Вопрос: Импортозамещение: какие риски возникают у субъектов КИИ при несоблюдении требований законодательства об импортозамещении и технологической независимости?
Ответ: Ответ: при несоблюдении требований законодательства, направленных на обеспечение технологической независимости критической информационной инфраструктуры (далее – КИИ) Российской Федерации (далее – РФ) и импортозамещение, возможно наложение административной ответственности на субъектов КИИ.
  
  	 Весной 2022 года вступили в силу два указа Президента РФ, направленные на обеспечение технологической независимости от иностранных производителей (разработчиков) и безопасности КИИ РФ:
  
  	 ·     Указ Президента РФ от 30.03.2022 № 166 «О мерах по обеспечению технологической независимости и безопасности критической информационной инфраструктуры Российской Федерации» (далее – УП-166);
  
  	 ·     Указ Президента РФ от 01.05.2022 № 250 «О дополнительных мерах по обеспечению информационной безопасности Российской Федерации» (далее – УП-250).
  
  	 Невыполнение требований, установленных УП-166 и УП-250, потенциально влечет к наложению административной ответственности на юридическое лицо, являющееся субъектом КИИ. Описание видов административной ответственности в соответствии с Кодексом РФ об административных правонарушениях (далее – КоАП РФ) представлено в таблице.
  
  			 № статьи
  		
  			 Наименование статьи КоАП РФ
  		
  			 Содержание статьи КоАП РФ
  		
  			 Размер административного штрафа для юридического лица
  		13.12 (ч. 6)
  		
  			 Нарушение правил защиты информации
  		
  			 Нарушение требований о защите информации (за исключением информации, составляющей государственную тайну), установленных федеральными законами и принятыми в соответствии с ними иными нормативными правовыми актами РФ
  		
  			 До 15 тыс.руб.
  		13.12.1
  			(ч. 1)
  		
  			 Нарушение требований в области обеспечения безопасности КИИ РФ
  		
  			 Нарушение требований к созданию систем безопасности значимых объектов КИИ РФ и обеспечению их функционирования либо требований по обеспечению безопасности значимых объектов КИИ РФ, установленных федеральными законами и принятыми в соответствии с ними иными нормативными правовыми актами РФ
  		
  			 До 100 тыс.руб.
  		
  	 Юридические лица, являющиеся субъектами КИИ, должны оценивать и учитывать риски, связанные с использованием иностранных технических средств и систем (в том числе средств защиты информации) в условиях ограниченной поддержки производителями и государственной политики импортозамещения. К таким рискам можно отнести следующее:
  
  	 ·     административная ответственность (см. таблицу);
  
  	 ·     проблемы при прохождении государственного контроля и ведомственного мониторинга в области обеспечения безопасности КИИ РФ;
  
  	 ·     общий вектор развития направлений импортозамещения и технологической независимости и связанное с этим усиление регуляторной нагрузки и комплаенс-контроля;
  
