Вопрос: Категорирование: как повлиял Федеральный закон от 02.08.2019 № 264-ФЗ «О внесении изменений в Федеральный закон «О национальной платежной системе» и Федеральный закон «О Центральном банке Российской Федерации (Банке России)» на категорирование ОКИИ?
Ответ: Ответ: никак не повлиял.
  Федеральный закон от 02.08.2019 № 264-ФЗ «О внесении изменений в Федеральный закон «О национальной платежной системе» и Федеральный закон «О Центральном банке Российской Федерации (Банке России)» дополнил статью 9.1 Федерального закона «О национальной платежной системе» нормой следующего содержания: «Информационные системы операторов по переводу денежных средств, с использованием которых осуществляется прием электронных средств платежа и обмен информацией с иностранными поставщиками платежных услуг, информационные системы операторов услуг информационного обмена, с использованием которых осуществляется взаимодействие с иностранными поставщиками платежных услуг, должны соответствовать требованиям по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации».
  
  	 Согласно данной норме все информационные системы, задействованные в процессе обмена информацией с иностранными поставщиками платежных услуг, должны соответствовать требованиям по обеспечению безопасности ЗОКИИ, независимо от того, прошли они процедуру категорирования или нет, и независимо от того, принадлежат они субъектам КИИ или нет. Требования по обеспечению безопасности ЗОКИИ утверждены приказом ФСТЭК России от 25.12.2017 № 239. В соответствии с п. 6 приказа ФСТЭК № 239 безопасность ЗОКИИ обеспечивается субъектами КИИ в рамках функционирования систем безопасности ЗОКИИ, создаваемых субъектами КИИ. Создание и функционирование систем безопасности ЗОКИИ определяется приказом ФСТЭК России от 21.12.2017 № 235.
  
  	 Таким образом, данная норма возлагает на операторов по переводу денежных средств (операторов услуг информационного обмена), независимо от их принадлежности к субъектам КИИ, обязанности по обеспечению безопасности информационных систем задействованных в процессе обмена информацией с иностранными поставщиками платежных услуг по требованиям предъявляемым к ЗОКИИ.
Цитаты из НПА: {"02.08.2019 № 264": ["Информационные системы операторов по переводу денежных средств, с использованием которых осуществляется прием электронных средств платежа и обмен информацией с иностранными поставщиками платежных услуг, информационные системы операторов услуг информационного обмена, с использованием которых осуществляется взаимодействие с иностранными поставщиками платежных услуг, должны соответствовать требованиям по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации.", "15. Информационные системы операторов по переводу денежных средств, с использованием которых осуществляется прием электронных средств платежа и обмен информацией с иностранными поставщиками платежных услуг, информационные системы операторов услуг информационного обмена, с использованием которых осуществляется взаимодействие с иностранными поставщиками платежных услуг, должны соответствовать требованиям по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации."], "25.12.2017 № 239": ["12.5. Опытная эксплуатация значимого объекта и его подсистемы безопасности должна проводиться в соответствии с программой и методиками опытной эксплуатации и включать проверку функционирования подсистемы безопасности значимого объекта, в том числе реализованных организационных и технических мер, а также знаний и умений пользователей и администраторов, необходимых для эксплуатации значимого объекта и его подсистемы безопасности.", "Организационные и технические меры по обеспечению безопасности значимого объекта принимаются субъектом критической информационной инфраструктуры совместно с лицом, эксплуатирующим значимый объект (при его наличии). При этом между субъектом критической информационной инфраструктуры и лицом, эксплуатирующим значимый объект, должно быть проведено разграничение функций по обеспечению безопасности значимого объекта в ходе его эксплуатации.", "Для обеспечения безопасности значимых объектов критической информационной инфраструктуры должны применяться средства защиты информации, прошедшие оценку на соответствие требованиям по безопасности в формах обязательной сертификации, испытаний или приемки.", "Для обеспечения безопасности значимых объектов, являющихся информационными системами персональных данных, настоящие Требования применяются с учетом Требований к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119 (Собрание законодательства Российской Федерации, 2012, N 45, ст. 6257).", "Анализ угроз безопасности информации должен включать: а) выявление источников угроз безопасности информации и оценку возможностей (потенциала) внешних и внутренних нарушителей; б) анализ возможных уязвимостей значимого объекта и его программных, программно-аппаратных средств; в) определение возможных способов (сценариев) реализации (возникновения) угроз безопасности информации; г) оценку возможных последствий от реализации (возникновения) угроз безопасности информации.", "Модель угроз безопасности информации должна содержать краткое описание архитектуры значимого объекта, характеристику источников угроз безопасности информации, в том числе модель нарушителя, и описание всех угроз безопасности информации, актуальных для значимого объекта.", "Рабочая (эксплуатационная) документация на значимый объект должна содержать: описание архитектуры подсистемы безопасности значимого объекта; порядок и параметры настройки программных и программно-аппаратных средств, в том числе средств защиты информации; правила эксплуатации программных и программно-аппаратных средств, в том числе средств защиты информации (правила безопасной эксплуатации). Состав и формы рабочей (эксплуатационной) документации определяются в соответствии с техническим заданием на создание значимого объекта и (или) техническим заданием (частным техническим заданием) на создание подсистемы безопасности значимого объекта.", "в информационных системах: информация, обрабатываемая в информационной системе; программно-аппаратные средства (в том числе машинные носители информации, автоматизированные рабочие места, серверы, телекоммуникационное оборудование, линии связи, средства обработки буквенно-цифровой, графической, видео- и речевой информации); программные средства (в том числе микропрограммное, общесистемное, прикладное программное обеспечение); средства защиты информации; архитектура и конфигурация информационной системы;", "Безопасность значимых объектов обеспечивается субъектами критической информационной инфраструктуры в рамках функционирования систем безопасности значимых объектов, создаваемых субъектами критической информационной инфраструктуры в соответствии со статьей 10 Федерального закона от 26 июля 2017 г.", "Организационно-распорядительные документы по безопасности значимого объекта должны в том числе устанавливать правила безопасной работы работников, эксплуатирующих значимые объекты, и работников, обеспечивающих функционирование значимых объектов, а также действия работников при возникновении нештатных ситуаций, в том числе вызванных компьютерными инцидентами.", "Уничтожение (стирание) данных и остаточной информации с машинных носителей информации производится при необходимости передачи машинного носителя информации другому пользователю значимого объекта или в иные организации для ремонта, технического обслуживания или дальнейшего уничтожения. При выводе из эксплуатации машинных носителей информации, на которых осуществлялись хранение и обработка информации, производится или физическое уничтожение самих машинных носителей информации или уничтожение содержащейся на машинных носителях информации методами, не предусматривающими возможность ее восстановления.", "Результаты оценки включаются в проектную документацию на значимый объект (подсистему безопасности значимого объекта) и представляются субъекту критической информационной инфраструктуры.", "Планирование мероприятий по обеспечению безопасности значимого объекта должно осуществляться в рамах процесса планирования, внедренного в соответствии с требованиями к созданию систем безопасности значимых объектов и обеспечению их функционирования, утвержденными в соответствии с пунктом 4 части 3 статьи 6 Федерального закона от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\".", "Описание каждой угрозы безопасности информации должно включать: а) источник угрозы безопасности информации; б) уязвимости (ошибки), которые могут быть использованы для реализации (способствовать возникновению) угрозы безопасности информации; в) возможные способы (сценарии) реализации угрозы безопасности информации; г) возможные последствия от реализации (возникновения) угрозы безопасности информации."], "21.12.2017 № 235": ["25. Организационно-распорядительные документы по безопасности значимых объектов должны определять: а) цели и задачи обеспечения безопасности значимых объектов критической информационной инфраструктуры, основные угрозы безопасности информации и категории нарушителей, основные организационные и технические мероприятия по обеспечению безопасности значимых объектов критической информационной инфраструктуры, проводимые субъектом критической информационной инфраструктуры, состав и структуру системы безопасности и функции ее участников, порядок применения, формы оценки соответствия значимых объектов критической информационной инфраструктуры и средств защиты информации требованиям по безопасности;", "Руководитель субъекта критической информационной инфраструктуры определяет состав и структуру системы безопасности, а также функции ее участников при обеспечении безопасности значимых объектов критической информационной инфраструктуры в зависимости от количества значимых объектов критической информационной инфраструктуры, а также особенностей деятельности субъекта критической информационной инфраструктуры.", "В состав комиссии включаются работники структурного подразделения по безопасности, специалисты по безопасности, работники подразделений, эксплуатирующих значимые объекты критической информационной инфраструктуры, и подразделений, обеспечивающих функционирование значимых объектов критической информационной инфраструктуры.", "Контроль проводится комиссией, назначаемой субъектом критической информационной инфраструктуры.", "Создаваемая система безопасности должна включать силы обеспечения безопасности значимых объектов критической информационной инфраструктуры обособленных подразделений (филиалов, представительств) субъектов критической информационной инфраструктуры, в которых эксплуатируются значимые объекты критической информационной инфраструктуры.", "Создание и функционирование систем безопасности должно быть направлено на обеспечение устойчивого функционирования значимых объектов критической информационной инфраструктуры при проведении в отношении них компьютерных атак.", "Порядок применения средств защиты информации определяется субъектом критической информационной инфраструктуры в организационно-распорядительных документах по безопасности значимых объектов с учетом особенностей деятельности субъекта критической информационной инфраструктуры.", "Не допускается возложение на структурное подразделение по безопасности, специалистов по безопасности функций, не связанных с обеспечением безопасности значимых объектов критической информационной инфраструктуры или обеспечением информационной безопасности субъекта критической информационной инфраструктуры в целом.", "Анализ функционирования системы безопасности, а также разработка предложений по совершенствованию безопасности значимых объектов критической информационной инфраструктуры осуществляются структурным подразделением по безопасности, специалистами по безопасности с участием подразделений (работников), эксплуатирующих значимые объекты критической информационной инфраструктуры, и подразделений (работников), обеспечивающих функционирование значимых объектов критической информационной инфраструктуры."]}
full_text: {"02.08.2019 № 264": "Федеральный закон от 2 августа 2019 г. N 264-ФЗ \"О внесении изменений в Федеральный закон \"О национальной платежной системе\" и Федеральный закон \"О Центральном банке Российской Федерации (Банке России)\"\nПринят Государственной Думой 23 июля 2019 года\nОдобрен Советом Федерации 26 июля 2019 года\nСтатья 1\nВнести в Федеральный закон от 27 июня 2011 года N 161-ФЗ \"О\nнациональной платежной системе\" (Собрание законодательства Российской\nФедерации, 2011, N 27, ст. 3872; 2013, N 27, ст. 3477; N 30, ст. 4084;\nN 52, ст. 6968; 2014, N 19, ст. 2315, 2317; N 43, ст. 5803; 2015, N 1,\nст. 8, 14; 2016, N 27, ст. 4221, 4223; 2017, N 15, ст. 2134; N 18,\nст. 2665; N 30, ст. 4456; 2018, N 27, ст. 3950, 3952; N 49, ст. 7524;\n2019, N 12, ст. 1223; N 27, ст. 3531, 3538) следующие изменения:\n1) в статье 3:\nа) пункт 1 после слов \"операторов услуг платежной инфраструктуры\"\nдополнить словами \", операторов услуг информационного обмена,\nиностранных поставщиков платежных услуг, операторов иностранных\nплатежных систем\";\nб) в пункте 27 слова \"к правилам\" заменить словами \"к определяемым\nоператором иностранной платежной системы правилам иностранной\", после\nслов \"по правилам\" дополнить словом \"иностранной\";\nв) дополнить пунктом 27.1 следующего содержания:\n\"27.1) правила иностранной платежной системы - документ (документы),\nсодержащий (содержащие) условия осуществления трансграничных переводов\nденежных средств и иные условия, определяемые оператором иностранной\nплатежной системы;\";\nг) дополнить пунктами 32 и 33 следующего содержания:\n\"32) иностранный поставщик платежных услуг - иностранная организация,\nимеющая право в соответствии с законодательством иностранного\nгосударства, на территории которого она зарегистрирована, на основании\nлицензии или иного разрешения оказывать услуги по переводу денежных\nсредств по банковским счетам и (или) без открытия банковских счетов и\n(или) осуществлять операции с использованием электронных средств\nплатежа;\n33) оператор услуг информационного обмена - организация, оказывающая\nоператорам по переводу денежных средств на основании договоров услуги\nобмена информацией при осуществлении операций с использованием\nэлектронных средств платежа между операторами по переводу денежных\nсредств и их клиентами и (или) между операторами по переводу денежных\nсредств и иностранными поставщиками платежных услуг (далее - услуги\nинформационного обмена). При этом оператором услуг информационного\nобмена не являются операционный центр и оператор связи.\";\nГАРАНТ:\nПункт 2 вступает в силу с 3 августа 2020 г. 2) в статье 7:\nа) часть 2 после слов \"или без использования банковского счета\"\nдополнить словами \"с учетом требований части 2.1 настоящей статьи\";\nб) дополнить частями 2.1 и 2.2 следующего содержания:\n\"2.1. Клиент - физическое лицо, в отношении которого не проводилась\nидентификация или упрощенная идентификация в соответствии с\nФедеральным законом от 7 августа 2001 года N 115-ФЗ \"О противодействии\nлегализации (отмыванию) доходов, полученных преступным путем, и\nфинансированию терроризма\", может предоставлять денежные средства\nоператору электронных денежных средств только с использованием\nбанковского счета. 2.2. Банком России по согласованию с федеральным органом\nисполнительной власти, осуществляющим функции по противодействию\nлегализации (отмыванию) доходов, полученных преступным путем,\nфинансированию терроризма и финансированию распространения оружия\nмассового уничтожения, могут быть установлены случаи, при которых не\nдопускается предоставление в соответствии с частью 2 настоящей статьи\nденежных средств юридическими лицами и индивидуальными\nпредпринимателями в пользу клиента - физического лица, в отношении\nкоторого не проводилась идентификация или упрощенная идентификация.\";\n3) дополнить статьей 9.1 следующего содержания:\n\"Статья 9.1. Требования к приему на территории Российской Федерации\nэлектронных средств платежа и обслуживанию клиентов\n1. Прием на территории Российской Федерации электронных средств\nплатежа может осуществляться только операторами по переводу денежных\nсредств, в том числе с участием банковских платежных агентов\n(субагентов), а также юридическими лицами и индивидуальными\nпредпринимателями в целях оплаты их товаров (работ, услуг),\nиспользования результатов интеллектуальной деятельности в соответствии\nс договорами о приеме электронных средств платежа, заключенными с\nоператорами по переводу денежных средств. 2. Операторы по переводу денежных средств обязаны зачислять или\nпереводить денежные средства, получаемые в соответствии с договорами о\nприеме электронных средств платежа юридическими лицами и\nиндивидуальными предпринимателями, личным законом которых считается\nправо Российской Федерации, только на банковские счета, открытые\nоператорами по переводу денежных средств. Операторы по переводу\nденежных средств при приеме электронных средств платежа обязаны\nобеспечивать соблюдение установленных Банком России в соответствии с\nчастью 3 статьи 27 настоящего Федерального закона требований к защите\nинформации при осуществлении переводов денежных средств. 3. Положения частей 1 и 2 настоящей статьи распространяются также на\nслучаи обеспечения приема электронных средств платежа платежными\nагрегаторами, привлекаемыми операторами по переводу денежных средств в\nсоответствии со статьей 14.1 настоящего Федерального закона. 4. Прием на территории Российской Федерации электронных средств\nплатежа, предоставленных иностранными поставщиками платежных услуг\nклиентам, личным законом которых считается право иностранного\nгосударства (далее - иностранные клиенты), может осуществляться только\nпри наличии договора между оператором по переводу денежных средств и\nиностранным поставщиком платежных услуг и соблюдении следующих\nтребований:\n1) установление в договоре между оператором по переводу денежных\nсредств и иностранным поставщиком платежных услуг порядка\nвзаимодействия между оператором по переводу денежных средств и\nиностранным поставщиком платежных услуг в случаях осуществления\nспорных, несанкционированных операций с использованием электронных\nсредств платежа иностранных клиентов;\n2) установление в договоре между оператором по переводу денежных\nсредств и иностранным поставщиком платежных услуг срока получения\nденежных средств оператором по переводу денежных средств от\nиностранного поставщика платежных услуг не позднее трех рабочих дней\nсо дня осуществления операции с использованием электронного средства\nплатежа;\n3) установление в договоре между оператором по переводу денежных\nсредств и иностранным поставщиком платежных услуг способа (способов)\nобеспечения обязательств иностранного поставщика платежных услуг перед\nоператором по переводу денежных средств;\n4) проведение иностранным поставщиком платежных услуг идентификации\nиностранных клиентов в соответствии с требованиями законодательства\nиностранного государства, на территории которого зарегистрирован\nиностранный поставщик платежных услуг;\n5) установление в договоре между оператором по переводу денежных\nсредств и иностранным поставщиком платежных услуг обязанности\nиностранного поставщика платежных услуг предоставлять оператору по\nпереводу денежных средств по его запросу в срок не позднее трех\nрабочих дней со дня получения такого запроса сведения об иностранных\nклиентах, полученные иностранным поставщиком платежных услуг при\nпроведении идентификации иностранных клиентов в соответствии с\nтребованиями законодательства иностранного государства, на территории\nкоторого зарегистрирован иностранный поставщик платежных услуг;\n6) соблюдение установленных Банком России в соответствии с частью 3\nстатьи 27 настоящего Федерального закона требований к защите\nинформации при осуществлении переводов денежных средств. 