КИИ 2.0: полный разбор новых требований к IT-инфраструктуре критической информационной инфраструктуры

Когда говорят «КИИ», у многих до сих пор возникает ассоциация с энергетикой, оборонкой или атомной станцией. Но с 2026 года это касается и крупного ритейлера, и логистического оператора, и промышленного холдинга. Указ №250 и последующие поправки расширили перечень субъектов КИИ так, что под требования попал крупный частный бизнес. И если вы руководитель IT-департамента или инженер-проектировщик, эта инструкция — для вас.

Разбираем без воды: кто теперь субъект, что менять, в какие сроки и как выбрать оборудование, которое пройдёт проверку.

1. Кто теперь субъект КИИ: расширенный перечень 2026 года

Раньше субъектами КИИ были в основном госорганы, ТЭК, транспорт, связь. Теперь порог входа снизился, и фокус сместился на значимость информационной системы для непрерывности бизнеса и безопасности.

С 2026 года под КИИ дополнительно попадают:

Как понять, попали ли вы:

• Проверьте, есть ли ваша организация в перечне отраслей, утвержденном ФСТЭК.
• Оцените, относится ли ваша IT-система к критически важным объектам (КВО) — отказ которых приводит к ущербу безопасности, экономике или жизнеобеспечению.
• Если сомневаетесь — закажите предварительный аудит или консультацию у лицензированной организации.

2. Что именно нужно импортозаместить и в какие сроки

Требования по импортозамещению для субъектов КИИ делятся на три волны. С 2026 года началась вторая — самая массовая.

Сроки перехода на отечественное ПО и оборудование:

Что конкретно нужно менять:

• Все аппаратные платформы, на которых работают КИИ-системы, должны быть из реестра Минпромторга (ТОРП) или иметь заключение о совместимости с отечественным ПО.
• Иностранное оборудование, даже купленное ранее, должно быть выведено из эксплуатации в указанные сроки, если оно не имеет статуса «совместимого» и не обслуживается российской компанией.
• Софт — только из реестра отечественного ПО.

Важный нюанс! Параллельный импорт не спасает. Оборудование, ввезенное без официального представительства и без сертификации ФСТЭК/ФСБ, не может использоваться на объектах КИИ. Это прямое нарушение.

3. Как провести аудит текущей инфраструктуры на соответствие

Самое сложное — понять, где у вас «дыры». Вот пошаговый план аудита, который можно провести силами своего отдела или с привлечением внешних экспертов.

Шаг 1. Составьте реестр всех IT-активовВключите все: серверы, СХД, сетевое оборудование, АРМы, ПО, облачные сервисы. Для каждого актива укажите:

• Производитель, страна происхождения.
• Наличие сертификатов ФСТЭК/ФСБ.
• Участвует ли в работе КИИ-системы.

Шаг 2. Классифицируйте объекты КИИОпределите категорию значимости (критически важный, важный, иной). Это влияет на жёсткость требований. Обратитесь к методике ФСТЭК.

Шаг 3. Проверьте соответствиеДля каждого актива из контура КИИ проверьте:

• ПО — есть ли в реестре Минцифры.
• Оборудование — есть ли в реестре ТОРП или действующая декларация о соответствии.
• Если оборудование пока иностранное, но есть план замены — он должен быть утверждён.

Шаг 4. Оцените рискиВыявите устройства, которые невозможно заменить в срок (например, уникальное промышленное оборудование). Для них нужен план компенсирующих мер (дополнительная защита, страхование, согласование с регулятором).

Шаг 5. Составьте дорожную карту миграцииС приоритетами, сначала критичное, потом остальное. Назначьте ответственных и бюджеты.

4. Реестр ТОРП и КИИ: как выбирать оборудование, которое пройдёт проверку

Реестр телекоммуникационного оборудования российского происхождения (ТОРП) — основной инструмент для подтверждения «отечественности» железа. Но не всё, что в реестре, подходит для КИИ.

На что обращать внимание при выборе:

• Наличие заключения о подтверждении производства в РФ (выписка из реестра ТОРП). Без неё оборудование не считается российским для КИИ.
• Балльная система: Убедитесь, что модель набрала нужное количество баллов по постановлению 719 (технологические операции на территории РФ).
• Сертификаты ФСТЭК: Для межсетевых экранов и средств защиты — обязательно. Для серверов и коммутаторов — желательно, чтобы не пришлось аттестовывать отдельно.
• Совместимость с отечественными ОС: Проверьте документацию производителя или запросите протокол испытаний.

Лайфхак от Remo-Shop: Не все позиции в реестре ТОРП одинаково полезны. Часть моделей существует «на бумаге», а реально не поставляется. Всегда проверяйте актуальные сроки поставки и статус производства. Лучше работать с поставщиком, который возьмёт на себя гарантию, что оборудование пройдёт проверку и будет принято регулятором.

5. Реальные кейсы: как компании мигрировали и с чем столкнулись

Кейс 1. Федеральная розничная сеть (ритейл)Задача: перевести серверные мощности под КИИ с импортных платформ на российские.Проблема: При попытке заменить серверы HP на Aquarius выяснилось, что часть legacy-приложений не запускается под отечественной ОС.Решение: Провели аудит совместимости, выбрали платформу YADRO с сертифицированной Astra Linux. Развернули тестовый стенд, мигрировали данные. Срок — 8 месяцев.Вывод: Не начинайте миграцию без тестирования совместимости на реальных задачах.

Кейс 2. Промышленный холдинг (АСУ ТП)Задача: заменить контроллеры Siemens на российские.Проблема: Российские контроллеры не поддерживали протокол, на котором работала устаревшая линия.Решение: Нашли интегратора, который разработал шлюз совместимости. Параллельно заказали модернизацию линии на современный протокол.Вывод: Для нестандартного оборудования сроки замены могут быть дольше плановых, закладывайте буфер.

Кейс 3. Логистический операторЗадача: серверная инфраструктура и сеть для складов.Проблема: Оборудование Cisco снято с производства, искали замену в реестре ТОРП.Решение: Подобрали коммутаторы QTECH и Eltex с сопоставимым функционалом, провели нагрузочное тестирование, развернули. Срок — 4 месяца.Вывод: Не всегда нужно изобретать велосипед, иногда аналоги из реестра закрывают 95% задач.

Чек-лист для руководителя IT-департамента на 2026 год

• Определить, подпадает ли компания под расширенный перечень КИИ.
• Провести инвентаризацию всех IT-активов.
• Классифицировать системы по категориям значимости.
• Сверить ПО с реестром Минцифры, оборудование — с реестром ТОРП.
• Разработать дорожную карту импортозамещения с конкретными сроками и бюджетами.
• Запланировать тестовые стенды для проверки совместимости.
• Выбрать поставщика, который даёт гарантии и помогает с документацией для ФСТЭК.

Что делать прямо сейчас

Требования КИИ — это не будущее, это реальность 2026 года. Компании, которые не начнут аудит и миграцию сейчас, окажутся перед выбором: нарушить закон или экстренно менять инфраструктуру в последний момент, переплачивая и рискуя простоями.

Если вам нужен расчёт спецификации для объекта КИИ или подбор оборудования, которое гарантированно пройдёт проверку, — направьте спецификацию специалистам Remo-Shop. Мы проверим соответствие реестру ТОРП, наличие, сроки и подготовим КП с актуальными ценами.

Первичный расчет и верификация — 15 минут.

Готовое КП на сложные проекты — от 2 часов

Контакты для связи: 8 800 333-90-30 | +7 (495) 147-53-39

Помощь менеджера в Telegram

Узнать подробнее