  	 ·     трудности в проведении оценки соответствия и организации сопровождения иностранных средств защиты информации в рамках их эксплуатации (оказание самостоятельной технической поддержки, применение дополнительных мер обеспечения информационной безопасности).
Цитаты из НПА: {"30.03.2022 № 166": ["Правительству Российской Федерации:", "а) в месячный срок утвердить:", "требования к программному обеспечению, используемому органами государственной власти, заказчиками на принадлежащих им значимых объектах критической информационной инфраструктуры;", "правила согласования закупок иностранного программного обеспечения в целях его использования заказчиками на принадлежащих им значимых объектах критической информационной инфраструктуры, а также закупок услуг, необходимых для использования этого программного обеспечения на таких объектах;"], "01.05.2022 № 250": ["органам (организациям) запрещается использовать средства защиты информации, странами происхождения которых являются иностранные государства, совершающие в отношении Российской Федерации, российских юридических лиц и физических лиц недружественные действия, либо производителями которых являются организации, находящиеся под юрисдикцией таких иностранных государств, прямо или косвенно подконтрольные им либо аффилированные с ними, а также пользоваться сервисами (работами, услугами) по обеспечению информационной безопасности, предоставляемыми (выполняемыми, оказываемыми) этими организациями.", "возложить на заместителя руководителя органа (организации) полномочия по обеспечению информационной безопасности органа (организации), в том числе по обнаружению, предупреждению и ликвидации последствий компьютерных атак и реагированию на компьютерные инциденты;"]}
full_text: {"30.03.2022 № 166": "Указ Президента РФ от 30 марта 2022 г. N 166 \"О мерах по обеспечению технологической независимости и безопасности критической информационной инфраструктуры Российской Федерации\"\nВ целях обеспечения технологической независимости и безопасности критической информационной инфраструктуры Российской Федерации постановляю:\n1. Установить, что:\nа) с 31 марта 2022 г. заказчики (за исключением организаций с муниципальным участием), осуществляющие закупки в соответствии с Федеральным законом от 18 июля 2011 г. N 223-ФЗ \"О закупках товаров, работ, услуг отдельными видами юридических лиц\" (далее - заказчики), не могут осуществлять закупки иностранного программного обеспечения, в том числе в составе программно-аппаратных комплексов (далее - программное обеспечение), в целях его использования на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации (далее - критическая информационная инфраструктура), а также закупки услуг, необходимых для использования этого программного обеспечения на таких объектах, без согласования возможности осуществления закупок с федеральным органом исполнительной власти, уполномоченным Правительством Российской Федерации, или с Центральным банком Российской Федерации (в соответствии с его полномочиями, установленными законодательством Российской Федерации);\nб) с 1 января 2025 г. органам государственной власти, заказчикам запрещается использовать иностранное программное обеспечение на принадлежащих им значимых объектах критической информационной инфраструктуры. 2. Правительству Российской Федерации:\nа) в месячный срок утвердить:\nтребования к программному обеспечению, используемому органами государственной власти, заказчиками на принадлежащих им значимых объектах критической информационной инфраструктуры;\nправила согласования закупок иностранного программного обеспечения в целях его использования заказчиками на принадлежащих им значимых объектах критической информационной инфраструктуры, а также закупок услуг, необходимых для использования этого программного обеспечения на таких объектах;\nб) в 6-месячный срок реализовать комплекс мероприятий, направленных на обеспечение преимущественного применения субъектами критической информационной инфраструктуры отечественных радиоэлектронной продукции и телекоммуникационного оборудования на принадлежащих им значимых объектах критической информационной инфраструктуры, в том числе:\nопределить сроки и порядок перехода субъектов критической информационной инфраструктуры на преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих им значимых объектах критической информационной инфраструктуры;\nобеспечить внесение в законодательство Российской Федерации изменений в соответствии с настоящим Указом;\nобеспечить создание и организацию деятельности научно-производственного объединения, специализирующегося на разработке, производстве, технической поддержке и сервисном обслуживании доверенных программно-аппаратных комплексов для критической информационной инфраструктуры;\nорганизовать подготовку и переподготовку кадров в сфере разработки, производства, технической поддержки и сервисного обслуживания радиоэлектронной продукции и телекоммуникационного оборудования;\nсоздать систему мониторинга и контроля в названной сфере;\nв) обеспечить контроль:\nза соблюдением заказчиками правил, утвержденных в соответствии с подпунктом \"а\" настоящего пункта;\nза выполнением органами государственной власти, заказчиками запрета, установленного подпунктом \"б\" пункта 1 настоящего Указа. 