5. Оператор по переводу денежных средств обязан запрашивать у\nиностранного поставщика платежных услуг сведения, указанные в пункте 5\nчасти 4 настоящей статьи, в случае возникновения подозрений, что\nоперация с использованием электронного средства платежа иностранного\nклиента осуществляется в целях легализации (отмывания) доходов,\nполученных преступным путем, или финансирования терроризма. 6. Положения частей 4 и 5 настоящей статьи распространяются также на\nслучаи обеспечения приема электронных средств платежа платежными\nагрегаторами, привлекаемыми операторами по переводу денежных средств в\nсоответствии со статьей 14.1 настоящего Федерального закона. 7. Оператор по переводу денежных средств вправе заключать договор с\nиностранным поставщиком платежных услуг, предоставляющим клиентам,\nличным законом которых считается право Российской Федерации,\nэлектронные средства платежа только на следующих условиях:\n1) осуществление операций с использованием электронных средств\nплатежа, предоставленных иностранным поставщиком платежных услуг\nклиентам, личным законом которых считается право Российской Федерации,\nза счет денежных средств, переводимых иностранному поставщику\nплатежных услуг оператором по переводу денежных средств;\n2) запрет приема на территории Российской Федерации электронных\nсредств платежа, предоставленных иностранным поставщиком платежных\nуслуг клиентам, личным законом которых считается право Российской\nФедерации;\n3) проведение иностранным поставщиком платежных услуг в соответствии с\nтребованиями законодательства иностранного государства, на территории\nкоторого зарегистрирован иностранный поставщик платежных услуг,\nидентификации клиентов, личным законом которых считается право\nРоссийской Федерации, при предоставлении электронных средств платежа и\nосуществлении операций с их использованием за пределами Российской\nФедерации;\n4) установление обязанности иностранного поставщика платежных услуг\nпредоставлять оператору по переводу денежных средств по его запросу в\nсрок не позднее трех рабочих дней со дня получения такого запроса\nсведения, полученные иностранным поставщиком платежных услуг при\nпроведении идентификации клиентов в соответствии с требованиями\nзаконодательства иностранного государства, на территории которого\nзарегистрирован иностранный поставщик платежных услуг, о клиентах,\nличным законом которых считается право Российской Федерации, а также\nоб операциях клиентов, личным законом которых считается право\nРоссийской Федерации, осуществленных за пределами Российской Федерации\nс использованием электронных средств платежа, предоставленных\nиностранным поставщиком платежных услуг. 8. Оператор по переводу денежных средств обязан запрашивать у\nиностранного поставщика платежных услуг сведения, указанные в пункте 4\nчасти 7 настоящей статьи, в случае возникновения подозрений, что\nоперация с использованием электронного средства платежа клиента,\nличным законом которого считается право Российской Федерации,\nосуществляется в целях легализации (отмывания) доходов, полученных\nпреступным путем, или финансирования терроризма. 9. Положения частей 7 и 8 настоящей статьи не распространяются на\nслучаи предоставления клиентам, личным законом которых считается право\nРоссийской Федерации, платежных карт в соответствии с правилами\nиностранной платежной системы, а также на случаи осуществления\nопераций с такими платежными картами. 10. В случае участия иностранного поставщика платежных услуг и\nоператора по переводу денежных средств в одной платежной системе\nэлектронные средства платежа, предоставляемые иностранным клиентам\nиностранным поставщиком платежных услуг, могут приниматься на\nтерритории Российской Федерации оператором по переводу денежных\nсредств в соответствии с правилами платежной системы без заключения с\nиностранным поставщиком платежных услуг договора, предусмотренного\nчастью 4 настоящей статьи, при условии включения в правила платежной\nсистемы требований частей 4 и 5 настоящей статьи. 11. Сведения об иностранных поставщиках платежных услуг, заключивших\nдоговоры с операторами по переводу денежных средств в соответствии с\nчастями 4 и 7 настоящей статьи, включаются в перечень иностранных\nпоставщиков платежных услуг, ведение которого осуществляется Банком\nРоссии в установленном им порядке. 12. Операторы по переводу денежных средств, а также операторы\nплатежных систем в случае, предусмотренном частью 10 настоящей статьи,\nобязаны предоставлять Банку России необходимые для ведения перечня\nиностранных поставщиков платежных услуг сведения об иностранных\nпоставщиках платежных услуг, заключивших договоры с операторами по\nпереводу денежных средств. Порядок, форма, состав и срок\nпредоставления операторами по переводу денежных средств, операторами\nплатежных систем сведений об иностранных поставщиках платежных услуг\nустанавливаются Банком России. 13. Банк России вправе запрашивать и получать от оператора по переводу\nденежных средств документы и иную необходимую информацию, связанную со\nвзаимодействием с иностранным поставщиком платежных услуг. 14. Положения частей 1 - 7 настоящей статьи распространяются также на\nслучаи приема электронных средств платежа нотариусами, занимающимися\nчастной практикой, адвокатами, учредившими адвокатские кабинеты,\nмедиаторами, арбитражными управляющими, оценщиками, патентными\nповеренными и иными лицами, занимающимися в установленном\nзаконодательством Российской Федерации порядке частной практикой, а\nтакже физическими лицами, применяющими специальный налоговый режим\n\"Налог на профессиональный доход\". 15. Информационные системы операторов по переводу денежных средств, с\nиспользованием которых осуществляется прием электронных средств\nплатежа и обмен информацией с иностранными поставщиками платежных\nуслуг, информационные системы операторов услуг информационного обмена,\nс использованием которых осуществляется взаимодействие с иностранными\nпоставщиками платежных услуг, должны соответствовать требованиям по\nобеспечению безопасности значимых объектов критической информационной\nинфраструктуры Российской Федерации. 16. В соответствии с договором между оператором по переводу денежных\nсредств и оператором услуг информационного обмена оператором услуг\nинформационного обмена должно предусматриваться соблюдение:\n1) установленных Банком России в соответствии с частью 3 статьи 27\nнастоящего Федерального закона требований к защите информации при\nосуществлении переводов денежных средств;\n2) правил платежной системы в случае привлечения оператором по\nпереводу денежных средств оператора услуг информационного обмена для\nобмена информацией по операциям с использованием электронных средств\nплатежа в рамках платежной системы. 17. Оператор услуг информационного обмена не вправе приостанавливать\n(прекращать) в одностороннем порядке оказание услуг информационного\nобмена оператору по переводу денежных средств и его клиентам. 18. В случае приостановления (прекращения) оператором услуг\nинформационного обмена в одностороннем порядке оказания услуг\nинформационного обмена оператору по переводу денежных средств и его\nклиентам оператор по переводу денежных средств обязан уведомить об\nэтом Банк России по форме, в порядке и срок, которые установлены\nБанком России. 19. В случае приостановления (прекращения) оператором услуг\nинформационного обмена в одностороннем порядке оказания услуг\nинформационного обмена оператору по переводу денежных средств и его\nклиентам Банк России взыскивает с оператора услуг информационного\nобмена штраф, предусмотренный Федеральным законом от 10 июля 2002 года\nN 86-ФЗ \"О Центральном банке Российской Федерации (Банке России)\". 20. Сведения об операторах услуг информационного обмена включаются в\nперечень операторов услуг информационного обмена, ведение которого\nосуществляется Банком России в установленном им порядке. 21. Операторы по переводу денежных средств обязаны предоставлять Банку\nРоссии необходимые для ведения перечня операторов услуг\nинформационного обмена сведения об операторах услуг информационного\nобмена. Порядок, форма, состав и срок предоставления операторами по\nпереводу денежных средств сведений об операторах услуг информационного\nобмена устанавливаются Банком России. 22. Банк России вправе запрашивать и получать от оператора по переводу\nденежных средств документы и иную необходимую информацию, связанную со\nвзаимодействием с оператором услуг информационного обмена.\";\n4) статью 15 дополнить частью 37.1 следующего содержания:\n\"37.1. Оператор платежной системы и оператор иностранной платежной\nсистемы могут заключить договор о взаимодействии при условии отражения\nпорядка взаимодействия в правилах платежной системы и правилах\nиностранной платежной системы.\";\n5) главу 3 дополнить статьей 19.2 следующего содержания:\n\"Статья 19.2. Требования к функционированию иностранных платежных\nсистем на территории Российской Федерации\n1. Иностранная организация, являющаяся оператором иностранной\nплатежной системы, в рамках которой осуществляются трансграничные\nпереводы денежных средств физических лиц, в целях включения информации\nо ней в реестр операторов иностранных платежных систем направляет в\nБанк России заявление по форме и в порядке, которые установлены Банком\nРоссии, через обособленное подразделение оператора иностранной\nплатежной системы на территории Российской Федерации. 2. К заявлению оператора иностранной платежной системы прилагаются\nследующие документы:\n1) копия документа, подтверждающего факт регистрации иностранной\nорганизации в соответствии с законодательством страны места ее\nрегистрации;\n2) копия устава или другого учредительного документа иностранной\nорганизации;\n3) копия лицензии или иного разрешения на осуществление деятельности\nоператора иностранной платежной системы (при наличии) либо копия\nдокумента, составленного оператором иностранной платежной системы,\nподтверждающего отсутствие в законодательстве иностранного государства\nтребований о наличии лицензии или иного разрешения в качестве условия\nначала осуществления деятельности оператора иностранной платежной\nсистемы;\n4) копия документа, подтверждающего полномочия обособленного\nподразделения оператора иностранной платежной системы на территории\nРоссийской Федерации на взаимодействие с Банком России в целях\nвыполнения требований настоящего Федерального закона;\n5) составленные на русском языке правила иностранной платежной\nсистемы, соответствующие требованиям частей 4 и 5 настоящей статьи;\n6) информация об операторах услуг платежной инфраструктуры,\nпривлекаемых оператором иностранной платежной системы с учетом\nтребований пункта 5 части 15 настоящей статьи. Указанная информация\nвключает наименование оператора услуг платежной инфраструктуры,\nнаименование платежной системы, в рамках которой оказываются услуги\nплатежной инфраструктуры, и регистрационный номер, присвоенный Банком\nРоссии оператору платежной системы. 3. Банк России устанавливает требования к оформлению и представлению\nдокументов, предусмотренных частью 2 настоящей статьи. Документы,\nсоставленные на иностранном языке, должны быть легализованы в порядке,\nустановленном законодательством Российской Федерации, если иное не\nпредусмотрено международными договорами, участниками которых являются\nРоссийская Федерация и страна места регистрации иностранной\nорганизации, с приложением заверенного в установленном порядке\nперевода на русский язык указанных документов. 4. Правилами иностранной платежной системы в части трансграничного\nперевода денежных средств с участием операторов по переводу денежных\nсредств должны определяться:\n1) порядок осуществления платежного клиринга и расчета в иностранной\nплатежной системе;\n2) система управления рисками в иностранной платежной системе, включая\nпорядок обеспечения исполнения обязательств, связанных с\nосуществлением расчета;\n3) требования к обеспечению защиты информации в иностранной платежной\nсистеме;\n4) порядок взаимодействия между оператором иностранной платежной\nсистемы и операторами по переводу денежных средств в спорных и\nчрезвычайных ситуациях;\n5) требования к обеспечению противодействия легализации (отмыванию)\nдоходов, полученных преступным путем, финансированию терроризма и\nфинансированию распространения оружия массового уничтожения. 5. Банк России вправе устанавливать:\n1) дополнительные требования к содержанию правил иностранной платежной\nсистемы в части порядка осуществления трансграничного перевода\nденежных средств с участием операторов по переводу денежных средств;\n2) требования к системе управления рисками в иностранной платежной\nсистеме, включая порядок обеспечения исполнения обязательств,\nсвязанных с осуществлением расчета;\n3) требования к обеспечению защиты информации при осуществлении\nтрансграничного перевода денежных средств с участием операторов по\nпереводу денежных средств;\n4) требования к обеспечению противодействия легализации (отмыванию)\nдоходов, полученных преступным путем, финансированию терроризма и\nфинансированию распространения оружия массового уничтожения по\nсогласованию с федеральным органом исполнительной власти,\nосуществляющим функции по противодействию легализации (отмыванию)\nдоходов, полученных преступным путем, финансированию терроризма и\nфинансированию распространения оружия массового уничтожения. 6. В срок, не превышающий 30 календарных дней со дня получения\nзаявления, указанного в части 1 настоящей статьи, Банк России\nпринимает решение о включении иностранной организации в реестр\nоператоров иностранных платежных систем или решение об отказе во\nвключении в такой реестр. 7. В случае принятия решения о включении иностранной организации в\nреестр операторов иностранных платежных систем Банк России включает\nинформацию об иностранной организации в реестр операторов иностранных\nплатежных систем, который является общедоступным, и уведомляет об этом\nоператора иностранной платежной системы через его обособленное\nподразделение на территории Российской Федерации в порядке,\nустановленном Банком России, в срок не позднее пяти рабочих дней с\nдаты принятия указанного решения. Порядок ведения реестра операторов\nиностранных платежных систем устанавливается Банком России. 8. Банк России отказывает иностранной организации во включении в\nреестр операторов иностранных платежных систем в случае:\n1) непредставления документов, предусмотренных частью 2 настоящей\nстатьи, или представления неполного комплекта таких документов;\n2) несоответствия формы документов и (или) порядка направления\nдокументов установленным Банком России требованиям;\n3) несоответствия правил иностранной платежной системы требованиям\nчастей 4 и 5 настоящей статьи. 9. В случае отказа во включении иностранной организации в реестр\nоператоров иностранных платежных систем Банк России в установленном им\nпорядке уведомляет об этом оператора иностранной платежной системы\nчерез его обособленное подразделение на территории Российской\nФедерации с указанием оснований отказа и приложением представленных\nдокументов в срок не позднее пяти рабочих дней с даты принятия решения\nоб отказе во включении в реестр операторов иностранных платежных\nсистем. 10. Банк России исключает сведения об иностранной организации из\nреестра операторов иностранных платежных систем по следующим\nоснованиям и в следующие сроки:\n1) на основании заявления оператора иностранной платежной системы - не\nпозднее 10 рабочих дней со дня получения соответствующего заявления\nоператора иностранной платежной системы;\n2) при повторном невыполнении направленного Банком России в\nсоответствии с частью 3.2 статьи 32 настоящего Федерального закона\nтребования об устранении нарушения в установленный Банком России\nсрок - не позднее рабочего дня, следующего за днем принятия решения\nБанком России;\n3) в случае повторного непредставления в Банк России документов и иной\nнеобходимой информации, в том числе содержащей персональные данные, в\nсрок, указанный в запросе Банка России, направленном в соответствии с\nчастью 3.1 статьи 32 настоящего Федерального закона, - не позднее\nрабочего дня, следующего за днем принятия решения Банком России;\n4) в случае установления недостоверности предоставленной информации,\nна основании которой сведения об иностранной организации были включены\nв реестр операторов иностранных платежных систем, - не позднее\nрабочего дня, следующего за днем принятия решения Банком России. 11. Решение об исключении оператора иностранной платежной системы из\nреестра операторов иностранных платежных систем оформляется в виде\nприказа Банка России и опубликовывается в официальном издании Банка\nРоссии \"Вестник Банка России\". Обжалование решения Банка России об\nисключении оператора иностранной платежной системы из реестра\nоператоров иностранных платежных систем, а также применение мер по\nобеспечению иска (обеспечительных мер) не приостанавливает действия\nуказанного решения Банка России. 12. Исключение сведений об иностранной организации из реестра\nоператоров иностранных платежных систем по иным основаниям, за\nисключением оснований, предусмотренных частью 10 настоящей статьи, не\nдопускается. 13. При исключении сведений об иностранной организации из реестра\nоператоров иностранных платежных систем Банк России вносит\nсоответствующую запись в реестр операторов иностранных платежных\nсистем и уведомляет об этом оператора иностранной платежной системы\nчерез его обособленное подразделение на территории Российской\nФедерации не позднее рабочего дня, следующего за днем такого\nисключения. 14. Со дня исключения Банком России оператора иностранной платежной\nсистемы из реестра операторов иностранных платежных систем операторы\nпо переводу денежных средств не вправе в рамках указанной иностранной\nплатежной системы принимать к исполнению распоряжения физических лиц\nоб осуществлении трансграничных переводов денежных средств, а\nтрансграничные переводы денежных средств, осуществление которых было\nначато до указанного дня, должны быть завершены в соответствии с\nправилами иностранной платежной системы. 15. Оператор иностранной платежной системы обязан:\n1) соблюдать правила иностранной платежной системы в части\nтрансграничного перевода денежных средств с участием операторов по\nпереводу денежных средств;\n2) обеспечивать публичную доступность правил иностранной платежной\nсистемы на территории Российской Федерации;\n3) обеспечивать соблюдение требований, предусмотренных частью 5\nнастоящей статьи, путем внесения изменений в правила иностранной\nплатежной системы в срок не позднее 90 календарных дней после\nустановления указанных требований;\n4) представлять в Банк России через свое обособленное подразделение на\nтерритории Российской Федерации изменения в правила иностранной\nплатежной системы в течение 10 дней со дня утверждения изменений в\nправила иностранной платежной системы;\n5) привлекать операторов услуг платежной инфраструктуры из числа\nоператоров услуг платежной инфраструктуры, оказывающих услуги\nплатежной инфраструктуры в рамках платежных систем, операторы которых\nзарегистрированы Банком России. 