Закон о безопасности критической информационной инфраструктуры государства

Законы и акты

Закон о безопасности критической информационной инфраструктуры государства

ПОЛОЖЕНИЕ

ЗАКОНА О

БЕЗОПАСНОСТИ

КРИТИЧЕСКОЙ

ИНФОРМАЦИОННОЙ

ИНФРАСТРУКТУРЫ

ГОСУДАРСТВА

СОДЕРЖАНИЕ.

Статья 1. Сфера действия настоящего Закона.

Статья 2. Основные понятия, используемые в настоящем Законе.

Статья 3. Правовое регулирование отношений в области обеспечения безопасности критической информационной инфраструктуры.

Статья 4. Принципы обеспечения безопасности критической информационной инфраструктуры.

Статья 5. Государственная система обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы государства.

Статья 6. Полномочия Председателя Совета Государства и безопасности и государственных органов в области обеспечения безопасности критической информационной инфраструктуры.

Статья 7. Категорирование объектов критической информационной инфраструктуры.

Статья 8. Реестр значимых объектов критической информационной инфраструктуры.

Статья 9. Права и обязанности субъектов критической информационной инфраструктуры.

Статья 10. Система безопасности значимого объекта критической информационной инфраструктуры.

Статья 11. Требования по обеспечению безопасности значимых объектов критической информационной инфраструктуры.

Статья 12. Оценка безопасности критической информационной инфраструктуры.

Статья 13. Государственный контроль в области обеспечения безопасности значимых объектов критической информационной инфраструктуры.

Статья 14. Ответственность за нарушение требований настоящего Закона и принятых в соответствии с ним иных нормативных правовых актов.

Статья 15. Вступление в силу настоящего Закона.

Статья 1. Сфера действия настоящего Закона.

Настоящий Закон регулирует отношения в области обеспечения безопасности критической информационной инфраструктуры государства (далее также – критическая информационная инфраструктура) в целях ее устойчивого функционирования при проведении в отношении ее компьютерных атак.

Статья 2. Основные понятия, используемые в настоящем Законе.

Для целей настоящего Закона используются следующие основные понятия:

1) автоматизированная система управления – комплекс программных и программно–аппаратных средств, предназначенных для контроля за технологическим и (или) производственным оборудованием (исполнительными устройствами) и производимыми ими процессами, а также для управления такими оборудованием и процессами;

2) безопасность критической информационной инфраструктуры – состояние защищенности критической информационной инфраструктуры, обеспечивающее ее устойчивое функционирование при проведении в отношении ее компьютерных атак;

3) значимый объект критической информационной инфраструктуры – объект критической информационной инфраструктуры, которому присвоена одна из категорий значимости и который включен в реестр значимых объектов критической информационной инфраструктуры;

4) компьютерная атака – целенаправленное воздействие программных и (или) программно–аппаратных средств на объекты критической информационной инфраструктуры, сети электросвязи, используемые для организации взаимодействия таких объектов, в целях нарушения и (или) прекращения их функционирования и (или) создания угрозы безопасности обрабатываемой такими объектами информации;

5) компьютерный инцидент – факт нарушения и (или) прекращения функционирования объекта критической информационной инфраструктуры, сети электросвязи, используемой для организации взаимодействия таких объектов, и (или) нарушения безопасности обрабатываемой таким объектом информации, в том числе произошедший в результате компьютерной атаки;

6) критическая информационная инфраструктура – объекты критической информационной инфраструктуры, а также сети электросвязи, используемые для организации взаимодействия таких объектов;

7) объекты критической информационной инфраструктуры – информационные системы, информационно–телекоммуникационные сети, автоматизированные системы управления субъектов критической информационной инфраструктуры;

8) субъекты критической информационной инфраструктуры – государственные органы, государственные учреждения, местные юридические лица и (или) физические лица, которым на праве собственного владения, аренды или на ином законном основании принадлежат информационные системы, информационно–телекоммуникационные сети, автоматизированные системы управления, функционирующие в сфере здравоохранения, науки, транспорта, связи, энергетики, государственной регистрации гражданских прав на недвижимое имущество и сделок с ним, банковской сфере и иных сферах финансового рынка, топливно–энергетического комплекса, в области атомной энергии, безопасности, авиации, горнодобывающей, металлургической и химической промышленности, местные юридические лица и (или) физические лица, которые обеспечивают взаимодействие указанных систем или сетей.