3. Настоящий Указ вступает в силу со дня его подписания. Москва, Кремль\n30 марта 2022 года\nN 166", "01.05.2022 № 250": "Указ Президента РФ от 1 мая 2022 г. N 250 \"О дополнительных мерах по обеспечению информационной безопасности Российской Федерации\"\nВ целях повышения устойчивости и безопасности функционирования информационных ресурсов Российской Федерации постановляю:\n1. Руководителям федеральных органов исполнительной власти, высших исполнительных органов государственной власти субъектов Российской Федерации, государственных фондов, государственных корпораций (компаний) и иных организаций, созданных на основании федеральных законов, стратегических предприятий, стратегических акционерных обществ и системообразующих организаций российской экономики, юридических лиц, являющихся субъектами критической информационной инфраструктуры Российской Федерации (далее - органы (организации):\nа) возложить на заместителя руководителя органа (организации) полномочия по обеспечению информационной безопасности органа (организации), в том числе по обнаружению, предупреждению и ликвидации последствий компьютерных атак и реагированию на компьютерные инциденты;\nб) создать в органе (организации) структурное подразделение, осуществляющее функции по обеспечению информационной безопасности органа (организации), в том числе по обнаружению, предупреждению и ликвидации последствий компьютерных атак и реагированию на компьютерные инциденты, либо возложить данные функции на существующее структурное подразделение;\nв) принимать в случае необходимости решения о привлечении организаций к осуществлению мероприятий по обеспечению информационной безопасности органа (организации). При этом могут привлекаться исключительно организации, имеющие лицензии на осуществление деятельности по технической защите конфиденциальной информации;\nг) принимать в случае необходимости решения о привлечении организаций к осуществлению мероприятий по обнаружению, предупреждению и ликвидации последствий компьютерных атак и реагированию на компьютерные инциденты. При этом могут привлекаться исключительно организации, являющиеся аккредитованными центрами государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации (далее - аккредитованные центры), за исключением случая, предусмотренного подпунктом \"б\" пункта 5 настоящего Указа;\nд) обеспечивать должностным лицам органов федеральной службы безопасности беспрепятственный доступ (в том числе удаленный) к принадлежащим органам (организациям) либо используемым ими информационным ресурсам, доступ к которым обеспечивается посредством использования информационно-телекоммуникационной сети \"Интернет\", в целях осуществления мониторинга, предусмотренного подпунктом \"в\" пункта 5 настоящего Указа, а также обеспечивать исполнение указаний, данных органами федеральной службы безопасности по результатам такого мониторинга;\nе) обеспечивать незамедлительную реализацию организационных и технических мер, решения о необходимости осуществления которых принимаются Федеральной службой безопасности Российской Федерации и Федеральной службой по техническому и экспортному контролю в пределах их компетенции и направляются в органы (организации) с учетом меняющихся угроз в информационной сфере. 2. Возложить на руководителей органов (организаций) персональную ответственность за обеспечение информационной безопасности соответствующих органов (организаций). 3. Правительству Российской Федерации в месячный срок:\nа) утвердить:\nтиповое положение о заместителе руководителя органа (организации), ответственного за обеспечение информационной безопасности органа (организации);\nтиповое положение о структурном подразделении органа (организации), обеспечивающем информационную безопасность органа (организации);\nб) определить перечень ключевых органов (организаций), которым необходимо осуществить мероприятия по оценке уровня защищенности своих информационных систем с привлечением организаций, имеющих соответствующие лицензии Федеральной службы безопасности Российской Федерации и Федеральной службы по техническому и экспортному контролю. 4. Органам (организациям), включенным в перечень, определенный в соответствии с подпунктом \"б\" пункта 3 настоящего Указа, осуществить мероприятия по оценке уровня защищенности своих информационных систем и до 1 июля 2022 г. представить доклад в Правительство Российской Федерации. 5. Федеральной службе безопасности Российской Федерации:\nа) организовать аккредитацию центров государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, установить требования к таким центрам, определить порядок их аккредитации, в том числе порядок приостановления процедуры аккредитации, приостановления действия аккредитации и отзыва аккредитации, а также установить требования к аккредитованным центрам;\nб) определить переходный период, в течение которого допускается осуществлять мероприятия по обнаружению, предупреждению и ликвидации последствий компьютерных атак и реагированию на компьютерные инциденты в интересах органов (организаций) на основании заключенных с Федеральной службой безопасности Российской Федерации (Национальным координационным центром по компьютерным инцидентам) соглашений о сотрудничестве (взаимодействии) в области обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты;\nв) определить порядок осуществления мониторинга защищенности информационных ресурсов, принадлежащих органам (организациям) либо используемых ими, и осуществлять такой мониторинг;\nг) осуществлять контроль за деятельностью аккредитованных центров. 6. Установить, что с 1 января 2025 г. органам (организациям) запрещается использовать средства защиты информации, странами происхождения которых являются иностранные государства, совершающие в отношении Российской Федерации, российских юридических лиц и физических лиц недружественные действия, либо производителями которых являются организации, находящиеся под юрисдикцией таких иностранных государств, прямо или косвенно подконтрольные им либо аффилированные с ними, а также пользоваться сервисами (работами, услугами) по обеспечению информационной безопасности, предоставляемыми (выполняемыми, оказываемыми) этими организациями. 7. Настоящий Указ вступает в силу со дня его официального опубликования. Москва, Кремль\n1 мая 2022 года\nN 250"}