16. Оператор иностранной платежной системы, привлекаемые им операторы\nуслуг платежной инфраструктуры не вправе приостанавливать (прекращать)\nв одностороннем порядке оказание услуг в рамках иностранной платежной\nсистемы операторам по переводу денежных средств и их клиентам. 17. Операторы по переводу денежных средств вправе участвовать в\nиностранной платежной системе при условии включения информации об\nоператоре иностранной платежной системы Банком России в реестр\nоператоров иностранных платежных систем. 18. Операторы по переводу денежных средств обязаны направить в Банк\nРоссии уведомление об участии (прекращении участия) в иностранной\nплатежной системе. Форма указанного уведомления, порядок его\nсоставления, а также порядок и срок его направления в Банк России\nустанавливаются Банком России. 19. Положения настоящей статьи не распространяются на иностранные\nорганизации, имеющие на территории Российской Федерации дочерние\nхозяйственные общества, являющиеся зарегистрированными Банком России\nоператорами платежных систем, а также на международные финансовые\nорганизации, иностранные центральные (национальные) банки.\";\n6) часть 4 статьи 20 дополнить пунктом 6 следующего содержания:\n\"6) критериев приостановления (прекращения) участия в платежной\nсистеме по инициативе оператора платежной системы, связанных с\nприостановлением (прекращением) участия в иностранной платежной\nсистеме.\";\n7) часть 3 статьи 21 дополнить словами \", иностранные поставщики\nплатежных услуг (в целях осуществления трансграничного перевода\nденежных средств)\";\n8) в части 2 статьи 23 слова \"в двух экземплярах\" исключить;\n9) статью 25 дополнить частью 10 следующего содержания:\n\"10. При заключении договора о взаимодействии между оператором\nплатежной системы и оператором иностранной платежной системы платежный\nклиринг и расчет в целях перевода денежных средств между участниками\nтаких платежных систем осуществляются в порядке, предусмотренном\nдоговором о взаимодействии между платежными системами.\";\n10) в статье 27:\nа) часть 1 после слов \"банковские платежные агенты (субагенты),\"\nдополнить словами \"операторы услуг информационного обмена,\";\nб) часть 3 после слов \"банковские платежные агенты (субагенты),\"\nдополнить словами \"операторы услуг информационного обмена,\";\n11) в статье 30.5:\nа) часть 1 дополнить пунктом 7 следующего содержания:\n\"7) иностранный поставщик платежных услуг в качестве индивидуального\nучастника НСПК.\";\nГАРАНТ:\nПодпункт \"б\" вступает в силу с 30 января 2020 г. б) дополнить частью 5.8 следующего содержания:\n\"5.8. В случае использования платежных карт в целях обеспечения\nфизическим лицам возможности получения за счет средств бюджетов\nбюджетной системы Российской Федерации в натуральной форме мер\nсоциальной поддержки, государственной социальной помощи и льгот, в том\nчисле льгот при пользовании транспортными услугами, кредитные\nорганизации обязаны предоставлять клиентам - физическим лицам в\nуказанных целях только национальные платежные инструменты.\";\nГАРАНТ:\nПодпункт \"б\" вступает в силу с 30 января 2020 г. в) дополнить частью 5.9 следующего содержания:\n\"5.9. При предоставлении платежных карт организациям, лицевые счета\nкоторых открыты в территориальных органах Федерального казначейства,\nфинансовых органах субъектов Российской Федерации (муниципальных\nобразований), в целях осуществления такими организациями операций за\nсчет средств бюджетов бюджетной системы Российской Федерации или за\nсчет средств, источником финансового обеспечения которых являются\nсредства, предоставленные из бюджетов бюджетной системы Российской\nФедерации, кредитные организации обязаны предоставлять таким\nорганизациям только национальные платежные инструменты, в том числе\nнациональные платежные инструменты, указанные в части 2.1 статьи 30.1\nнастоящего Федерального закона.\";\n12) в статье 30.6:\nа) дополнить частью 2.3 следующего содержания:\n\"2.3. Оказание расчетных услуг расчетным центром, привлекаемым\nоператором НСПК в соответствии с частью 2.1 настоящей статьи, может\nосуществляться без открытия в расчетном центре банковских счетов\nучастников НСПК, указанных в пунктах 4 - 7 части 1 статьи 30.5\nнастоящего Федерального закона, в случае привлечения оператором НСПК\nцентрального платежного клирингового контрагента для осуществления\nпереводов денежных средств с использованием национальных платежных\nинструментов, не указанных в части 2 настоящей статьи.\";\nб) дополнить частью 4.1 следующего содержания:\n\"4.1. В случае привлечения кредитными организациями операторов услуг\nинформационного обмена для организации взаимодействия, получения\nоперационных услуг от операционного центра НСПК и услуг платежного\nклиринга от платежного клирингового центра НСПК операторы услуг\nинформационного обмена обязаны соблюдать правила НСПК, принятые в\nсоответствии с нормативными актами Банка России, указанными в части 4\nнастоящей статьи.\";\nв) часть 5 изложить в следующей редакции:\n\"5. Положения части 4 настоящей статьи об обязательности получения\nоперационных услуг от операционного центра НСПК применяются также к\nуслугам подтверждения использования клиентами кредитных организаций\nмеждународных платежных карт (аутентификации) в\nинформационно-телекоммуникационной сети \"Интернет\" при осуществлении\nпереводов денежных средств на территории Российской Федерации.\";\n13) в статье 31:\nа) часть 2 после слов \"операторами платежных систем,\" дополнить\nсловами \"операторами иностранных платежных систем,\";\nб) часть 4 после слов \"(далее - поднадзорные организации)\" дополнить\nсловами \", операторами иностранных платежных систем\";\nв) дополнить частью 6 следующего содержания:\n\"6. При осуществлении наблюдения в национальной платежной системе Банк\nРоссии вправе запрашивать и получать от обособленного подразделения\nоператора иностранной платежной системы на территории Российской\nФедерации информацию об услугах, оказываемых в рамках иностранной\nплатежной системы.\";\n14) в статье 32:\nа) пункт 1 части 1 изложить в следующей редакции:\n\"1) анализирует документы и информацию (в том числе данные\nотчетности), которые касаются деятельности поднадзорных организаций,\nоператоров иностранных платежных систем, участников платежных систем,\nучастников иностранных платежных систем, а также организации и\nфункционирования платежных систем, иностранных платежных систем;\";\nб) часть 2 изложить в следующей редакции:\n\"2. Банк России определяет нормативными актами:\n1) формы и методики составления отчетности, в том числе отчетности\nподнадзорной организации и отчетности по платежной системе;\n2) порядок и сроки представления в Банк России отчетности, указанной в\nпункте 1 настоящей части.\";\nв) дополнить частями 3.1 и 3.2 следующего содержания:\n\"3.1. При осуществлении надзора за соблюдением операторами иностранных\nплатежных систем требований частей 15 и 16 статьи 19.2 настоящего\nФедерального закона Банк России вправе запрашивать и получать от\nоператора иностранной платежной системы через его обособленное\nподразделение на территории Российской Федерации документы и иную\nнеобходимую информацию, в том числе содержащую персональные данные. 3.2. При выявлении Банком России случаев несоблюдения оператором\nиностранной платежной системы требований частей 15 и 16 статьи 19.2\nнастоящего Федерального закона Банк России направляет оператору\nиностранной платежной системы через его обособленное подразделение на\nтерритории Российской Федерации требование об устранении нарушения с\nуказанием срока, в течение которого указанное нарушение должно быть\nустранено, при этом указанный срок не может быть менее 10 рабочих\nдней.\";\n15) статью 33 изложить в следующей редакции:\n\"Статья 33. Порядок проведения инспекционных проверок поднадзорных\nорганизаций\n1. Банк России проводит плановые инспекционные проверки поднадзорных\nорганизаций не чаще одного раза в два года. Разрешается проведение\nвнеплановых инспекционных проверок значимой платежной системы при\nнарушении бесперебойности ее функционирования. 2. Инспекционные проверки поднадзорных организаций проводятся\nуполномоченными представителями (служащими) Банка России. 3. Порядок проведения инспекционных проверок поднадзорных организаций,\nв том числе определение обязанностей поднадзорных организаций по\nсодействию в проведении инспекционных проверок, устанавливается\nнормативными актами Банка России.\";\n16) дополнить статьей 35.1 следующего содержания:\n\"Статья 35.1. Взаимодействие Банка России с субъектами национальной\nплатежной системы посредством личного кабинета\n1. Банк России вправе осуществлять взаимодействие с субъектами\nнациональной платежной системы посредством информационных ресурсов\nБанка России в информационно-телекоммуникационной сети \"Интернет\", в\nтом числе путем предоставления им доступа к личному кабинету. Порядок\nведения личного кабинета устанавливается Банком России. 2. Личный кабинет используется субъектами национальной платежной\nсистемы в целях получения от Банка России документов, в том числе\nзапросов, предписаний Банка России, и передачи в Банк России\nотчетности, документов (информации), сведений, а также осуществления\nсубъектами национальной платежной системы иных прав и обязанностей,\nустановленных законодательством Российской Федерации о национальной\nплатежной системе, нормативными актами Банка России. 3. При передаче субъектами национальной платежной системы в Банк\nРоссии через личный кабинет отчетности, документов (информации),\nсведений в электронной форме, подписанных усиленной квалифицированной\nэлектронной подписью, такие документы признаются равнозначными\nдокументам на бумажном носителе. 4. Порядок взаимодействия Банка России с субъектами национальной\nплатежной системы при использовании ими информационных ресурсов Банка\nРоссии в информационно-телекоммуникационной сети \"Интернет\", в том\nчисле личного кабинета, определяется нормативным актом Банка России. 5. Положения настоящей статьи распространяются на операторов платежных\nсистем и операторов услуг платежной инфраструктуры, не являющихся\nкредитными организациями, ВЭБ.РФ, организации федеральной почтовой\nсвязи. 6. Взаимодействие Банка России с кредитными организациями при\nиспользовании ими личного кабинета осуществляется в соответствии с\nФедеральным законом от 10 июля 2002 года N 86-ФЗ \"О Центральном банке\nРоссийской Федерации (Банке России)\". 7. Банк России вправе также осуществлять в соответствии с настоящей\nстатьей взаимодействие с обособленными подразделениями операторов\nиностранных платежных систем на территории Российской Федерации,\nорганизациями, намеревающимися стать операторами платежных систем.\". Статья 2\nВнести в Федеральный закон от 10 июля 2002 года N 86-ФЗ \"О Центральном\nбанке Российской Федерации (Банке России)\" (Собрание законодательства\nРоссийской Федерации, 2002, N 28, ст. 2790; 2004, N 31, ст. 3233;\n2005, N 25, ст. 2426; 2008, N 44, ст. 4982; 2010, N 45, ст. 5756;\n2011, N 27, ст. 3873; N 48, ст. 6728; 2013, N 30, ст. 4084; N 49,\nст. 6336; 2014, N 19, ст. 2317; N 27, ст. 3634; N 30, ст. 4219; N 52,\nст. 7543; 2016, N 1, ст. 46; 2017, N 18, ст. 2661; N 30, ст. 4456;\n2018, N 11, ст. 1584, 1588; N 18, ст. 2557; N 24, ст. 3400; N 32,\nст. 5115; 2019, N 27, ст. 3538) следующие изменения:\n1) в статье 18:\nа) в части первой:\nпункт 17.10 дополнить словами \", а также в рамках иных платежных\nсистем\";\nдополнить пунктом 17.11 следующего содержания:\n\"17.11) при необходимости определяет максимальные значения размера\nплаты, взимаемой кредитными организациями со своих клиентов по\nзаключаемым в соответствии с Федеральным законом \"О национальной\nплатежной системе\" договорам о приеме электронных средств платежа за\nосуществление переводов денежных средств с использованием платежных\nкарт;\";\nб) часть вторую после слов \"в рамках платежной системы Банка России,\"\nдополнить словами \"а также в рамках иных платежных систем, определения\nмаксимальных значений размера платы, взимаемой кредитными\nорганизациями со своих клиентов по заключаемым в соответствии с\nФедеральным законом \"О национальной платежной системе\" договорам о\nприеме электронных средств платежа за осуществление переводов денежных\nсредств с использованием платежных карт,\";\n2) главу XII.1 дополнить статьей 82.6 следующего содержания:\n\"Статья 82.6. В случае приостановления (прекращения) оператором услуг\nинформационного обмена в одностороннем порядке оказания услуг\nинформационного обмена кредитной организации и ее клиентам Банк России\nвзыскивает с оператора услуг информационного обмена штраф:\n1) в десятикратном размере суммы вознаграждения, уплаченного кредитной\nорганизацией, указанной в абзаце первом настоящей статьи, оператору\nуслуг информационного обмена за предшествующий календарный месяц;\n2) в пятидесятикратном размере суммы вознаграждения, уплаченного\nкредитной организацией, указанной в абзаце первом настоящей статьи,\nоператору услуг информационного обмена за предшествующий календарный\nмесяц в случае, если оператор услуг информационного обмена ранее\nприостанавливал (прекращал) в одностороннем порядке оказание услуг\nинформационного обмена любой обслуживаемой кредитной организации и ее\nклиентам. Требование об уплате штрафа, предусмотренного настоящей статьей,\nоформляется предписанием Банка России. При неисполнении предписания\nБанк России может обратиться в суд с заявлением о взыскании с\nоператора услуг информационного обмена указанного штрафа. Порядок применения штрафа, предусмотренного настоящей статьей,\nустанавливается нормативным актом Банка России.\". Статья 3\n1. Настоящий Федеральный закон вступает в силу со дня его официального\nопубликования, за исключением положений, для которых настоящей статьей\nустановлены иные сроки вступления их в силу. 2. Подпункты \"б\" и \"в\" пункта 11 статьи 1 настоящего Федерального\nзакона вступают в силу по истечении ста восьмидесяти дней после дня\nофициального опубликования настоящего Федерального закона. 3. Пункт 2 статьи 1 настоящего Федерального закона вступает в силу по\nистечении одного года после дня официального опубликования настоящего\nФедерального закона. 4. В случае использования физическими лицами на день вступления в силу\nподпункта \"б\" пункта 11 статьи 1 настоящего Федерального закона в\nцелях, указанных в части 5.8 статьи 30.5 Федерального закона от 27\nиюня 2011 года N 161-ФЗ \"О национальной платежной системе\", платежных\nкарт, не являющихся национальными платежными инструментами, такие\nплатежные карты могут использоваться до истечения срока их действия. 5. В случае предоставления кредитными организациями до дня вступления\nв силу подпункта \"в\" пункта 11 статьи 1 настоящего Федерального закона\nорганизациям, указанным в части 5.9 статьи 30.5 Федерального закона от\n27 июня 2011 года N 161-ФЗ \"О национальной платежной системе\",\nплатежных карт, не являющихся национальными платежными инструментами,\nтакие платежные карты могут использоваться до истечения срока их\nдействия. 6. Кредитные организации обязаны направлять с 1 июля 2020 года в Банк\nРоссии сведения:\n1) об иностранных поставщиках платежных услуг для включения в перечень\nиностранных поставщиков платежных услуг;\n2) об операторах услуг информационного обмена для включения в перечень\nоператоров услуг информационного обмена. 7. Кредитные организации обязаны направлять с 1 апреля 2020 года в\nБанк России уведомления об участии (прекращении участия) в иностранных\nплатежных системах. 8. Кредитные организации обязаны в течение двухсот семидесяти дней со\nдня вступления в силу настоящего Федерального закона прекратить:\n1) прием электронных средств платежа иностранных поставщиков платежных\nуслуг при несоответствии требованиям статьи 9.1 Федерального закона от\n27 июня 2011 года N 161-ФЗ \"О национальной платежной системе\";\n2) осуществление трансграничных переводов денежных средств физических\nлиц в рамках иностранных платежных систем, информация об операторах\nкоторых не включена Банком России в реестр операторов иностранных\nплатежных систем, за исключением случаев, предусмотренных частью 19\nстатьи 19.2 Федерального закона от 27 июня 2011 года N 161-ФЗ \"О\nнациональной платежной системе\". 9. В течение ста восьмидесяти дней со дня вступления в силу настоящего\nФедерального закона кредитные организации обязаны обеспечить\nсоответствие договоров, заключенных с операторами услуг\nинформационного обмена, требованиям статьи 9.1 Федерального закона от\n27 июня 2011 года N 161-ФЗ \"О национальной платежной системе\". 10. В течение ста восьмидесяти дней со дня вступления в силу\nнастоящего Федерального закона операторы платежных систем обязаны\nобеспечить соответствие положений правил платежных систем требованиям\nпункта 6 части 4 статьи 20 Федерального закона от 27 июня 2011 года\nN 161-ФЗ \"О национальной платежной системе\". 11. Со дня вступления в силу настоящего Федерального закона положения\nправил платежных систем, не соответствующие требованиям пункта 6 части\n4 статьи 20 Федерального закона от 27 июня 2011 года N 161-ФЗ \"О\nнациональной платежной системе\", не подлежат применению. +----------------------------------+------------+\n|   Президент Российской Федерации |   В. Путин |\n+----------------------------------+------------+\nМосква, Кремль\n2 августа 2019 года\nN 264-ФЗ", "25.12.2017 № 239": "Приказ Федеральной службы по техническому и экспортному контролю от 25 декабря 2017 г. N 239 \"Об утверждении Требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации\"\nВ соответствии с пунктом 4 части 3 статьи 6 Федерального закона от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\" (Собрание законодательства Российской Федерации, 2017, N 31, ст. 4736) приказываю:\nУтвердить прилагаемые Требования по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации. Зарегистрировано в Минюсте РФ 26 марта 2018 г. Регистрационный N 50524\nУТВЕРЖДЕНЫ приказом ФСТЭК России от 25 декабря 2017 г. N 239\nТребования по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации\nI. Общие положения\n1. Настоящие Требования разработаны в соответствии с Федеральным законом от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\" и направлены на обеспечение устойчивого функционирования значимых объектов критической информационной инфраструктуры Российской Федерации (далее - значимые объекты, критическая информационная инфраструктура) при проведении в отношении них компьютерных атак. 2. Действие настоящих Требований распространяется на информационные системы, автоматизированные системы управления, информационно-телекоммуникационные сети, которые отнесены к значимым объектам критической информационной инфраструктуры в соответствии со статьей 7 Федерального закона от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\". 3. По решению субъекта критической информационной инфраструктуры настоящие Требования могут применяться для обеспечения безопасности объектов критической информационной инфраструктуры, не отнесенных к значимым объектам. 4. Обеспечение безопасности значимых объектов, в которых обрабатывается информация, составляющая государственную тайну, осуществляется в соответствии с законодательством Российской Федерации о государственной тайне. 