1. Отношения в области обеспечения безопасности критической информационной инфраструктуры регулируются в соответствии с общепризнанными принципами и нормами международного права, настоящим Законом, другими федеральными законами и принимаемыми в соответствии с ними иными нормативными правовыми актами.

2. Особенности применения настоящего Закона к сетям связи общего пользования определяются Законом «О связи» и принимаемыми в соответствии с ним нормативными правовыми актами.

Статья 4. Принципы обеспечения безопасности критической информационной инфраструктуры.

Принципами обеспечения безопасности критической информационной инфраструктуры являются:

1) законность;

2) непрерывность и комплексность обеспечения безопасности критической информационной инфраструктуры, достигаемые в том числе за счет взаимодействия уполномоченных публичных исполнительных органов и субъектов критической информационной инфраструктуры;

3) приоритет предотвращения компьютерных атак.

1. Государственная система обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы государства представляет собой единый территориально распределенный комплекс, включающий силы и средства, предназначенные для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты. В целях настоящей статьи под информационными ресурсами государства понимаются информационные системы, информационно–телекоммуникационные сети и автоматизированные системы управления, находящиеся на территории государства, в дипломатических представительствах и (или) консульских учреждениях государства.

2. К силам, предназначенным для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты, относятся:

1) подразделения и должностные лица публичного государственного органа, уполномоченного в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы государства;

2) организация, создаваемая публичным государственным органом, уполномоченным в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы государства, для обеспечения координации деятельности субъектов критической информационной инфраструктуры по вопросам обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты (далее – национальный координационный центр по компьютерным инцидентам);

3) подразделения и должностные лица субъектов критической информационной инфраструктуры, которые принимают участие в обнаружении, предупреждении и ликвидации последствий компьютерных атак и в реагировании на компьютерные инциденты.

3. Средствами, предназначенными для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты, являются технические, программные, программно–аппаратные и иные средства для обнаружения (в том числе для поиска признаков компьютерных атак в сетях электросвязи, используемых для организации взаимодействия объектов критической информационной инфраструктуры), предупреждения, ликвидации последствий компьютерных атак и (или) обмена информацией, необходимой субъектам критической информационной инфраструктуры при обнаружении, предупреждении и (или) ликвидации последствий компьютерных атак, а также криптографические средства защиты такой информации.

4. Национальный координационный центр по компьютерным инцидентам осуществляет свою деятельность в соответствии с положением, утверждаемым публичным государственным органом, уполномоченным в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы государства.

5. В государственной системе обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы государства осуществляются сбор, накопление, систематизация и анализ информации, которая поступает в данную систему через средства, предназначенные для обнаружения, предупреждения и ликвидации последствий компьютерных атак, информации, которая представляется субъектами критической информационной инфраструктуры и публичным государственным органом, уполномоченным в области обеспечения безопасности критической информационной инфраструктуры государства, в соответствии с перечнем информации и в порядке, определяемыми публичным государственным органом, уполномоченным в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы государства, а также информации, которая может представляться иными не являющимися субъектами критической информационной инфраструктуры органами и организациями, в том числе иностранными и международными.

6. Публичный государственный орган, уполномоченный в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы государства, организует в установленном им порядке обмен информацией о компьютерных инцидентах между субъектами критической информационной инфраструктуры, а также между субъектами критической информационной инфраструктуры и уполномоченными органами иностранных государств, международными, международными неправительственными организациями и иностранными организациями, осуществляющими деятельность в области реагирования на компьютерные инциденты.

7. Предоставление из государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы государства сведений, составляющих государственную либо иную охраняемую законом тайну, осуществляется в соответствии с законодательством.

