Обеспечение технологической независимости КИИ. Попытка номер 2.

  Опубликована вторая версия законопроекта на тему "О мерах по обеспечению информационной безопасности в экономической сфере при использовании программного обеспечения и оборудования на объектах критической информационной инфраструктуры https://regulation.gov.ru/Projects/List#npa=109874 , общественное обсуждение продлится до 26 ноября 2020 г., призываю подавать свои замечания и предложения.

   Замечания по первой версии давал в заметке блога - https://valerykomarov.blogspot.com/2020/05/blog-post_25.html

  Посмотреть ответы Минцифры на все поступившие замечания к первой версии можно здесь  

Из примечательных ответов Минцифры:

   Замечание: полномочия Минкомсвязь (Постановление Правительства РФ от 02.06.2008 N 418 "О Министерстве цифрового развития, связи и массовых коммуникаций Российской Федерации"), не позволяют вносить в Правительство Российской Федерации проекты федеральных законов, нормативных правовых актов Президента Российской Федерации и Правительства Российской Федерации и другие документы, по которым требуется решение Правительства Российской Федерации в сфере ИБ и безопасности КИИ. В области обеспечения безопасности КИИ уполномочен - ФСТЭК России.

    Ответ: ФСТЭК России уже является соисполнителем. 

Причем здесь соисполнитель? Вносить в Правительство опять будет Минобороны? 

    Замечание: Почему требования предъявляют ко всем ОКИИ, а не только к значимым? Ведь остановка незначимых ОКИИ не приводит к к негативным социальным, политическим, экономическим, экологическим последствиям, последствиям для обеспечения обороны страны, безопасности государства и правопорядка. Для незначимых ОКИИ нет требований даже базовые меры безопасности реализовать.

   Ответ: распространение требований проекта указа исключительно на значимые объекты КИИ будет являться дополнительной причиной для уклонения от категорирования объектов критической информационной инфраструктуры и реализации положений Федерального закона от 26 июля 2017 г. № 187-ФЗ

   Интересно, а Минцифры в курсе, что ФСТЭК отвечает за проверку соблюдения процедуры категорирования субъектов КИИ? Мы решили прописать всем, потому что ФСТЭК плохо справляется с своей работой? Такое отношение приведет к росту сознательного уклонения от статуса "субъект КИИ".

   Отличные результаты за три года у Минцифры: 1% провел категорирование, 1 % подал Перечни  и только готовится категорировать из регулируемой сферы. Видя как 98% субъектов в сфере "связь" игнорируют 187-ФЗ, понятно откуда причины такого ответа у Минцифры.

    Ответ "технологическая независимость объекта КИИ напрямую связана с обеспечением безопасности КИИ Российской Федерации, что соответствует целям 187-ФЗ – не учтено" я просто не понимаю. В 187-ФЗ указана не безопасность КИИ РФ "от всего", а задана ст.1 однозначно и узко:

Статья 1. Сфера действия настоящего Федерального закона

Настоящий Федеральный закон регулирует отношения в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации (далее также - критическая информационная инфраструктура) в целях ее устойчивого функционирования при проведении в отношении ее компьютерных атак.

  Причем здесь технологическая независимость КИИ РФ? Не от санкций или политически-экономических решений зарубежных поставщиков, а исключительно "при проведении компьютерных атак".

  Ну и самое забавное. Нам предлагают импортзамещаться только на объектах КИИ, но не на оборудовании сетей электросвязи (относятся к КИИ, но не являются объектами КИИ)! А кто у нас регулирует по закону безопасность сетей электросвязи? Минцифры и регулирует. Пример разбирал здесь .

  Собственно, основной головной болью субъектов КИИостается неопределенность с определением самих объектов КИИ. Мы до сих пор понять не можем, что относить к объектам КИИ,а теперь еще и спланировать должны импортозамещение всего этого. Очень наглядно это разобрано в цикле заметок про АСУ  https://valerykomarov.blogspot.com/2020/10/blog-post_19.html

  На отчет об оценке регулирующего воздействия без слез не посмотреть, никакой конкретики не указано ни по одному из показателей. Формально замечание к первой попытке на отсутствие такого отчета выполнено, но лучше его не читать.

* Результаты анализа 187-ФЗ и рекомендации по его выполнению размещаются в разделе "ЧаВо по КИИ" на главной странице блога.