5. Для обеспечения безопасности значимых объектов, являющихся информационными системами персональных данных, настоящие Требования применяются с учетом Требований к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119 (Собрание законодательства Российской Федерации, 2012, N 45, ст. 6257). Для обеспечения безопасности значимых объектов, являющихся государственными информационными системами, настоящие Требования применяются с учетом Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденных приказом ФСТЭК России от 11 февраля 2013 г. N 17 (зарегистрирован Минюстом России 31 мая 2013 г., регистрационный N 28608) (с изменениями, внесенными приказом ФСТЭК России от 15 февраля 2017 г. N 27 \"О внесении изменений в Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденные приказом ФСТЭК России от 11 февраля 2013 г. N 17\" (зарегистрирован Минюстом России 14 марта 2017 г., регистрационный N 45933). 6. Безопасность значимых объектов обеспечивается субъектами критической информационной инфраструктуры в рамках функционирования систем безопасности значимых объектов, создаваемых субъектами критической информационной инфраструктуры в соответствии со статьей 10 Федерального закона от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\". II. Требования к обеспечению безопасности в ходе создания, эксплуатации и вывода из эксплуатации значимых объектов\n7. Обеспечение безопасности значимых объектов является составной частью работ по созданию (модернизации, при которой изменяется архитектура значимого объекта, в том числе подсистема его безопасности, в соответствии с отдельным техническим заданием на модернизацию значимого объекта и (или) техническим заданием (частным техническим заданием) на модернизацию подсистемы безопасности значимого объекта (далее - модернизация), эксплуатации и вывода из эксплуатации значимых объектов. Меры по обеспечению безопасности значимых объектов принимаются на всех стадиях (этапах) их жизненного цикла. 8. На стадиях (этапах) жизненного цикла в ходе создания (модернизации), эксплуатации и вывода из эксплуатации значимого объекта проводятся:\nа) установление требований к обеспечению безопасности значимого объекта;\nб) разработка организационных и технических мер по обеспечению безопасности значимого объекта;\nв) внедрение организационных и технических мер по обеспечению безопасности значимого объекта и ввод его в действие;\nг) обеспечение безопасности значимого объекта в ходе его эксплуатации;\nд) обеспечение безопасности значимого объекта при выводе его из эксплуатации. Результаты реализации мероприятий, проводимых для обеспечения безопасности значимого объекта на стадиях (этапах) его жизненного цикла, подлежат документированию. Состав и формы документов определяются субъектом критической информационной инфраструктуры. 9. Для значимых объектов, находящихся в эксплуатации, настоящие Требования подлежат реализации в рамках модернизации или дооснащения подсистем безопасности эксплуатируемых значимых объектов. Модернизация или дооснащение подсистем безопасности значимых объектов осуществляется в порядке, установленном настоящими Требованиями для создания значимых объектов и их подсистем безопасности, с учетом имеющихся у субъектов критической информационной инфраструктуры программ (планов) по модернизации или дооснащению значимых объектов. Установление требований к обеспечению безопасности значимого объекта\n10. Задание требований к обеспечению безопасности значимого объекта осуществляется субъектом критической информационной инфраструктуры и (или) лицом, устанавливающим требования к обеспечению безопасности значимых объектов, в соответствии с категорией значимости значимого объекта, определенной в порядке, установленном Правилами категорирования объектов критической информационной инфраструктуры Российской Федерации, утвержденными постановлением Правительства Российской Федерации от 8 февраля 2018 г. N 127 \"Об утверждении Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, а также перечня показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации\" (Собрание законодательства Российской Федерации, 2018, N 8, ст. 1204). Требования к обеспечению безопасности включаются в техническое задание на создание значимого объекта и (или) техническое задание (частное техническое задание) на создание подсистемы безопасности значимого объекта, которые должны содержать:\nа) цель и задачи обеспечения безопасности значимого объекта или подсистемы безопасности значимого объекта;\nб) категорию значимости значимого объекта;\nв) перечень нормативных правовых актов, методических документов и национальных стандартов, которым должен соответствовать значимый объект;\nг) перечень типов объектов защиты значимого объекта;\nд) требования к организационным и техническим мерам, применяемым для обеспечения безопасности значимого объекта;\nе) стадии (этапы работ) создания подсистемы безопасности значимого объекта;\nж) требования к применяемым программным и программно-аппаратным средствам, в том числе средствам защиты информации;\nз) требования к защите средств и систем, обеспечивающих функционирование значимого объекта (обеспечивающей инфраструктуре);\nи) требования к информационному взаимодействию значимого объекта с иными объектами критической информационной инфраструктуры, а также иными информационными системами, автоматизированными системами управления или информационно-телекоммуникационными сетями;\nк) требования к составу и содержанию документации, разрабатываемой в ходе создания значимого объекта. В случае если значимый объект создается в рамках объекта капитального строительства, требования к обеспечению безопасности значимого объекта задаются застройщиком и оформляются в виде приложения к заданию на проектирование (реконструкцию) объекта капитального строительства. При определении требований к обеспечению безопасности значимого объекта учитываются положения организационно-распорядительных документов по обеспечению безопасности значимых объектов, разрабатываемых субъектами критической информационной инфраструктуры в соответствии с требованиями к созданию систем безопасности значимых объектов и обеспечению их функционирования, утвержденными в соответствии с пунктом 4 части 3 статьи 6 Федерального закона от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\" (далее - организационно-распорядительные документы по безопасности значимых объектов). Разработка организационных и технических мер по обеспечению безопасности значимого объекта\n11. Разработка организационных и технических мер по обеспечению безопасности значимого объекта осуществляется субъектом критической информационной инфраструктуры и (или) лицом, привлекаемым в соответствии с законодательством Российской Федерации к проведению работ по созданию (модернизации) значимого объекта и (или) обеспечению его безопасности, в соответствии с техническим заданием на создание значимого объекта и (или) техническим заданием (частным техническим заданием) на создание подсистемы безопасности значимого объекта и должна включать:\nа) анализ угроз безопасности информации и разработку модели угроз безопасности информации или ее уточнение (при ее наличии);\nб) проектирование подсистемы безопасности значимого объекта;\nв) разработку рабочей (эксплуатационной) документации на значимый объект (в части обеспечения его безопасности). Разрабатываемые организационные и технические меры по обеспечению безопасности значимого объекта не должны оказывать негативного влияния на создание и функционирование значимого объекта. При разработке организационных и технических мер по обеспечению безопасности значимого объекта учитывается его информационное взаимодействие с иными объектами критической информационной инфраструктуры, информационными системами, автоматизированными системами управления или информационно-телекоммуникационными сетями. 11.1. Целью анализа угроз безопасности информации является определение возможных способов реализации (возникновения) угроз безопасности информации и последствий их реализации (возникновения) с учетом состава пользователей и их полномочий, программных и программно-аппаратных средств, взаимосвязей компонентов значимого объекта, взаимодействия с иными объектами критической информационной инфраструктуры, информационными системами, автоматизированными системами управления, информационно-телекоммуникационными сетями (далее - архитектура значимого объекта), а также особенностей функционирования значимого объекта. Анализ угроз безопасности информации должен включать:\nа) выявление источников угроз безопасности информации и оценку возможностей (потенциала) внешних и внутренних нарушителей;\nб) анализ возможных уязвимостей значимого объекта и его программных, программно-аппаратных средств;\nв) определение возможных способов (сценариев) реализации (возникновения) угроз безопасности информации;\nг) оценку возможных последствий от реализации (возникновения) угроз безопасности информации. В качестве исходных данных для анализа угроз безопасности информации используется банк данных угроз безопасности информации, ведение которого осуществляется ФСТЭК России в соответствии с подпунктом 21 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085 (Собрание законодательства Российской Федерации, 2004, N 34, ст. 3541; 2006, N 49, ст. 5192; 2008, N 43, ст. 4921; N 47, ст. 5431; 2012, N 7, ст. 818; 2013, N 26, ст. 3314; N 53, ст. 7137; 2014, N 36, ст. 4833; N 44, ст. 6041; 2015, N 4, ст. 641; 2016, N 1, ст. 211; 2017, N 48, ст. 7198) (далее - банк данных угроз безопасности информации ФСТЭК России), а также источники, содержащие иные сведения об уязвимостях и угрозах безопасности информации. По результатам анализа угроз безопасности информации могут быть разработаны рекомендации по корректировке архитектуры значимого объекта и организационно-распорядительных документов по безопасности значимых объектов, направленные на блокирование (нейтрализацию) отдельных угроз безопасности информации. Модель угроз безопасности информации должна содержать краткое описание архитектуры значимого объекта, характеристику источников угроз безопасности информации, в том числе модель нарушителя, и описание всех угроз безопасности информации, актуальных для значимого объекта. Описание каждой угрозы безопасности информации должно включать:\nа) источник угрозы безопасности информации;\nб) уязвимости (ошибки), которые могут быть использованы для реализации (способствовать возникновению) угрозы безопасности информации;\nв) возможные способы (сценарии) реализации угрозы безопасности информации;\nг) возможные последствия от реализации (возникновения) угрозы безопасности информации. Модель угроз безопасности информации может разрабатываться для нескольких значимых объектов, имеющих одинаковые цели создания и архитектуру, а также типовые угрозы безопасности информации. Для определения угроз безопасности информации и разработки модели угроз безопасности информации должны применяться методические документы, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085. 11.2. Проектирование подсистемы безопасности значимого объекта должно осуществляться в соответствии с техническим заданием на создание значимого объекта и (или) техническим заданием (частным техническим заданием) на создание подсистемы безопасности значимого объекта с учетом модели угроз безопасности информации и категории значимости значимого объекта. При проектировании подсистемы безопасности значимого объекта:\nа) определяются субъекты доступа (пользователи, процессы и иные субъекты доступа) и объекты доступа;\nб) определяются политики управления доступом (дискреционная, мандатная, ролевая, комбинированная);\nв) определяются и обосновываются организационные и технические меры, подлежащие реализации в рамках подсистемы безопасности значимого объекта;\nг) определяются виды и типы средств защиты информации, обеспечивающие реализацию технических мер по обеспечению безопасности значимого объекта;\nд) осуществляется выбор средств защиты информации и (или) их разработка с учетом категории значимости значимого объекта, совместимости с программными и программно-аппаратными средствами, выполняемых функций безопасности и ограничений на эксплуатацию;\nе) разрабатывается архитектура подсистемы безопасности значимого объекта, включающая состав, места установки, взаимосвязи средств защиты информации;\nж) определяются требования к параметрам настройки программных и программно-аппаратных средств, включая средства защиты информации, обеспечивающие реализацию мер по обеспечению безопасности, блокирование (нейтрализацию) угроз безопасности информации и устранение уязвимостей значимого объекта;\nз) определяются меры по обеспечению безопасности при взаимодействии значимого объекта с иными объектами критической информационной инфраструктуры, информационными системами, автоматизированными системами управления или информационно-телекоммуникационными сетями. В случае если в ходе проектирования подсистемы безопасности значимого объекта предусмотрена разработка программного обеспечения, в том числе программного обеспечения средств защиты информации, такая разработка проводится в соответствии со стандартами безопасной разработки программного обеспечения. Результаты проектирования подсистемы безопасности значимого объекта отражаются в проектной документации на значимый объект (подсистему безопасности значимого объекта), разрабатываемой в соответствии с техническим заданием на создание значимого объекта и (или) техническим заданием (частным техническим заданием) на создание подсистемы безопасности значимого объекта. В процессе проектирования значимого объекта его категория значимости может быть уточнена. В целях тестирования подсистемы безопасности значимого объекта в ходе проектирования может осуществляться ее макетирование или создание тестовой среды. Тестирование должно быть направлено на:\nобеспечение работоспособности и совместимости выбранных средств защиты информации с программными и аппаратными средствами значимого объекта;\nпрактическую отработку выполнения средствами защиты информации функций безопасности, а также выполнения требований по безопасности, предъявляемых к программным и программно-аппаратным средствам, в том числе средствам защиты информации, в соответствии с пунктами 27 - 31 настоящих Требований;\nисключение влияния подсистемы безопасности на функционирование значимого объекта. Макетирование подсистемы безопасности значимого объекта и ее тестирование может проводиться с использованием средств и методов моделирования, а также с использованием технологий виртуализации. При проектировании подсистем безопасности значимых объектов, являющихся информационно-телекоммуникационными сетями, настоящие Требования применяются с учетом Требований к проектированию сетей электросвязи, утвержденных приказом Минкомсвязи России от 9 марта 2017 г. N 101 (зарегистрирован Минюстом России 31 мая 2017 г., регистрационный N 46915), а также иных нормативных правовых актов федерального органа исполнительной власти, осуществляющего функции по выработке и реализации государственной политики и нормативно-правовому регулированию в области связи. 11.3. Разработка рабочей (эксплуатационной) документации на значимый объект осуществляется в соответствии с техническим заданием на создание значимого объекта и (или) техническим заданием (частным техническим заданием) на создание подсистемы безопасности значимого объекта на основе проектной документации. Рабочая (эксплуатационная) документация на значимый объект должна содержать:\nописание архитектуры подсистемы безопасности значимого объекта;\nпорядок и параметры настройки программных и программно-аппаратных средств, в том числе средств защиты информации;\nправила эксплуатации программных и программно-аппаратных средств, в том числе средств защиты информации (правила безопасной эксплуатации). Состав и формы рабочей (эксплуатационной) документации определяются в соответствии с техническим заданием на создание значимого объекта и (или) техническим заданием (частным техническим заданием) на создание подсистемы безопасности значимого объекта. Внедрение организационных и технических мер по обеспечению безопасности значимого объекта и ввод его в действие\n12. Внедрение организационных и технических мер по обеспечению безопасности значимого объекта организуется субъектом критической информационной инфраструктуры в соответствии с проектной и рабочей (эксплуатационной) документацией на значимый объект, стандартами организаций и включает:\nа) установку и настройку средств защиты информации, настройку программных и программно-аппаратных средств;\nб) разработку организационно-распорядительных документов, регламентирующих правила и процедуры обеспечения безопасности значимого объекта;\nв) внедрение организационных мер по обеспечению безопасности значимого объекта;\nг) предварительные испытания значимого объекта и его подсистемы безопасности;\nд) опытную эксплуатацию значимого объекта и его подсистемы безопасности;\nе) анализ уязвимостей значимого объекта и принятие мер по их устранению;\nж) приемочные испытания значимого объекта и его подсистемы безопасности. По решению субъекта критической информационной инфраструктуры к разработке и внедрению организационных и технических мер по обеспечению безопасности значимого объекта может привлекаться лицо, эксплуатирующее (планирующее эксплуатировать) значимый объект. 12.1. Установка и настройка средств защиты информации должна проводиться в соответствии с проектной и рабочей (эксплуатационной) документацией на значимый объект, а также в соответствии с эксплуатационной документацией на отдельные средства защиты информации. При установке и настройке средств защиты информации должно быть обеспечено выполнение ограничений на эксплуатацию этих средств защиты информации, в случае их наличия в эксплуатационной документации. 12.2. Разрабатываемые организационно-распорядительные документы по безопасности значимого объекта должны определять правила и процедуры реализации отдельных организационных и (или) технических мер (политик безопасности), разработанных и внедренных в рамках подсистемы безопасности значимого объекта в соответствии с главой III настоящих Требований. Организационно-распорядительные документы по безопасности значимого объекта должны в том числе устанавливать правила безопасной работы работников, эксплуатирующих значимые объекты, и работников, обеспечивающих функционирование значимых объектов, а также действия работников при возникновении нештатных ситуаций, в том числе вызванных компьютерными инцидентами. Состав и формы организационно-распорядительных документов по безопасности значимых объектов определяются субъектом критической информационной инфраструктуры с учетом особенностей его деятельности. 12.3. При внедрении организационных мер по обеспечению безопасности значимого объекта осуществляются:\nа) организация контроля физического доступа к программно-аппаратным средствам значимого объекта и его линиям связи;\nб) реализация правил разграничения доступа, регламентирующих права доступа субъектов доступа к объектам доступа, и введение ограничений на действия пользователей, а также на изменение условий эксплуатации, состава и конфигурации программных и программно-аппаратных средств;\nв) проверка полноты и детальности описания в организационно-распорядительных документах по безопасности значимых объектов действий пользователей и администраторов значимого объекта по реализации организационных мер;\nг) определение администратора безопасности значимого объекта;\nд) отработка действий пользователей и администраторов значимого объекта по реализации мер по обеспечению безопасности значимого объекта. 