1. Председатель Совета Государства и безопасности определяет:

1) основные направления государственной политики в области обеспечения безопасности критической информационной инфраструктуры;

2) публичный государственный орган, уполномоченный в области обеспечения безопасности критической информационной инфраструктуры государства;

3) публичный государственный орган, уполномоченный в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы государства;

4) порядок создания и задачи государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы государства.

2. Совет Государства и безопасности устанавливает:

1) показатели критериев значимости объектов критической информационной инфраструктуры и их значения, а также порядок и сроки осуществления их категорирования;

2) порядок осуществления государственного контроля в области обеспечения безопасности значимых объектов критической информационной инфраструктуры;

3) порядок подготовки и использования ресурсов единой сети электросвязи для обеспечения функционирования значимых объектов критической информационной инфраструктуры.

3. Публичный государственный орган, уполномоченный в области обеспечения безопасности критической информационной инфраструктуры государства:

1) вносит предложения о совершенствовании нормативно–правового регулирования в области обеспечения безопасности критической информационной инфраструктуры Председателю Совета Государства и безопасности и (или) в Совет Государства и безопасности;

2) утверждает порядок ведения реестра значимых объектов критической информационной инфраструктуры и ведет данный реестр;

3) утверждает форму направления сведений о результатах присвоения объекту критической информационной инфраструктуры одной из категорий значимости либо об отсутствии необходимости присвоения ему одной из таких категорий;

4) устанавливает требования по обеспечению безопасности значимых объектов критической информационной инфраструктуры (требования по обеспечению безопасности информационно–телекоммуникационных сетей, которым присвоена одна из категорий значимости и которые включены в реестр значимых объектов критической информационной инфраструктуры, устанавливаются по согласованию с публичным государственным органом, осуществляющим функции по выработке и реализации государственной политики и нормативно–правовому регулированию в области связи), а также требования к созданию систем безопасности таких объектов и обеспечению их функционирования (в банковской сфере и в иных сферах финансового рынка устанавливает указанные требования по согласованию с Государственным банком);

5) осуществляет государственный контроль в области обеспечения безопасности значимых объектов критической информационной инфраструктуры, а также утверждает форму акта проверки, составляемого по итогам проведения указанного контроля.

4. Публичный государственный орган, уполномоченный в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы государства:

2) создает национальный координационный центр по компьютерным инцидентам и утверждает положение о нем;

3) координирует деятельность субъектов критической информационной инфраструктуры по вопросам обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты;

4) организует и проводит оценку безопасности критической информационной инфраструктуры;

5) определяет перечень информации, представляемой в государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы государства, и порядок ее представления;

6) утверждает порядок информирования публичного государственного органа, уполномоченного в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы государства, о компьютерных инцидентах, реагирования на них, принятия мер по ликвидации последствий компьютерных атак, проведенных в отношении значимых объектов критической информационной инфраструктуры (в банковской сфере и в иных сферах финансового рынка утверждает указанный порядок по согласованию с Государственным банком);

7) утверждает порядок обмена информацией о компьютерных инцидентах между субъектами критической информационной инфраструктуры, между субъектами критической информационной инфраструктуры и уполномоченными органами иностранных государств, международными, международными неправительственными организациями и иностранными организациями, осуществляющими деятельность в области реагирования на компьютерные инциденты, а также порядок получения субъектами критической информационной инфраструктуры информации о средствах и способах проведения компьютерных атак и о методах их предупреждения и обнаружения;

8) организует установку на значимых объектах критической информационной инфраструктуры и в сетях электросвязи, используемых для организации взаимодействия объектов критической информационной инфраструктуры, средств, предназначенных для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты;

9) устанавливает требования к средствам, предназначенным для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты;

10) утверждает порядок, технические условия установки и эксплуатации средств, предназначенных для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты, за исключением средств, предназначенных для поиска признаков компьютерных атак в сетях электросвязи, используемых для организации взаимодействия объектов критической информационной инфраструктуры (в банковской сфере и в иных сферах финансового рынка утверждает указанные порядок и технические условия по согласованию с Государственным банком).

