Доверенные ПАК для КИИ

В ноябре 2023 года было принято Постановление Правительства Российской Федерации № 1912, которое определяет термин программно-аппаратный комплекс (ПАК). Согласно документу, ПАК представляет собой радиоэлектронную продукцию, включая технические средства обработки радиосигналов, программное обеспечение и технические средства, работающие вместе для решения одной или нескольких схожих задач. Основные характеристики комплекса определяются исключительно совокупностью программного обеспечения и радиоэлектронной продукции и не могут быть реализованы при их разделении.

ПАК признается доверенным при выполнении условий:

• ПАК включён в реестр радиоэлектронной продукции;
• программное обеспечение ПАК должно быть зарегистрировано в реестре российского ПО или в реестре программ для ЭВМ и баз данных Евразийского экономического союза;
• если программно-аппаратный комплекс предназначен для защиты информации, он должен иметь сертификат Федеральной службы по техническому и экспортному контролю (ФСТЭК) и/или Федеральной службы безопасности (ФСБ).

Фактически, получается, что доверенный ПАК содержит оборудование и ПО, входящие в российские реестры, и соответствует требованиям безопасности, утвержденным ФСТЭК России и (или) ФСБ России.

Для перехода на преимущественное использование программно-аппаратных комплексов (ПАК) необходимо разработать и реализовать специальный план перехода, соответствующий Приложению № 2 к правилам перехода. При этом необходим индивидуальный подход к составлению плана в зависимости от сферы деятельности компании.

После утверждения отраслевого плана, уполномоченная организация направляет готовый вариант компании, работающей с субъектом критической информационной инфраструктуры (КИИ). На основе полученного документа субъекты КИИ составляют индивидуальный план в соответствии с Приложением № 3.

В индивидуальном плане организация должна указать следующие сведения:

• общие данные о субъекте КИИ;
• список значимых субъектов КИИ, принадлежащих этому субъекту, данные о котором есть в специальном реестре;
• данные об эксплуатируемом ПАК;
• плановые и фактические доли доверенных ПАК, которые использует субъект КИИ;
• прогнозируемый объём расходов субъекта КИИ по реализации плана перехода.

После поступления сведений уполномоченным органом принимается решение о внесении плана в список аналогичных планов. При положительном решении, компания получает соответствующее уведомление.

План перехода утверждает руководитель субъекта КИИ, а затем в течение 10 дней отправляет его в уполномоченные органы, соблюдая требования законодательства в отношении государственной тайны.

Организация может изменить план при определённых обстоятельствах. Для этого нужно отправить копию утверждённого документа с сопроводительным письмом, в котором указаны правки. После рассмотрения изменений уполномоченный орган сообщает о принятом решении в течение 5 рабочих дней.