12.4. Предварительные испытания значимого объекта и его подсистемы безопасности должны проводиться в соответствии с программой и методиками предварительных испытаний и включать проверку работоспособности подсистемы безопасности значимого объекта и отдельных средств защиты информации, оценку выполнения требований по безопасности, предъявляемых к программным и программно-аппаратным средствам, в том числе средствам защиты информации, в соответствии с пунктами 27 - 31 настоящих Требований, оценку влияния подсистемы безопасности на функционирование значимого объекта при проектных режимах его работы, установленных проектной документацией, а также принятие решения о возможности опытной эксплуатации значимого объекта и его подсистемы безопасности. 12.5. Опытная эксплуатация значимого объекта и его подсистемы безопасности должна проводиться в соответствии с программой и методиками опытной эксплуатации и включать проверку функционирования подсистемы безопасности значимого объекта, в том числе реализованных организационных и технических мер, а также знаний и умений пользователей и администраторов, необходимых для эксплуатации значимого объекта и его подсистемы безопасности. По результатам опытной эксплуатации принимается решение о возможности (или невозможности) проведения приемочных испытаний значимого объекта и его подсистемы безопасности. 12.6. Анализ уязвимостей значимого объекта проводится в целях выявления недостатков (слабостей) в подсистеме безопасности значимого объекта и оценки возможности их использования для реализации угроз безопасности информации. При этом анализу подлежат уязвимости кода, конфигурации и архитектуры значимого объекта. Анализ уязвимостей проводится для всех программных и программно-аппаратных средств, в том числе средств защиты информации, значимого объекта. При проведении анализа уязвимостей применяются следующие способы их выявления:\nа) анализ проектной, рабочей (эксплуатационной) документации и организационно-распорядительных документов по безопасности значимого объекта;\nб) анализ настроек программных и программно-аппаратных средств, в том числе средств защиты информации, значимого объекта;\nв) выявление известных уязвимостей программных и программно-аппаратных средств, в том числе средств защиты информации, посредством анализа состава установленного программного обеспечения и обновлений безопасности с применением средств контроля (анализа) защищенности и (или) иных средств защиты информации;\nг) выявление известных уязвимостей программных и программно-аппаратных средств, в том числе средств защиты информации, сетевых служб, доступных для сетевого взаимодействия, с применением средств контроля (анализа) защищенности;\nд) тестирование на проникновение в условиях, соответствующих возможностям нарушителей, определенных в модели угроз безопасности информации. Применение способов и средств выявления уязвимостей осуществляется субъектом критической информационной инфраструктуры с учетом особенностей функционирования значимого объекта. Допускается проведение анализа уязвимостей на макете (в тестовой зоне) значимого объекта или макетах отдельных сегментов значимого объекта. Анализ уязвимостей значимого объекта проводится до ввода его в эксплуатацию на этапах, определяемых субъектом критической информационной инфраструктуры. В случае выявления уязвимостей значимого объекта, которые могут быть использованы для реализации (способствовать возникновению) угроз безопасности информации, принимаются меры, направленные на их устранение или исключающие возможность использования (эксплуатации) нарушителем выявленных уязвимостей. По результатам анализа уязвимостей должно быть подтверждено, что в значимом объекте, отсутствуют уязвимости, как минимум содержащиеся в банке данных угроз безопасности информации ФСТЭК России, указанном в пункте 11.1 настоящих Требований, или выявленные уязвимости не приводят к возникновению угроз безопасности информации в отношении значимого объекта. 12.7. В ходе приемочных испытаний значимого объекта и его подсистемы безопасности должен быть проведен комплекс организационных и технических мероприятий (испытаний), в результате которых подтверждается соответствие значимого объекта и его подсистемы безопасности настоящим Требованиям, а также требованиям технического задания на создание значимого объекта и (или) технического задания (частного технического задания) на создание подсистемы безопасности значимого объекта. В качестве исходных данных при приемочных испытаниях используются модель угроз безопасности информации, результаты (акт) категорирования, техническое задание на создание (модернизацию) значимого объекта и (или) техническое задание (частное техническое задание) на создание подсистемы безопасности значимого объекта, проектная и рабочая (эксплуатационная) документация на значимый объект, организационно-распорядительные документы по безопасности значимых объектов, результаты анализа уязвимостей значимого объекта, материалы предварительных испытаний и опытной эксплуатации, а также иные документы, разрабатываемые в соответствии с настоящими Требованиями и требованиями стандартов организации. Приемочные испытания значимого объекта и его подсистемы безопасности проводятся в соответствии с программой и методикой приемочных испытаний. Результаты приемочных испытаний значимого объекта и его подсистемы безопасности с выводом о ее соответствии установленным требованиям включаются в акт приемки значимого объекта в эксплуатацию. В случае если значимый объект является государственной информационной системой, в иных случаях, установленных законодательством Российской Федерации, а также в случае принятия решения субъектом критической информационной инфраструктуры, оценка значимого объекта и его подсистемы безопасности проводится в форме аттестации значимого объекта в соответствии с Требованиями о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденными приказом ФСТЭК России от 11 февраля 2013 г. N 17. Ввод в эксплуатацию значимого объекта и его подсистемы безопасности осуществляется при положительном заключении (выводе) в акте приемки (или в аттестате соответствия) о соответствии значимого объекта установленным требованиям по обеспечению безопасности. Обеспечение безопасности значимого объекта в ходе его эксплуатации\n13. Обеспечение безопасности в ходе эксплуатации значимого объекта осуществляется субъектом критической информационной инфраструктуры в соответствии с эксплуатационной документацией и организационно-распорядительными документами по безопасности значимого объекта и должно включать реализацию следующих мероприятий:\nа) планирование мероприятий по обеспечению безопасности значимого объекта;\nб) анализ угроз безопасности информации в значимом объекте и последствий от их реализации;\nв) управление (администрирование) подсистемой безопасности значимого объекта;\nг) управление конфигурацией значимого объекта и его подсистемой безопасности;\nд) реагирование на компьютерные инциденты в ходе эксплуатации значимого объекта;\nе) обеспечение действий в нештатных ситуациях в ходе эксплуатации значимого объекта;\nж) информирование и обучение персонала значимого объекта;\nз) контроль за обеспечением безопасности значимого объекта. 13.1. В ходе планирования мероприятий по обеспечению безопасности значимого объекта осуществляются:\nа) определение лиц, ответственных за планирование и контроль мероприятий по обеспечению безопасности значимого объекта;\nб) разработка, утверждение и актуализация плана мероприятий по обеспечению безопасности значимого объекта;\nв) определения порядка контроля выполнения мероприятий по обеспечению безопасности значимого объекта, предусмотренных утвержденным планом. Планирование мероприятий по обеспечению безопасности значимого объекта должно осуществляться в рамах процесса планирования, внедренного в соответствии с требованиями к созданию систем безопасности значимых объектов и обеспечению их функционирования, утвержденными в соответствии с пунктом 4 части 3 статьи 6 Федерального закона от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\". 13.2. В ходе анализа угроз безопасности информации в значимом объекте и возможных последствий их реализации осуществляются:\nа) анализ уязвимостей значимого объекта, возникающих в ходе его эксплуатации;\nб) анализ изменения угроз безопасности информации в значимом объекте, возникающих в ходе его эксплуатации;\nв) оценка возможных последствий реализации угроз безопасности информации в значимом объекте. Периодичность проведения указанных работ определяется субъектом критической информационной инфраструктуры в организационно-распорядительных документах по безопасности значимых объектов с учетом категории значимости объекта и особенностей его функционирования. 13.3. В ходе управления (администрирования) подсистемой безопасности значимого объекта осуществляются:\nа) определение лиц, ответственных за управление (администрирование) подсистемой безопасности значимого объекта;\nб) управление учетными записями пользователей и поддержание в актуальном состоянии правил разграничения доступа в значимом объекте;\nв) управление средствами защиты информации значимого объекта;\nг) управление обновлениями программных и программно-аппаратных средств, в том числе средств защиты информации, с учетом особенностей функционирования значимого объекта;\nд) централизованное управление подсистемой безопасности значимого объекта (при необходимости);\nе) мониторинг и анализ зарегистрированных событий в значимом объекте, связанных с обеспечением безопасности (далее - события безопасности);\nж) сопровождение функционирования подсистемы безопасности значимого объекта в ходе ее эксплуатации, включая ведение эксплуатационной документации и организационно-распорядительных документов по безопасности значимого объекта. 13.4. В ходе управления конфигурацией значимого объекта и его подсистемы безопасности для целей обеспечения его безопасности осуществляются:\nа) определение лиц, которым разрешены действия по внесению изменений в конфигурацию значимого объекта и его подсистемы безопасности, и их полномочий;\nб) определение компонентов значимого объекта и его подсистемы безопасности, подлежащих изменению в рамках управления конфигурации (идентификация объектов управления конфигурации): программно-аппаратные, программные средства, включая средства защиты информации, и их настройки и программный код, эксплуатационная документация, интерфейсы, файлы и иные компоненты, подлежащие изменению и контролю;\nв) управление изменениями значимого объекта и его подсистемы безопасности: разработка параметров настройки, обеспечивающих безопасность значимого объекта, анализ потенциального воздействия планируемых изменений на обеспечение безопасности значимого объекта, санкционирование внесения изменений в значимый объект и его подсистему безопасности, документирование действий по внесению изменений в значимый объект и сохранение данных об изменениях конфигурации;\nг) контроль действий по внесению изменений в значимый объект и его подсистему безопасности. Реализованные процессы управления изменениями значимого объекта и его подсистемы безопасности должны охватывать процессы гарантийного и (или) технического обслуживания, в том числе дистанционного (удаленного), программных и программно-аппаратных средств, включая средства защиты информации, значимого объекта. 13.5. Реагирование на компьютерные инциденты осуществляется в порядке, установленном в соответствии с пунктом 6 части 4 статьи 6 Федерального закона от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\". Для реагирования на компьютерные инциденты определяются работники, ответственные за выявление компьютерных инцидентов и реагирование на них, и определяются их функции. 13.6. Для обеспечения действий в нештатных ситуациях при эксплуатации значимого объекта осуществляются:\nа) планирование мероприятий по обеспечению безопасности значимого объекта на случай возникновения нештатных ситуаций;\nб) обучение и отработка действий персонала по обеспечению безопасности значимого объекта в случае возникновения нештатных ситуаций;\nв) создание альтернативных мест хранения и обработки информации на случай возникновения нештатных ситуаций;\nг) резервирование программных и программно-аппаратных средств, в том числе средств защиты информации, каналов связи на случай возникновения нештатных ситуаций;\nд) обеспечение возможности восстановления значимого объекта и (или) его компонентов в случае возникновения нештатных ситуаций;\nе) определение порядка анализа возникших нештатных ситуаций и принятия мер по недопущению их повторного возникновения. 13.7. В ходе информирования и обучения персонала значимого объекта осуществляются:\nа) информирование персонала об угрозах безопасности информации, о правилах безопасной эксплуатации значимого объекта;\nб) доведение до персонала требований по обеспечению безопасности значимых объектов, а также положений организационно-распорядительных документов по безопасности значимых объектов в части, их касающейся;\nв) обучение персонала правилам эксплуатации отдельных средств защиты информации, включая проведение практических занятий с персоналом;\nг) контроль осведомленности персонала об угрозах безопасности информации и уровня знаний персонала по вопросам обеспечения безопасности критической информационной инфраструктуры. Периодичность проведения указанных мероприятий устанавливается субъектом критической информационной инфраструктуры в организационно-распорядительных документах по безопасности значимого объекта с учетом категории значимости и особенностей функционирования значимого объекта. 13.8. В ходе контроля за обеспечением безопасности значимого объекта осуществляются:\nа) контроль (анализ) защищенности значимого объекта с учетом особенностей его функционирования;\nб) анализ и оценка функционирования значимого объекта и его подсистемы безопасности, включая анализ и устранение уязвимостей и иных недостатков в функционировании подсистемы безопасности значимого объекта;\nв) документирование процедур и результатов контроля за обеспечением безопасности значимого объекта;\nг) принятие решения по результатам контроля за обеспечением безопасности значимого объекта о необходимости доработки (модернизации) его подсистемы безопасности. Обеспечение безопасности значимого объекта при выводе его из эксплуатации\n14. Обеспечение безопасности значимого объекта при выводе его из эксплуатации или после принятия решения об окончании обработки информации осуществляется субъектом критической информационной инфраструктуры в соответствии с эксплуатационной документацией на значимый объект и организационно-распорядительными документами по безопасности значимого объекта. Обеспечение безопасности значимого объекта при выводе его из эксплуатации должно предусматривать:\nа) архивирование информации, содержащейся в значимом объекте;\nб) уничтожение (стирание) данных и остаточной информации с машинных носителей информации и (или) уничтожение машинных носителей информации;\nв) уничтожение или архивирование данных об архитектуре и конфигурации значимого объекта;\nг) архивирование или уничтожение эксплуатационной документации на значимый объект и его подсистему безопасности и организационно-распорядительных документов по безопасности значимого объекта. 14.1. Архивирование информации, содержащейся в значимом объекте, должно осуществляться в случае ее дальнейшего использования в деятельности субъекта критической информационной инфраструктуры. 14.2. Уничтожение (стирание) данных и остаточной информации с машинных носителей информации осуществляется в случае обработки значимым объектом информации ограниченного доступа или в случае принятия такого решения субъектом критической информационной инфраструктуры. Уничтожение (стирание) данных и остаточной информации с машинных носителей информации производится при необходимости передачи машинного носителя информации другому пользователю значимого объекта или в иные организации для ремонта, технического обслуживания или дальнейшего уничтожения. При выводе из эксплуатации машинных носителей информации, на которых осуществлялись хранение и обработка информации, производится или физическое уничтожение самих машинных носителей информации или уничтожение содержащейся на машинных носителях информации методами, не предусматривающими возможность ее восстановления. Уничтожение (стирание) данных и остаточной информации с машинных носителей информации подлежит документированию в соответствии с организационно-распорядительными документами по безопасности значимого объекта. 14.3. При выводе значимого объекта из эксплуатации должен быть осуществлен сброс настроек программных и программно-аппаратных средств, в том числе средств защиты информации, удалена информация о субъектах доступа и объектах доступа, удалены учетные записи пользователей, а также идентификационная и аутентификационная информация субъектов доступа. 14.4. При выводе значимого объекта из эксплуатации вся эксплуатационная документация на значимый объект и его подсистему безопасности, эксплуатационная документация на отдельные средства защиты информации подлежит архивному хранению. Сроки хранения документации определяются субъектом критической информационной инфраструктуры в организационно-распорядительных документах по безопасности значимого объекта. По решению субъекта критической информационной инфраструктуры эксплуатационная документация на значимый объект и его подсистему безопасности, а также организационно-распорядительные документы по безопасности значимого объекта (инструкции, руководства) могут быть уничтожены. В этом случае факт уничтожения подлежит документированию субъектом критической информационной инфраструктуры с указанием наименования, состава документов, способов и даты их уничтожения. III. Требования к организационным и техническим мерам, принимаемым для обеспечения безопасности значимых объектов\n15. Целью обеспечения безопасности значимого объекта является обеспечение его устойчивого функционирования в проектных режимах работы в условиях реализации в отношении значимого объекта угроз безопасности информации. 16. Задачами обеспечения безопасности значимого объекта являются:\nа) предотвращение неправомерного доступа к информации, обрабатываемой значимым объектом, уничтожения такой информации, ее модифицирования, блокирования, копирования, предоставления и распространения, а также иных неправомерных действий в отношении такой информации;\nб) недопущение информационного воздействия на программные и программно-аппаратные средства, в результате которого может быть нарушено и (или) прекращено функционирование значимого объекта;\nв) обеспечение функционирования значимого объекта в проектных режимах его работы в условиях воздействия угроз безопасности информации;\nг) обеспечение возможности восстановления функционирования значимого объекта критической информационной инфраструктуры. 