5. Публичный государственный орган, осуществляющий функции по выработке и реализации государственной политики и нормативно–правовому регулированию в области связи, утверждает по согласованию с публичным государственным органом, уполномоченным в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы государства, порядок, технические условия установки и эксплуатации средств, предназначенных для поиска признаков компьютерных атак в сетях электросвязи, используемых для организации взаимодействия объектов критической информационной инфраструктуры.

Статья 7. Категорирование объектов критической информационной инфраструктуры.

1. Категорирование объекта критической информационной инфраструктуры представляет собой установление соответствия объекта критической информационной инфраструктуры критериям значимости и показателям их значений, присвоение ему одной из категорий значимости, проверку сведений о результатах ее присвоения.

2. Категорирование осуществляется исходя из:

1) социальной значимости, выражающейся в оценке возможного ущерба, причиняемого жизни или здоровью людей, возможности прекращения или нарушения функционирования объектов обеспечения жизнедеятельности населения, транспортной инфраструктуры, сетей связи, а также максимальном времени отсутствия доступа к государственной услуге для получателей такой услуги;

2) политической значимости, выражающейся в оценке возможного причинения ущерба интересам государства в вопросах внутренней и внешней политики;

3) экономической значимости, выражающейся в оценке возможного причинения прямого и косвенного ущерба субъектам критической информационной инфраструктуры и (или) бюджетам государства;

4) экологической значимости, выражающейся в оценке уровня воздействия на окружающую среду;

5) значимости объекта критической информационной инфраструктуры для обеспечения безопасности государства и правопорядка.

3. Устанавливаются три категории значимости объектов критической информационной инфраструктуры – первая, вторая и третья.

4. Субъекты критической информационной инфраструктуры в соответствии с критериями значимости и показателями их значений, а также порядком осуществления категорирования присваивают одну из категорий значимости принадлежащим им на праве собственного владения, аренды или ином законном основании объектам критической информационной инфраструктуры. Если объект критической информационной инфраструктуры не соответствует критериям значимости, показателям этих критериев и их значениям, ему не присваивается ни одна из таких категорий.

5. Сведения о результатах присвоения объекту критической информационной инфраструктуры одной из категорий значимости либо об отсутствии необходимости присвоения ему одной из таких категорий субъекты критической информационной инфраструктуры в письменном виде в десятидневный срок со дня принятия ими соответствующего решения направляют в публичный государственный орган, уполномоченный в области обеспечения безопасности критической информационной инфраструктуры государства, по утвержденной им форме.

6. Публичный государственный орган, уполномоченный в области обеспечения безопасности критической информационной инфраструктуры государства, в тридцатидневный срок со дня получения сведений, указанных в части 5 настоящей статьи, проверяет соблюдение порядка осуществления категорирования и правильность присвоения объекту критической информационной инфраструктуры одной из категорий значимости либо не присвоения ему ни одной из таких категорий.

7. В случае, если субъектом критической информационной инфраструктуры соблюден порядок осуществления категорирования и принадлежащему ему на праве собственности, аренды или ином законном основании объекту критической информационной инфраструктуры правильно присвоена одна из категорий значимости, публичный государственный орган, уполномоченный в области обеспечения безопасности критической информационной инфраструктуры государства, вносит сведения о таком объекте критической информационной инфраструктуры в реестр значимых объектов критической информационной инфраструктуры, о чем в десятидневный срок уведомляется субъект критической информационной инфраструктуры.

8. В случае, если публичным государственным органом, уполномоченным в области обеспечения безопасности критической информационной инфраструктуры государства, выявлены нарушения порядка осуществления категорирования и (или) объекту критической информационной инфраструктуры, принадлежащему на праве собственности, аренды или ином законном основании субъекту критической информационной инфраструктуры, неправильно присвоена одна из категорий значимости и (или) необоснованно не присвоена ни одна из таких категорий и (или) субъектом критической информационной инфраструктуры представлены неполные и (или) недостоверные сведения о результатах присвоения такому объекту критической информационной инфраструктуры одной из категорий значимости либо об отсутствии необходимости присвоения ему одной из таких категорий, публичный государственный орган, уполномоченный в области обеспечения безопасности критической информационной инфраструктуры государства, в десятидневный срок со дня поступления представленных сведений возвращает их в письменном виде субъекту критической информационной инфраструктуры с мотивированным обоснованием причин возврата.

