеров хостинга
Какой уровень защищённости ПДн обеспечивается? Есть ли модель угроз?	152-ФЗ ст. 19; ПП № 1119; приказ ФСТЭК № 21
Используются ли сертифицированные средства защиты информации?	Требования ФСТЭК к значимым объектам
Как вы уведомляете об инцидентах и в какие сроки?	152-ФЗ ч. 3.1 ст. 21; 187-ФЗ, ГосСОПКА
Кто из подрядчиков имеет доступ к данным?	152-ФЗ ч. 3 ст. 6 — поручение обработки
Проводился ли пентест? Есть ли отчёт?	Практика заказчиков, условие для значимых объектов

§4Ответственность

КоАП РФ ст. 13.12.1 ч. 1 — нарушение требований к безопасности значимых объектов КИИ

Должностное лицо

от 10 тыс. до 50 тыс. ₽

Организация

от 50 тыс. до 100 тыс. ₽

1 тыс.10 тыс.100 тыс.1 млн10 млн100 млн

УК РФст. 274.1, ч. 2ред. от 04.08.2026
2. Неправомерный доступ к охраняемой компьютерной информации, содержащейся в критической информационной инфраструктуре Российской Федерации […], если он повлек уничтожение, блокирование, модификацию либо копирование компьютерной информации […], -
наказывается принудительными работами на срок до пяти лет […] либо лишением свободы на срок от двух до шести лет со штрафом в размере от пятисот тысяч до одного миллиона рублей […].

Статья 274.1 применяется вместо ст. 272 и 273, когда целью является КИИ. Минимальный срок лишения свободы — два года, при тяжких последствиях — от пяти до десяти лет (ч. 5). Нарушение правил эксплуатации объектов КИИ работниками тоже наказуемо (ч. 3); освобождение возможно при активном содействии расследованию (примечание).

§5Частые ошибки

«Мы маленький SaaS, КИИ нас не касается»Касается, как только клиент — банк, больница или оператор связи.

Иностранные компоненты в продукте для значимых объектовС 2025 года заказчик не вправе их использовать.

Нет документов по защитеАнкету безопасности без модели угроз и регламента инцидентов не пройти.

§6Проверьте себя

Кто является субъектом КИИ и что относится к её объектам?
Что такое значимый объект КИИ и как он появляется?
Какое ограничение действует с 1 января 2025 года для значимых объектов КИИ?
Какие вопросы крупный заказчик задаст поставщику SaaS?
Чем ст. 274.1 УК отличается от ст. 272?

КИИ187-ФЗбанки, связь, медицина, транспорт, энергетикакатегорирование → значимые объекты

Для поставщикареестр ПОсерверы в РФмодель угроз, ГосСОПКА

ОтветственностьКоАП 13.12.1 — орг. до 100 тыс.УК 274.1 — до 10 лет

Справочник «Вайбкодинг в России» · модуль 9 · глава 9.2Макаров Максим Николаевич