17. В значимых объектах объектами, подлежащими защите от угроз безопасности информации (объектами защиты), являются:\nа) в информационных системах:\nинформация, обрабатываемая в информационной системе;\nпрограммно-аппаратные средства (в том числе машинные носители информации, автоматизированные рабочие места, серверы, телекоммуникационное оборудование, линии связи, средства обработки буквенно-цифровой, графической, видео- и речевой информации);\nпрограммные средства (в том числе микропрограммное, общесистемное, прикладное программное обеспечение);\nсредства защиты информации;\nархитектура и конфигурация информационной системы;\nб) в информационно-телекоммуникационных сетях:\nинформация, передаваемая по линиям связи;\nтелекоммуникационное оборудование (в том числе программное обеспечение, система управления);\nсредства защиты информации;\nархитектура и конфигурация информационно-телекоммуникационной сети;\nв) в автоматизированных системах управления:\nинформация (данные) о параметрах (состоянии) управляемого (контролируемого) объекта или процесса (в том числе входная (выходная) информация, управляющая (командная) информация, контрольно-измерительная информация, иная критически важная (технологическая) информация);\nпрограммно-аппаратные средства (в том числе автоматизированные рабочие места, промышленные серверы, телекоммуникационное оборудование, линии связи, программируемые логические контроллеры, производственное, технологическое оборудование (исполнительные устройства);\nпрограммные средства (в том числе микропрограммное, общесистемное, прикладное программное обеспечение);\nсредства защиты информации;\nархитектура и конфигурация автоматизированной системы управления. 18. Обеспечение безопасности значимого объекта достигается путем принятия в рамках подсистемы безопасности значимого объекта совокупности организационных и технических мер, направленных на блокирование (нейтрализацию) угроз безопасности информации, реализация которых может привести к прекращению или нарушению функционирования значимого объекта и обеспечивающего (управляемого, контролируемого) им процесса, а также нарушению безопасности обрабатываемой информации (нарушению доступности, целостности, конфиденциальности информации). Организационные и технические меры по обеспечению безопасности значимого объекта принимаются субъектом критической информационной инфраструктуры совместно с лицом, эксплуатирующим значимый объект (при его наличии). При этом между субъектом критической информационной инфраструктуры и лицом, эксплуатирующим значимый объект, должно быть проведено разграничение функций по обеспечению безопасности значимого объекта в ходе его эксплуатации. 19. Меры по обеспечению безопасности выбираются и реализуются в значимом объекте с учетом угроз безопасности информации применительно ко всем объектам и субъектам доступа на аппаратном, системном, прикладном и сетевом уровнях, в том числе в среде виртуализации. 20. Меры по обеспечению безопасности значимого объекта принимаются субъектом критической информационной инфраструктуры самостоятельно или при необходимости с привлечением в соответствии с законодательством Российской Федерации организаций, имеющих в зависимости от информации, обрабатываемой значимым объектом, лицензию на деятельность по технической защите информации, составляющей государственную тайну, и (или) на деятельность по технической защите конфиденциальной информации\n21. Принимаемые организационные и технические меры по обеспечению безопасности значимого объекта должны соотноситься с мерами по промышленной, функциональной безопасности, иными мерами по обеспечению безопасности значимого объекта и обеспечивающего (управляемого, контролируемого) объекта или процесса. При этом меры по обеспечению безопасности значимого объекта не должны оказывать отрицательного влияния на функционирование значимого объекта в проектных режимах его работы. 22. В значимых объектах в зависимости от их категории значимости и угроз безопасности информации должны быть реализованы следующие организационные и технические меры:\nидентификация и аутентификация (ИАФ);\nуправление доступом (УПД);\nограничение программной среды (ОПС);\nзащита машинных носителей информации (ЗНИ);\nаудит безопасности (АУД);\nантивирусная защита (АВЗ);\nпредотвращение вторжений (компьютерных атак) (СОВ);\nобеспечение целостности (ОЦЛ);\nобеспечение доступности (ОДТ);\nзащита технических средств и систем (ЗТС);\nзащита информационной (автоматизированной) системы и ее компонентов (ЗИС);\nпланирование мероприятий по обеспечению безопасности (ПЛН);\nуправление конфигурацией (УКФ);\nуправление обновлениями программного обеспечения (ОПО);\nреагирование на инциденты информационной безопасности (ИНЦ);\nобеспечение действий в нештатных ситуациях (ДНС);\nинформирование и обучение персонала (ИПО). Состав мер по обеспечению безопасности значимых объектов в зависимости от категории значимости приведен в приложении к настоящим Требованиям. При реализации мер по обеспечению безопасности значимых объектов применяются методические документы, разработанные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085. 23. Выбор мер по обеспечению безопасности значимых объектов для их реализации включает:\nа) определение базового набора мер по обеспечению безопасности значимого объекта;\nб) адаптацию базового набора мер по обеспечению безопасности значимого объекта;\nв) дополнение адаптированного набора мер по обеспечению безопасности значимого объекта мерами, установленными иными нормативными правовыми актами в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации и защиты информации. Базовый набор мер по обеспечению безопасности значимого объекта определяется на основе установленной категории значимости значимого объекта в соответствии с приложением к настоящим Требованиям. Базовый набор мер по обеспечению безопасности значимого объекта подлежит адаптации в соответствии с угрозами безопасности информации, применяемыми информационными технологиями и особенностями функционирования значимого объекта. При этом из базового набора могут быть исключены меры, непосредственно связанные с информационными технологиями, не используемыми в значимом объекте, или характеристиками, не свойственными значимому объекту. При адаптации базового набора мер по обеспечению безопасности значимого объекта для каждой угрозы безопасности информации, включенной в модель угроз, сопоставляется мера или группа мер, обеспечивающие блокирование одной или нескольких угроз безопасности или снижающие возможность ее реализации исходя из условий функционирования значимого объекта. В случае если базовый набор мер не позволяет обеспечить блокирование (нейтрализацию) всех угроз безопасности информации, в него дополнительно включаются меры, приведенные в приложении к настоящим Требованиям. Дополнение адаптированного набора мер по обеспечению безопасности значимого объекта осуществляется с целью выполнения требований, установленных иными нормативными правовыми актами в области обеспечения безопасности критической информационной инфраструктуры и защиты информации. Дополнение адаптированного набора мер проводится в случае, если в отношении значимого объекта в соответствии с законодательством Российской Федерации также установлены требования о защите информации, содержащейся в государственных информационных системах, требования к защите персональных данных при их обработке в информационных системах персональных данных, требования к криптографической защите информации или иные требования в области защиты информации и обеспечения безопасности критической информационной инфраструктуры. 24. В случае если значимый объект является государственной информационной системой или информационной системой персональных данных, меры по обеспечению безопасности значимого объекта и меры защиты информации (по обеспечению персональных данных) принимаются в соответствии с более высокой категорией значимости, классом защищенности или уровнем защищенности персональных данных. 25. Если принятые в значимом объекте меры по обеспечению промышленной, функциональной безопасности и (или) физической безопасности достаточны для блокирования (нейтрализации) отдельных угроз безопасности информации, дополнительные меры, выбранные в соответствии с пунктами 22 и 23 настоящих Требований, могут не применяться. При этом в ходе разработки организационных и технических мер по обеспечению безопасности значимого объекта должна быть обоснована достаточность применения мер по обеспечению промышленной безопасности или физической безопасности для блокирования (нейтрализации) соответствующих угроз безопасности информации. 26. При отсутствии возможности реализации отдельных мер по обеспечению безопасности и (или) невозможности их применения к отдельным объектам и субъектам доступа, в том числе вследствие их негативного влияния на функционирование значимого объекта в проектных режимах значимого объекта, должны быть разработаны и внедрены компенсирующие меры, обеспечивающие блокирование (нейтрализацию) угроз безопасности информации с необходимым уровнем защищенности значимого объекта. При этом в ходе разработки организационных и технических мер по обеспечению безопасности значимого объекта должно быть обосновано применение компенсирующих мер, а при приемочных испытаниях (аттестации) оценена достаточность и адекватность данных компенсирующих мер для блокирования (нейтрализации) угроз безопасности информации. В качестве компенсирующих мер могут быть рассмотрены меры по обеспечению промышленной, функциональной и (или) физической безопасности значимого объекта, поддерживающие необходимый уровень его защищенности. 26.1. При использовании в значимых объектах новых информационных технологий и выявлении дополнительных угроз безопасности информации, для которых не определены меры по обеспечению безопасности, должны разрабатываться компенсирующие меры в соответствии с пунктом 26 настоящих Требований. IV. Требования к программным и программно-аппаратным средствам, применяемым для обеспечения безопасности значимых объектов\n27. Технические меры по обеспечению безопасности в значимом объекте реализуются посредством использования программных и программно-аппаратных средств, применяемых для обеспечения безопасности значимых объектов - средств защиты информации (в том числе встроенных в общесистемное, прикладное программное обеспечение), а также обеспечения безопасности программного обеспечения и программно-аппаратных средств, применяемых в значимых объектах. При этом в приоритетном порядке подлежат применению средства защиты информации, встроенные в программное обеспечение и (или) программно-аппаратные средства значимых объектов (при их наличии). 28. Для обеспечения безопасности значимых объектов критической информационной инфраструктуры должны применяться средства защиты информации, прошедшие оценку на соответствие требованиям по безопасности в формах обязательной сертификации, испытаний или приемки. Средства защиты информации, прошедшие оценку соответствия в форме обязательной сертификации, применяются в случаях, установленных законодательством Российской Федерации, а также в случае принятия решения субъектом критической информационной инфраструктуры. В иных случаях применяются средства защиты информации, прошедшие оценку соответствия в форме испытаний или приемки, которые проводятся субъектами критической информационной инфраструктуры самостоятельно или с привлечением организаций, имеющих в соответствии с законодательством Российской Федерации лицензии на деятельность в области защиты информации. Абзац утратил силу с 1 января 2023 г. - Приказ ФСТЭК России от 20 февраля 2020 г. N 35\n29. В случае использования в значимом объекте сертифицированных на соответствие требованиям по безопасности информации средств защиты информации:\nа) в значимых объектах 1 категории применяются средства защиты информации не ниже 4 класса защиты, а также средства вычислительной техники не ниже 5 класса;\nб) в значимых объектах 2 категории применяются средства защиты информации не ниже 5 класса защиты, а также средства вычислительной техники не ниже 5 класса;\nв) в значимых объектах 3 категории применяются средства защиты информации 6 класса защиты, а также средства вычислительной техники не ниже 5 класса. При этом в значимых объектах 1 категории значимости применяются сертифицированные средства защиты информации, соответствующие 4 или более высокому уровню доверия. В значимых объектах 2 категории значимости применяются сертифицированные средства защиты информации, соответствующие 5 или более высокому уровню доверия. В значимых объектах 3 категории значимости применяются сертифицированные средства защиты информации, соответствующие 6 или более высокому уровню доверия. Классы защиты и уровни доверия определяются в соответствии с нормативными правовыми актами ФСТЭК России, изданными в соответствии с подпунктом 13.1 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085. При использовании в значимом объекте средств защиты информации, сертифицированных по требованиям безопасности информации, указанные средства должны быть сертифицированы на соответствие обязательным требованиям по безопасности информации, установленным нормативными правовыми актами, или требованиям, указанным в технических условиях (заданиях по безопасности). Функции безопасности средств защиты информации должны обеспечивать выполнение настоящих Требований. 29.1. При проектировании вновь создаваемых или модернизируемых значимых объектов 1 категории значимости в качестве граничных маршрутизаторов, имеющих доступ к информационно-телекоммуникационной сети \"Интернет\", выбираются маршрутизаторы, сертифицированные на соответствие требованиям по безопасности информации (в части реализованных в них функций безопасности). В случае отсутствия технической возможности применения в значимых объектах 1 категории значимости граничных маршрутизаторов, сертифицированных на соответствие требованиям по безопасности информации, функции безопасности граничных маршрутизаторов подлежат оценке на соответствие требованиям по безопасности в рамках приемки или испытаний значимых объектов. Обоснование отсутствия технической возможности приводится в проектной документации на значимые объекты (подсистемы безопасности значимых объектов), разрабатываемой в соответствии с техническим заданием на создание значимых объектов и (или) техническим заданием (частным техническим заданием) на создание подсистемы безопасности значимых объектов. 29.2. Средства защиты информации, оценка соответствия которых проводится в форме испытаний или приемки, должны соответствовать требованиям к функциям безопасности, установленным в соответствии с подпунктом \"ж\" пункта 10 настоящих Требований. Не встроенные в общесистемное и прикладное программное обеспечение средства защиты информации, оценка соответствия которых проводится в форме испытаний или приемки, дополнительно к указанным требованиям должны соответствовать 6 или более высокому уровню доверия. Испытания (приемка) средств защиты информации на соответствие требованиям к уровню доверия и требованиям к функциям безопасности проводятся на этапе предварительных испытаний в соответствии с пунктом 12.4 настоящих Требований. Испытания (приемка) проводятся отдельно или в составе значимого объекта. Программа и методики испытаний (приемки) утверждаются субъектом критической информационной инфраструктуры в случае самостоятельного проведения испытаний. В случае проведения испытаний иным лицом, программа и методики испытаний (приемки) утверждаются этим лицом по согласованию с субъектом критической информационной инфраструктуры. По результатам испытаний (приемки) средства защиты информации оформляется протокол испытаний, в котором указываются:\nдата и место проведения испытаний (приемки);\nописание испытываемого средства защиты информации;\nописание проведенных испытаний;\nрезультаты испытаний по каждому испытываемому параметру (характеристике);\nвыводы о соответствии (несоответствии) средства защиты информации требованиям по безопасности информации. Протокол испытаний утверждается субъектом критической информационной инфраструктуры в случае самостоятельного проведения испытаний. В ином случае протокол испытаний утверждается лицом, проводившим испытания, и представляется субъекту критической информационной инфраструктуры на этапе приемочных испытаний для принятия решения о возможности применения средства защиты информации в значимом объекте. Испытания (приемка), предусмотренные настоящим пунктом, проводятся в отношении средств защиты информации, планируемых к внедрению в рамках создания (модернизации или реконструкции, ремонта) значимых объектов. 29.3. Прикладное программное обеспечение, планируемое к внедрению в рамках создания (модернизации или реконструкции, ремонта) значимого объекта и обеспечивающее выполнение его функций по назначению (далее - программное обеспечение), должно соответствовать следующим требованиям по безопасности:\n29.3.1. Требования по безопасной разработке программного обеспечения:\nналичие руководства по безопасной разработке программного обеспечения;\nпроведение анализа угроз безопасности информации программного обеспечения;\nналичие описания структуры программного обеспечения на уровне подсистем и результатов сопоставления функций программного обеспечения и интерфейсов, описанных в функциональной спецификации, с его подсистемами (для программного обеспечения, планируемого к применению в значимых объектах 1 категории значимости). 29.3.2. Требования к испытаниям по выявлению уязвимостей в программном обеспечении:\nпроведение статического анализа исходного кода программы;\nпроведение фаззинг-тестирования программы, направленного на выявление в ней уязвимостей;\nпроведение динамического анализа кода программы (для программного обеспечения, планируемого к применению в значимых объектах 1 категории значимости). 29.3.3. Требования к поддержке безопасности программного обеспечения:\nналичие процедур отслеживания и исправления обнаруженных ошибок и уязвимостей программного обеспечения;\nопределение способов и сроков доведения разработчиком (производителем) программного обеспечения до его пользователей информации об уязвимостях программного обеспечения, о компенсирующих мерах по защите информации или ограничениях по применению программного обеспечения, способов получения пользователями программного обеспечения его обновлений, проверки их целостности и подлинности;\nналичие процедур информирования субъекта критической информационной инфраструктуры об окончании производства и (или) поддержки программного обеспечения (для программного обеспечения, планируемого к применению в значимых объектах 1 категории значимости). 29.4. Выполнение требований по безопасности, указанных в подпунктах 29.3.1 - 29.3.3 пункта 29.3 настоящих Требований, оценивается лицом, выполняющим работы по созданию (модернизации, реконструкции или ремонту) значимого объекта и (или) обеспечению его безопасности, на этапе проектирования значимого объекта на основе результатов анализа материалов и документов, представляемых разработчиком (производителем) программного обеспечения в соответствии с техническим заданием (частным техническим заданием), разрабатываемым в соответствии с пунктом 10 настоящих Требований. Результаты оценки включаются в проектную документацию на значимый объект (подсистему безопасности значимого объекта) и представляются субъекту критической информационной инфраструктуры.\". 30. Применяемые в значимом объекте программные и программно-аппаратные средства, в том числе средства защиты информации, должны эксплуатироваться в соответствии с инструкциями (правилами) по эксплуатации, разработанными разработчиками (производителями) этих средств, и иной эксплуатационной документацией. 