Госдума РФ одобрила закон для защиты критической информационной инфраструктуры

В России введут штрафы до 500 тыс. руб. за нарушения при эксплуатации объектов критической информационной инфраструктуры. К КИИ относят в том числе информационные системы фарм- и медорганизаций. 

Госдума РФ приняла во втором и третьем чтениях два законопроекта, которые вводят административную ответственность за нарушения при эксплуатации объектов критической информационной инфраструктуры (КИИ) и смягчают уголовное наказание за часть преступлений в этой сфере. Теперь за ненадлежащее обращение с такими системами, если оно не дотягивает до состава преступления, можно получить штраф, а при активном содействии расследованию — рассчитывать на освобождение от уголовной ответственности. Документы размещены на сайте нижней палаты парламента.

Под КИИ понимаются информационные системы, сети и автоматизированные системы управления в ключевых отраслях экономики: энергетике, транспорте, финансовом секторе, обороне и здравоохранении. Инициативы внесла группа депутатов во главе с вице-спикером Госдумы РФ Петром Толстым. Согласно предложению парламентариев, в Кодекс об административных правонарушениях добавлена новая статья: за нарушение правил эксплуатации объектов КИИ для граждан предусмотрены штрафы от 5 тыс. до 10 тыс. руб., для должностных лиц — от 10 тыс. до 50 тыс. руб., для юридических лиц — от 100 тыс. до 500 тыс. руб.; ранее за такие нарушения действовали только уголовные санкции.

В Уголовный кодекс РФ внесены изменения, уточняющие состав преступления: уголовная ответственность наступает, если неправомерный доступ к охраняемой информации или нарушение правил эксплуатации, обработки либо хранения данных привели к уничтожению, блокированию, модификации или копированию информации в КИИ. Статья 274.1 дополнена примечанием, которое позволяет освободить нарушителя от уголовной ответственности, если он активно помогает раскрытию и расследованию инцидента, в том числе сохраняет цифровые следы неправомерного воздействия.

Уточнение положений УК РФ должно устранить риск вымывания кадрового состава специалистов органов власти и подведомственных организаций, а также вывести ряд противозаконных деяний на уровень административной ответственности в отношении сотрудников, обеспечивающих функционирование и эксплуатацию объектов критической информационной инфраструктуры, в том числе пользователей объектов КИИ, например медицинских работников, говорится в пояснительной записке.

«Предлагаемые нормы повысят эффективность профилактических мероприятий на таких объектах, усилят безопасность их функционирования, а также дифференцируют ответственность в зависимости от тяжести последствий нарушения», — подчеркивал председатель Госдумы РФ Вячеслав Володин.

В 2022 году президент РФ Владимир Путин поручил создать отделы кибербезопасности на объектах КИИ, включая медучреждения, писал «МВ». В здравоохранении отраслевой Центр информационной безопасности и импортозамещения создан на базе Центрального НИИ организации и информатизации здравоохранения (ЦНИИОИЗ). Закон о критической информационной инфраструктуре обязывает все организации, использующие значимые системы, внедрять современные протоколы безопасности для защиты этих систем от внешних угроз. Перечень таких мер должен включать ограничение доступа персонала к серверам больницы, установление разноуровневой системы доступа персонала к системам, проведение систематической смены паролей и прав доступа, создание отделов кибербезопасности и т.д.