9. Субъект критической информационной инфраструктуры после получения мотивированного обоснования причин возврата сведений, указанных в части 5 настоящей статьи, не более чем в десятидневный срок устраняет отмеченные недостатки и повторно направляет такие сведения в публичный государственный орган, уполномоченный в области обеспечения безопасности критической информационной инфраструктуры государства.

10. Сведения об отсутствии необходимости присвоения объекту критической информационной инфраструктуры одной из категорий значимости после их проверки направляются публичным государственным органом, уполномоченным в области обеспечения безопасности критической информационной инфраструктуры государства, в государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы государства, о чем в десятидневный срок уведомляется субъект критической информационной инфраструктуры.

11. В случае непредставления субъектом критической информационной инфраструктуры сведений, указанных в части 5 настоящей статьи, публичный государственный орган, уполномоченный в области обеспечения безопасности критической информационной инфраструктуры государства, направляет в адрес указанного субъекта требование о необходимости соблюдения положений настоящей статьи.

12. Категория значимости, к которой отнесен значимый объект критической информационной инфраструктуры, может быть изменена в порядке, предусмотренном для категорирования, в следующих случаях:

1) по мотивированному решению публичного государственного органа, уполномоченного в области обеспечения безопасности критической информационной инфраструктуры государства, принятому по результатам проверки, проведенной в рамках осуществления государственного контроля в области обеспечения безопасности значимых объектов критической информационной инфраструктуры;

2) в случае изменения значимого объекта критической информационной инфраструктуры, в результате которого такой объект перестал соответствовать критериям значимости и показателям их значений, на основании которых ему была присвоена определенная категория значимости;

3) в связи с ликвидацией, реорганизацией субъекта критической информационной инфраструктуры и (или) изменением его организационно–правовой формы, в результате которых были изменены либо утрачены признаки субъекта критической информационной инфраструктуры.

Статья 8. Реестр значимых объектов критической информационной инфраструктуры.

1. В целях учета значимых объектов критической информационной инфраструктуры публичный государственный орган, уполномоченный в области обеспечения безопасности критической информационной инфраструктуры государства, ведет реестр значимых объектов критической информационной инфраструктуры в установленном им порядке.

1.1. В данный реестр вносятся следующие сведения:

1) наименование значимого объекта критической информационной инфраструктуры;

2) наименование субъекта критической информационной инфраструктуры;

3) сведения о взаимодействии значимого объекта критической информационной инфраструктуры и сетей электросвязи;

4) сведения о лице, эксплуатирующем значимый объект критической информационной инфраструктуры;

5) категория значимости, которая присвоена значимому объекту критической информационной инфраструктуры;

6) сведения о программных и программно–аппаратных средствах, используемых на значимом объекте критической информационной инфраструктуры;

7) меры, применяемые для обеспечения безопасности значимого объекта критической информационной инфраструктуры.

2. Сведения из реестра значимых объектов критической информационной инфраструктуры направляются в государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы государства.

3. В случае утраты значимым объектом критической информационной инфраструктуры категории значимости он исключается публичным государственным органом, уполномоченным в области обеспечения безопасности критической информационной инфраструктуры государства, из реестра значимых объектов критической информационной инфраструктуры.

Статья 9. Права и обязанности субъектов критической информационной инфраструктуры.