31. Применяемые в значимом объекте программные и программно-аппаратные средства, в том числе средства защиты информации, должны быть обеспечены гарантийной и (или) технической поддержкой. При выборе программных и программно-аппаратных средств, в том числе средств защиты информации, необходимо учитывать наличие ограничений на возможность их применения субъектом критической информационной инфраструктуры на любом из принадлежащих ему значимых объектов критической информационной инфраструктуры со стороны разработчиков (производителей) или иных лиц. В значимом объекте не допускаются:\nналичие удаленного доступа к программным и программно-аппаратным средствам, в том числе средствам защиты информации, для обновления или управления со стороны лиц, не являющихся работниками субъекта критической информационной инфраструктуры, а также работниками его дочерних и зависимых обществ;\nналичие локального бесконтрольного доступа к программным и программно-аппаратным средствам, в том числе средствам защиты информации, для обновления или управления со стороны лиц, не являющихся работниками субъекта критической информационной инфраструктуры, его дочерних и зависимых обществ;\nпередача информации, в том числе технологической информации, разработчику (производителю) программных и программно-аппаратных средств, в том числе средств защиты информации, или иным лицам без контроля со стороны субъекта критической информационной инфраструктуры. В случае технической невозможности исключения удаленного доступа к программным и программно-аппаратным средствам, в том числе средствам защиты информации, в значимом объекте принимаются организационные и технические меры по обеспечению безопасности такого доступа, предусматривающие:\nопределение лиц и устройств, которым разрешен удаленный доступ к программным и программно-аппаратным средствам значимого объекта, предоставление им минимальных полномочий при доступе к этим средствам;\nконтроль доступа к программным и программно-аппаратным средствам значимого объекта;\nзащиту информации и данных при их передаче по каналам связи при удаленном доступе к программным и программно-аппаратным средствам значимого объекта;\nмониторинг и регистрацию действий лиц, которым разрешен удаленный доступ к программным и программно-аппаратным средствам значимого объекта, а также инициируемых ими процессов, анализ этих действий в целях выявления фактов неправомерных действий;\nобеспечение невозможности отказа лиц от выполненных действий при осуществлении удаленного доступа к программным и программно-аппаратным средствам значимого объекта. В значимом объекте могут приниматься дополнительные организационные и технические меры по обеспечению безопасности удаленного доступа к программным и программно-аппаратным средствам, в том числе средствам защиты информации, направленные на блокирование (нейтрализацию) угроз безопасности информации, приведенных в модели угроз безопасности информации, разрабатываемой в соответствии с пунктом 11.1 настоящих Требований. Входящие в состав значимого объекта 1 и 2 категорий значимости программные и программно-аппаратные средства, осуществляющие хранение и обработку информации, должны размещаться на территории Российской Федерации (за исключением случаев, когда размещение указанных средств осуществляется в зарубежных обособленных подразделениях субъекта критической информационной инфраструктуры (филиалах, представительствах), а также случаев, установленных законодательством Российской Федерации и (или) международными договорами Российской Федерации). 32. Утратил силу с 25 сентября 2020 г. - Приказ ФСТЭК России от 20 февраля 2020 г. N 35\nПриложение к Требованиям по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации, утвержденным приказом ФСТЭК России от 25 декабря 2017 г. N 239\nСостав мер по обеспечению безопасности для значимого объекта соответствующей категории значимости\n\"+\" - мера обеспечения безопасности включена в базовый набор мер для соответствующей категории значимого объекта. Меры обеспечения безопасности, не обозначенные знаком \"+\", применяются при адаптации и дополнении базового набора мер, а также при разработке компенсирующих мер в значимом объекте критической информационной инфраструктуры соответствующей категории значимости.", "21.12.2017 № 235": "Приказ Федеральной службы по техническому и экспортному контролю от 21 декабря 2017 г. N 235 \"Об утверждении Требований к созданию систем безопасности значимых объектов критической информационной инфраструктуры Российской Федерации и обеспечению их функционирования\"\nВ соответствии с пунктом 4 части 3 статьи 6 Федерального закона от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\" (Собрание законодательства Российской Федерации, 2017, N 31, ст. 4736) приказываю:\nУтвердить прилагаемые Требования к созданию систем безопасности значимых объектов критической информационной инфраструктуры Российской Федерации и обеспечению их функционирования. Зарегистрировано в Минюсте РФ 22 февраля 2018 г. Регистрационный N 50118\nУТВЕРЖДЕНЫ приказом ФСТЭК России от 21 декабря 2017 г. N 235\nТребования к созданию систем безопасности значимых объектов критической информационной инфраструктуры Российской Федерации и обеспечению их функционирования\nI. Общие положения\n1. Настоящие Требования разработаны в соответствии с Федеральным законом от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\" и устанавливают требования к созданию субъектами критической информационной инфраструктуры Российской Федерации (далее - критическая информационная инфраструктура) систем безопасности значимых объектов критической информационной инфраструктуры (далее - системы безопасности) и по обеспечению их функционирования. 2. Системы безопасности создаются субъектами критической информационной инфраструктуры и включают в себя правовые, организационные, технические и иные меры, направленные на обеспечение информационной безопасности (защиты информации) субъектов критической информационной инфраструктуры. 3. Создание и функционирование систем безопасности должно быть направлено на обеспечение устойчивого функционирования значимых объектов критической информационной инфраструктуры при проведении в отношении них компьютерных атак. Системы безопасности создаются в отношении всех значимых объектов критической информационной инфраструктуры субъекта критической информационной инфраструктуры с учетом значимых объектов критической информационной инфраструктуры, эксплуатируемых в обособленных подразделениях (филиалах, представительствах) субъекта критической информационной инфраструктуры. По решению субъекта критической информационной инфраструктуры для одного или группы значимых объектов критической информационной инфраструктуры могут создаваться отдельные системы безопасности. 4. Системы безопасности включают силы обеспечения безопасности значимых объектов критической информационной инфраструктуры и используемые ими средства обеспечения безопасности значимых объектов критической информационной инфраструктуры. К силам обеспечения безопасности значимых объектов критической информационной инфраструктуры относятся:\nподразделения (работники) субъекта критической информационной инфраструктуры, ответственные за обеспечение безопасности значимых объектов критической информационной инфраструктуры;\nподразделения (работники), эксплуатирующие значимые объекты критической информационной инфраструктуры;\nподразделения (работники), обеспечивающие функционирование (сопровождение, обслуживание, ремонт) значимых объектов критической информационной инфраструктуры;\nиные подразделения (работники), участвующие в обеспечении безопасности значимых объектов критической информационной инфраструктуры. К средствам обеспечения безопасности значимых объектов критической информационной инфраструктуры относятся программные и программно-аппаратные средства, применяемые для обеспечения безопасности значимых объектов критической информационной инфраструктуры. 5. Системы безопасности должны функционировать в соответствии с организационно-распорядительными документами по обеспечению безопасности значимых объектов критической информационной инфраструктуры, разрабатываемыми субъектами критической информационной инфраструктуры в соответствии с настоящими Требованиями (далее - организационно-распорядительные документы по безопасности значимых объектов). 6. Системы безопасности должны обеспечивать:\nпредотвращение неправомерного доступа к информации, обрабатываемой значимыми объектами критической информационной инфраструктуры, уничтожения такой информации, ее модифицирования, блокирования, копирования, предоставления и распространения, а также иных неправомерных действий в отношении такой информации;\nнедопущение воздействия на технические средства обработки информации, в результате которого может быть нарушено и (или) прекращено функционирование значимых объектов критической информационной инфраструктуры;\nвосстановление функционирования значимых объектов критической информационной инфраструктуры, в том числе за счет создания и хранения резервных копий необходимой для этого информации;\nнепрерывное взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, которое осуществляется в соответствии со статьей 5 Федерального закона \"О безопасности критической информационной инфраструктуры Российской Федерации\". 7. Создаваемые системы безопасности должны соответствовать требованиям, предъявляемым к:\nсилам обеспечения безопасности значимых объектов критической информационной инфраструктуры;\nпрограммным и программно-аппаратным средствам, применяемым для обеспечения безопасности значимых объектов критической информационной инфраструктуры;\nорганизационно-распорядительным документам по безопасности значимых объектов;\nфункционированию системы безопасности в части организации работ по обеспечению безопасности значимых объектов критической информационной инфраструктуры. II. Требования к силам обеспечения безопасности значимых объектов критической информационной инфраструктуры\n8. Руководитель субъекта критической информационной инфраструктуры или заместитель руководителя субъекта критической информационной инфраструктуры, на которого возложены полномочия по обеспечению информационной безопасности в соответствии с Указом Президента Российской Федерации от 1 мая 2022 г. N 250 \"О дополнительных мерах по обеспечению информационной безопасности Российской Федерации\" (далее - ответственное лицо), создает систему безопасности, организует и контролирует ее функционирование. 9. Руководитель субъекта критической информационной инфраструктуры определяет состав и структуру системы безопасности, а также функции ее участников при обеспечении безопасности значимых объектов критической информационной инфраструктуры в зависимости от количества значимых объектов критической информационной инфраструктуры, а также особенностей деятельности субъекта критической информационной инфраструктуры. Создаваемая система безопасности должна включать силы обеспечения безопасности значимых объектов критической информационной инфраструктуры обособленных подразделений (филиалов, представительств) субъектов критической информационной инфраструктуры, в которых эксплуатируются значимые объекты критической информационной инфраструктуры. 10. Руководитель субъекта критической информационной инфраструктуры создает или определяет структурное подразделение, ответственное за обеспечение безопасности значимых объектов критической информационной инфраструктуры (далее - структурное подразделение по безопасности), или назначает отдельных работников, ответственных за обеспечение безопасности значимых объектов критической информационной инфраструктуры (далее - специалисты по безопасности). Структурное подразделение по безопасности, специалисты по безопасности должны осуществлять следующие функции:\nразрабатывать предложения по совершенствованию организационно-распорядительных документов по безопасности значимых объектов и представлять их руководителю субъекта критической информационной инфраструктуры (ответственному лицу);\nпроводить анализ угроз безопасности информации в отношении значимых объектов критической информационной инфраструктуры и выявлять уязвимости в них;\nобеспечивать реализацию требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры, установленных в соответствии со статьей 11 Федерального закона \"О безопасности критической информационной инфраструктуры Российской Федерации\" (далее - требования по безопасности);\nобеспечивать в соответствии с требованиями по безопасности реализацию организационных мер и применение средств защиты информации, эксплуатацию средств защиты информации;\nосуществлять реагирование на компьютерные инциденты в порядке, установленном в соответствии  пунктом 6 части 4 статьи 6 Федерального закона \"О безопасности критической информационной инфраструктуры Российской Федерации\";\nорганизовывать проведение оценки соответствия значимых объектов критической информационной инфраструктуры требованиям по безопасности;\nготовить предложения по совершенствованию функционирования систем безопасности, а также по повышению уровня безопасности значимых объектов критической информационной инфраструктуры. Структурное подразделение по безопасности, специалисты по безопасности реализуют указанные функции во взаимодействии с подразделениями (работниками), эксплуатирующими значимые объекты критической информационной инфраструктуры, и подразделениями (работниками), обеспечивающими функционирование значимых объектов критической информационной инфраструктуры. 10.1. По решению руководителя субъекта критической информационной инфраструктуры (ответственного лица) в обособленных подразделениях (филиалах, представительствах) субъекта критической информационной инфраструктуры, в которых эксплуатируются значимые объекты критической информационной инфраструктуры, создаются (определяются) структурные подразделения по безопасности или назначаются специалисты по безопасности. Координацию и контроль выполнения функций структурными подразделениями по безопасности, специалистами по безопасности обособленных подразделений (филиалов, представительств) осуществляют ответственное лицо и (или) структурные подразделения по безопасности, специалисты по безопасности субъекта критической информационной инфраструктуры. Порядок взаимодействия структурных подразделений по безопасности, специалистов по безопасности субъекта критической информационной инфраструктуры и структурных подразделений по безопасности, специалистов по безопасности обособленных подразделений (филиалов, представительств) определяется организационно-распорядительными документами субъекта критической информационной инфраструктуры. 10.2. В случае если субъект критической информационной инфраструктуры является хозяйственным обществом (товариществом), имеющим дочерние общества, также являющиеся субъектами критической информационной инфраструктуры, или некоммерческой организацией, участвующей в организациях, являющихся субъектами критической информационной инфраструктуры, в которых некоммерческая организация имеет возможность определять принимаемые этими организациями решения, то структурные подразделения по безопасности, специалисты по безопасности основного хозяйственного общества (товарищества), некоммерческой организации должны осуществлять координацию структурных подразделений по безопасности, специалистов по безопасности дочерних обществ, организаций, в которых участвует некоммерческая организация. 11. Для выполнения функций, предусмотренных пунктом 10 настоящих Требований, субъектами критической информационной инфраструктуры могут привлекаться организации, имеющие в зависимости от информации, обрабатываемой значимым объектом критической информационной инфраструктуры, лицензию на деятельность по технической защите информации, составляющей государственную тайну, и (или) на деятельность по технической защите конфиденциальной информации (далее - лицензии в области защиты информации). 12. Работники структурного подразделения по безопасности, специалисты по безопасности должны соответствовать следующим требованиям:\nналичие у руководителя структурного подразделения по безопасности высшего профессионального образования по направлению подготовки (специальности) в области информационной безопасности или иного высшего профессионального образования и документа, подтверждающего прохождение обучения по программе профессиональной переподготовки по направлению \"Информационная безопасность\", наличие стажа работы в сфере информационной безопасности не менее 3 лет;\nналичие у штатных работников структурного подразделения по безопасности, штатных специалистов по безопасности профессионального образования по направлению подготовки (специальности) в области информационной безопасности или иного высшего профессионального образования с прохождением обучения по программе повышения квалификации по направлению \"Информационная безопасность\";\nпрохождение не реже одного раза в 3 года обучения по программам повышения квалификации по направлению \"Информационная безопасность\". 12.1. На работников со средним профессиональным образованием по специальности в области информационной безопасности (при наличии должности в штатном расписании у субъекта критической информационной инфраструктуры) возлагаются отдельные функции по обеспечению безопасности значимых объектов критической информационной инфраструктуры в соответствии с полученной такими работниками специальностью. 13. Не допускается возложение на структурное подразделение по безопасности, специалистов по безопасности функций, не связанных с обеспечением безопасности значимых объектов критической информационной инфраструктуры или обеспечением информационной безопасности субъекта критической информационной инфраструктуры в целом. Обязанности, возлагаемые на работников структурного подразделения по безопасности, специалистов по безопасности, должны быть определены в их должностных регламентах (инструкциях). 14. Подразделения, эксплуатирующие значимые объекты критической информационной инфраструктуры, должны обеспечивать безопасность эксплуатируемых ими значимых объектов критической информационной инфраструктуры. Объем возлагаемых на подразделения задач определяется субъектом критической информационной инфраструктуры в организационно-распорядительных документах по безопасности значимых объектов. По решению субъекта критической информационной инфраструктуры в подразделениях, эксплуатирующих значимые объекты критической информационной инфраструктуры, могут также назначаться работники, на которых возлагаются отдельные функции по обеспечению безопасности значимых объектов критической информационной инфраструктуры. Обязанности, возлагаемые на работников, должны быть определены в их должностных регламентах (инструкциях). Координацию и контроль деятельности указанных работников по вопросам обеспечения безопасности значимых объектов критической информационной инфраструктуры должны осуществлять структурное подразделение по безопасности, специалисты по безопасности. 15. Работники, эксплуатирующие значимые объекты критической информационной инфраструктуры (пользователи), а также работники, обеспечивающие функционирование значимых объектов критической информационной инфраструктуры, должны выполнять свои обязанности на значимых объектах критической информационной инфраструктуры в соответствии с правилами безопасности, установленными организационно-распорядительными документами по безопасности значимых объектов (инструкциями, руководствами). До работников должны быть доведены положения организационно-распорядительных документов по безопасности значимых объектов в части, их касающейся. Субъект критической информационной инфраструктуры должен проводить не реже одного раза в год организационные мероприятия, направленные на повышение уровня знаний работников по вопросам обеспечения безопасности критической информационной инфраструктуры и о возможных угрозах безопасности информации. 16. Представители организаций, привлекаемых субъектом критической информационной инфраструктуры для эксплуатации, обеспечения функционирования значимых объектов критической информационной инфраструктуры и (или) для обеспечения их безопасности, должны быть ознакомлены с организационно-распорядительными документами по безопасности значимых объектов. III. Требования к программным и программно-аппаратным средствам, применяемым для обеспечения безопасности значимых объектов критической информационной инфраструктуры\n17. К программным и программно-аппаратным средствам, применяемым для обеспечения безопасности значимых объектов критической информационной инфраструктуры, относятся средства защиты информации, в том числе средства защиты информации от несанкционированного доступа (включая встроенные в общесистемное, прикладное программное обеспечение), межсетевые экраны, средства обнаружения (предотвращения) вторжений (компьютерных атак), средства антивирусной защиты, средства (системы) контроля (анализа) защищенности, средства управления событиями безопасности, средства защиты каналов передачи данных. 18. Для обеспечения безопасности значимых объектов критической информационной инфраструктуры должны применяться сертифицированные на соответствие требованиям по безопасности средства защиты информации или средства, прошедшие оценку соответствия в форме испытаний или приемки в соответствии с Федеральным законом от 27 декабря 2002 г. N 184-ФЗ \"О техническом регулировании\" (Собрание законодательства Российской Федерации, 2002, N 52, ст. 5140; 2005, N 19, ст. 1752; 2007, N 19, ст. 2293; N 49, ст. 6070; 2008, N 30, ст. 3616; 2009, N 29, ст. 3626; N 48, ст. 5711; 2010, N 1, ст. 5, 6; N 40, ст. 4969; 2011, N 30, ст. 4603; N 49, ст. 7025; N 50, ст. 7351; 2012, N 31, ст. 4322; N 50, ст. 6959; 2013, N 27, ст. 3477; N 30, ст. 4071; N 52, ст. 6961; 2014, N 26, ст. 3366; 2015, N 17, ст. 2477; N 27, ст. 3951; N 29, ст. 4342; N 48, ст. 6724; 2016, N 15, ст. 2066). Сертифицированные средства защиты информации применяются в случаях, установленных законодательством Российской Федерации, а также в случае принятия решения субъектом критической информационной инфраструктуры. В иных случаях применяются средства защиты информации, прошедшие оценку соответствия в форме испытаний или приемки, которые проводятся субъектами критической информационной инфраструктуры самостоятельно или с привлечением организаций, имеющих в соответствии с законодательством Российской Федерации лицензии на деятельность в области защиты информации. 19. Параметры и характеристики применяемых средств защиты информации должны обеспечивать реализацию технических мер по обеспечению безопасности значимых объектов критической информационной инфраструктуры, принимаемыми в соответствии с требованиями по безопасности. В качестве средств защиты информации в приоритетном порядке подлежат применению средства защиты информации, встроенные в программное обеспечение и (или) программно-аппаратные средства значимых объектов критической информационной инфраструктуры (при их наличии). 20. Средства защиты информации должны применяться в соответствии с инструкциями (правилами) по эксплуатации, разработанными разработчиками (производителями) этих средств, и иной эксплуатационной документацией на средства защиты информации. 21. Применяемые средства защиты информации должны быть обеспечены технической поддержкой со стороны разработчиков (производителей). При выборе средств защиты информации должно учитываться возможное наличие ограничений со стороны разработчиков (производителей) или иных лиц на применение этих средств на любом из принадлежащих субъекту критической информационной инфраструктуры значимых объектов критической информационной инфраструктуры. В случае невозможности обеспечения средств защиты информации технической поддержкой со стороны разработчиков (производителей), субъектом критической информационной инфраструктуры должны быть реализованы организационные и технические меры, обеспечивающие блокирование (нейтрализацию) угроз безопасности информации с необходимым уровнем защищенности значимого объекта, в соответствии с Требованиями по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации, утвержденными приказом ФСТЭК России от 25 декабря 2017 г. N 239 1. ──────────────────────────────\n1 Зарегистрирован Минюстом России 26 марта 2018 г., регистрационный N 50524, с изменениями, внесенными приказами ФСТЭК России от 9 августа 2018 г. N 138 (зарегистрирован Минюстом России 5 сентября 2018 г., регистрационный N 52071), от 26 марта 2019 г. N 60 (зарегистрирован Минюстом России 18 апреля 2019 г., регистрационный N 54443) и от 20 февраля 2020 г. N 35 (зарегистрирован Минюстом России 11 сентября 2020 г., регистрационный N 59793). ──────────────────────────────\n22. Порядок применения средств защиты информации определяется субъектом критической информационной инфраструктуры в организационно-распорядительных документах по безопасности значимых объектов с учетом особенностей деятельности субъекта критической информационной инфраструктуры. IV. Требования к организационно-распорядительным документам по безопасности значимых объектов\n23. Субъектом критической информационной инфраструктуры в рамках функционирования системы безопасности должны быть утверждены организационно-распорядительные документы по безопасности значимых объектов, в том числе значимых объектов, которые эксплуатируются в подразделениях (филиалах, представительствах) субъекта критической информационной инфраструктуры, определяющие порядок и правила функционирования системы безопасности значимых объектов, а также порядок и правила обеспечения безопасности значимых объектов критической информационной инфраструктуры. В случае если субъект критической информационной инфраструктуры является дочерним обществом хозяйственного общества (товарищества), являющегося субъектом критической информационной инфраструктуры, организационно-распорядительные документы дочернего общества должны разрабатываться с учетом положений организационно-распорядительных документов основного хозяйственного общества (товарищества) и не противоречить им. В случае если субъект критической информационной инфраструктуры является организацией, в которой участвует являющаяся субъектом критической информационной инфраструктуры некоммерческая организация, имеющая возможность определять принимаемые организацией решения, организационно-распорядительные документы организации должны разрабатываться с учетом положений организационно-распорядительных документов некоммерческой организации и не противоречить им. Организационно-распорядительные документы по безопасности значимых объектов являются частью документов по вопросам обеспечения информационной безопасности (защиты информации) субъекта критической информационной инфраструктуры. При этом положения, определяющие порядок и правила обеспечения безопасности значимых объектов критической информационной инфраструктуры, могут быть включены в общие документы по вопросам обеспечения информационной безопасности (защиты информации), а также могут являться частью документов по вопросам функционирования значимого объекта критической информационной инфраструктуры. 24. Организационно-распорядительные документы по безопасности значимых объектов разрабатываются исходя из особенностей деятельности субъекта критической информационной инфраструктуры на основе настоящих Требований, требований по безопасности, иных нормативных правовых актов в области обеспечения безопасности критической информационной инфраструктуры и защиты информации. 25. Организационно-распорядительные документы по безопасности значимых объектов должны определять:\nа) цели и задачи обеспечения безопасности значимых объектов критической информационной инфраструктуры, основные угрозы безопасности информации и категории нарушителей, основные организационные и технические мероприятия по обеспечению безопасности значимых объектов критической информационной инфраструктуры, проводимые субъектом критической информационной инфраструктуры, состав и структуру системы безопасности и функции ее участников, порядок применения, формы оценки соответствия значимых объектов критической информационной инфраструктуры и средств защиты информации требованиям по безопасности;\nб) планы мероприятий по обеспечению безопасности значимых объектов критической информационной инфраструктуры, модели угроз безопасности информации в отношении значимых объектов критической информационной инфраструктуры, порядок реализации отдельных мер по обеспечению безопасности значимых объектов критической информационной инфраструктуры, порядок проведения испытаний или приемки средств защиты информации, порядок реагирования на компьютерные инциденты, порядок информирования и обучения работников, порядок взаимодействия подразделений (работников) субъекта критической информационной инфраструктуры при решении задач обеспечения безопасности значимых объектов критической информационной инфраструктуры, порядок взаимодействия субъекта критической информационной инфраструктуры с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации;\nв) правила безопасной работы работников субъекта критической информационной инфраструктуры на значимых объектах критической информационной инфраструктуры, действия работников субъекта критической информационной инфраструктуры при возникновении компьютерных инцидентов и иных нештатных ситуаций. Состав и формы организационно-распорядительных документов по безопасности значимых объектов определяются субъектом критической информационной инфраструктуры с учетом особенностей его деятельности. 26. Организационно-распорядительные документы по безопасности значимых объектов утверждаются руководителем субъекта критической информационной инфраструктуры (ответственным лицом). По решению руководителя субъекта критической информационной инфраструктуры отдельные организационно-распорядительные документы по безопасности значимых объектов могут утверждаться иными уполномоченными на это лицами субъекта критической информационной инфраструктуры. 27. Организационно-распорядительные документы по безопасности значимых объектов должны быть доведены до руководства субъекта критической информационной инфраструктуры, ответственного лица, подразделения по безопасности, специалистов по безопасности, а также до иных подразделений (работников), участвующих в обеспечении безопасности значимых объектов критической информационной инфраструктуры, в части, их касающейся. V. Требования к функционированию системы безопасности в части организации работ по обеспечению безопасности значимых объектов критической информационной инфраструктуры\n28. В рамках функционирования системы безопасности субъектом критической информационной инфраструктуры должны быть внедрены следующие процессы:\nпланирование и разработка мероприятий по обеспечению безопасности значимых объектов критической информационной инфраструктуры;\nреализация (внедрение) мероприятий по обеспечению безопасности значимых объектов критической информационной инфраструктуры;\nконтроль состояния безопасности значимых объектов критической информационной инфраструктуры;\nсовершенствование безопасности значимых объектов критической информационной инфраструктуры. 29. В рамках планирования мероприятий по обеспечению безопасности значимых объектов критической информационной инфраструктуры осуществляются разработка и утверждение ежегодного плана мероприятий по обеспечению безопасности значимых объектов критической информационной инфраструктуры (далее - план мероприятий). По решению субъекта критической информационной инфраструктуры план мероприятий может разрабатываться на более длительный срок с учетом имеющихся программ (планов) по модернизации, оснащению значимых объектов критической информационной инфраструктуры. План мероприятий разрабатывается структурным подразделением по безопасности, специалистами по безопасности с участием подразделений (работников), эксплуатирующих значимые объекты критической информационной инфраструктуры, и подразделений (работников), обеспечивающих функционирование значимых объектов критической информационной инфраструктуры. В план мероприятий должны включаться мероприятия по обеспечению безопасности значимых объектов критической информационной инфраструктуры, функционирующих в обособленных подразделениях (филиалах, представительствах) субъекта критической информационной инфраструктуры. 30. План мероприятий должен содержать наименования мероприятий по обеспечению безопасности значимых объектов критической информационной инфраструктуры, сроки их выполнения, наименования подразделений (работников), ответственных за реализацию каждого мероприятия. В план мероприятий включаются мероприятия по обеспечению функционирования системы безопасности, а также организационные и технические мероприятия по обеспечению безопасности значимых объектов критической информационной инфраструктуры, направленные на решение задач, установленных пунктом 6 настоящих Требований. 31. Разработка мероприятий по обеспечению безопасности значимых объектов критической информационной инфраструктуры осуществляется в соответствии с настоящими Требованиями, требованиями по безопасности, иными нормативными правовыми актами по обеспечению безопасности критической информационной инфраструктуры, а также организационно-распорядительными документами по безопасности значимых объектов. План мероприятий утверждается руководителем субъекта критической информационной инфраструктуры и доводится до подразделений (работников) субъекта критической информационной инфраструктуры в части, их касающейся. В подразделениях, эксплуатирующих значимые объекты критической информационной инфраструктуры, и подразделениях, обеспечивающих функционирование значимых объектов критической информационной инфраструктуры, на основе утвержденного плана мероприятий могут разрабатываться соответствующие отдельные планы мероприятий. 32. Контроль за выполнением плана мероприятий осуществляется структурным подразделением по безопасности, специалистами по безопасности. Структурное подразделение по безопасности, специалисты по безопасности ежегодно должны готовить отчет о выполнении плана мероприятий, который представляется руководителю субъекта критической информационной инфраструктуры. 33. Мероприятия по обеспечению безопасности значимых объектов критической информационной инфраструктуры могут включаться в общий план деятельности субъекта критической информационной инфраструктуры (в случае его разработки) отдельным разделом. Порядок разработки, утверждения и внесения изменений в план мероприятий определяется субъектом критической информационной инфраструктуры в организационно-распорядительных документах по безопасности значимых объектов. 34. Реализация (внедрение) мероприятий по обеспечению безопасности значимых объектов критической информационной инфраструктуры является результатом выполнения плана мероприятий и осуществляется в соответствии с организационно-распорядительными документами по безопасности значимых объектов. В ходе реализации мероприятий по обеспечению безопасности значимых объектов должны приниматься организационные меры и (или) внедряться средства защиты информации на значимых объектах критической информации, направленные на блокирование (нейтрализацию) угроз безопасности информации. Результаты реализации мероприятий по обеспечению безопасности значимых объектов критической информационной инфраструктуры подлежат документированию в порядке, установленном субъектом критической информационной инфраструктуры в организационно-распорядительных документах по безопасности значимых объектов. 35. В рамках контроля состояния безопасности значимых объектов критической информационной инфраструктуры должен осуществляться внутренний контроль организации работ по обеспечению безопасности значимых объектов критической информационной инфраструктуры и эффективности принимаемых организационных и технических мер. В ходе проведения контроля проверяется выполнение настоящих Требований, требований по безопасности, иных нормативных правовых актов в области обеспечения безопасности критической информационной инфраструктуры, а также организационно-распорядительных документов по безопасности значимых объектов. 36. Контроль проводится комиссией, назначаемой субъектом критической информационной инфраструктуры. В состав комиссии включаются работники структурного подразделения по безопасности, специалисты по безопасности, работники подразделений, эксплуатирующих значимые объекты критической информационной инфраструктуры, и подразделений, обеспечивающих функционирование значимых объектов критической информационной инфраструктуры. По решению субъекта критической информационной инфраструктуры в состав комиссии могут включаться работники иных подразделений субъекта критической информационной инфраструктуры. Контроль проводится не реже, чем раз в 3 года. Периодичность контроля определяется руководителем субъекта критической информационной инфраструктуры. Для оценки эффективности принятых организационных и технических мер по обеспечению безопасности значимых объектов критической информационной инфраструктуры могут применяться средства контроля (анализа) защищенности. Результаты контроля оформляются актом, который подписывается членами комиссии и утверждается руководителем субъекта критической информационной инфраструктуры (ответственным лицом). В случае проведения по решению руководителя субъекта (ответственного лица) критической информационной инфраструктуры внешней оценки (внешнего аудита) состояния безопасности значимых объектов критической информационной инфраструктуры внутренний контроль может не проводиться. Для проведения внешней оценки привлекаются организации, имеющие лицензии на деятельность в области защиты информации (в части услуг по контролю защищенности информации от несанкционированного доступа и ее модификации в средствах и системах информатизации). Замечания, выявленные по результатам внутреннего контроля или внешней оценки (внешнего аудита), подлежат устранению в порядке и сроки, установленные руководителем субъекта критической информационной инфраструктуры (ответственным лицом). 37. В рамках совершенствования безопасности значимых объектов критической информационной инфраструктуры структурное подразделение по безопасности, специалисты по безопасности должны проводить анализ функционирования системы безопасности и состояния безопасности значимых объектов критической информационной инфраструктуры, по результатам которого разрабатывать предложения по развитию системы безопасности и меры по совершенствованию безопасности значимых объектов критической информационной инфраструктуры. Анализ функционирования системы безопасности, а также разработка предложений по совершенствованию безопасности значимых объектов критической информационной инфраструктуры осуществляются структурным подразделением по безопасности, специалистами по безопасности с участием подразделений (работников), эксплуатирующих значимые объекты критической информационной инфраструктуры, и подразделений (работников), обеспечивающих функционирование значимых объектов критической информационной инфраструктуры. Предложения по совершенствованию безопасности значимых объектов критической информационной инфраструктуры представляются руководителю субъекта критической информационной инфраструктуры (ответственному лицу). В соответствии с решением руководителя субъекта критической информационной инфраструктуры (ответственного лица) предложения по совершенствованию безопасности значимых объектов критической информационной инфраструктуры включаются в план мероприятий, разрабатываемый в соответствии с пунктами 29 - 33 настоящих Требований."}