1. Субъекты критической информационной инфраструктуры имеют право:

1) получать от публичного государственного органа, уполномоченного в области обеспечения безопасности критической информационной инфраструктуры государства, информацию, необходимую для обеспечения безопасности значимых объектов критической информационной инфраструктуры, принадлежащих им на праве собственности, аренды или ином законном основании, в том числе об угрозах безопасности обрабатываемой такими объектами информации и уязвимости программного обеспечения, оборудования и технологий, используемых на таких объектах;

2) в порядке, установленном публичным государственным органом, уполномоченным в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы государства, получать от указанного органа информацию о средствах и способах проведения компьютерных атак, а также о методах их предупреждения и обнаружения;

3) при наличии согласия публичного государственного органа, уполномоченным в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы государства, за свой счет приобретать, арендовать, устанавливать и обслуживать средства, предназначенные для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты;

4) разрабатывать и осуществлять мероприятия по обеспечению безопасности значимого объекта критической информационной инфраструктуры.

2. Субъекты критической информационной инфраструктуры обязаны:

1) незамедлительно информировать о компьютерных инцидентах публичный государственный орган, уполномоченный в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы государства, а также Государственный банк (в случае, если субъект критической информационной инфраструктуры осуществляет деятельность в банковской сфере и в иных сферах финансового рынка) в установленном указанным публичным государственным органом порядке (в банковской сфере и в иных сферах финансового рынка указанный порядок устанавливается по согласованию с Государственным банком);

2) оказывать содействие должностным лицам публичного государственного органа, уполномоченного в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы государства, в обнаружении, предупреждении и ликвидации последствий компьютерных атак, установлении причин и условий возникновения компьютерных инцидентов;

3) в случае установки на объектах критической информационной инфраструктуры средств, предназначенных для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты, обеспечивать выполнение порядка, технических условий установки и эксплуатации таких средств, их сохранность.

3. Субъекты критической информационной инфраструктуры, которым на праве собственности, аренды или ином законном основании принадлежат значимые объекты критической информационной инфраструктуры, наряду с выполнением обязанностей, предусмотренных частью 2 настоящей статьи, также обязаны:

1) соблюдать требования по обеспечению безопасности значимых объектов критической информационной инфраструктуры, установленные публичным государственным органом, уполномоченным в области обеспечения безопасности критической информационной инфраструктуры государства;

2) выполнять предписания должностных лиц публичного государственного органа, уполномоченного в области обеспечения безопасности критической информационной инфраструктуры государства, об устранении нарушений в части соблюдения требований по обеспечению безопасности значимого объекта критической информационной инфраструктуры, выданные этими лицами в соответствии со своей компетенцией;

3) реагировать на компьютерные инциденты в порядке, утвержденном публичным государственным органом, уполномоченным в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы государства, принимать меры по ликвидации последствий компьютерных атак, проведенных в отношении значимых объектов критической информационной инфраструктуры;

4) обеспечивать беспрепятственный доступ должностным лицам публичного государственного органа, уполномоченного в области обеспечения безопасности критической информационной инфраструктуры государства, к значимым объектам критической информационной инфраструктуры при реализации этими лицами полномочий, предусмотренных статьей 13 настоящего Закона.

Статья 10. Система безопасности значимого объекта критической информационной инфраструктуры.

1. В целях обеспечения безопасности значимого объекта критической информационной инфраструктуры субъект критической информационной инфраструктуры в соответствии с требованиями к созданию систем безопасности таких объектов и обеспечению их функционирования, утвержденными публичным государственным органом, уполномоченным в области обеспечения безопасности критической информационной инфраструктуры государства, создает систему безопасности такого объекта и обеспечивает ее функционирование.

2. Основными задачами системы безопасности значимого объекта критической информационной инфраструктуры являются:

1) предотвращение неправомерного доступа к информации, обрабатываемой значимым объектом критической информационной инфраструктуры, уничтожения такой информации, ее модифицирования, блокирования, копирования, предоставления и распространения, а также иных неправомерных действий в отношении такой информации;

2) недопущение воздействия на технические средства обработки информации, в результате которого может быть нарушено и (или) прекращено функционирование значимого объекта критической информационной инфраструктуры;

3) восстановление функционирования значимого объекта критической информационной инфраструктуры, обеспечиваемого в том числе за счет создания и хранения резервных копий необходимой для этого информации;

4) непрерывное взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы государства.

1. Требования по обеспечению безопасности значимых объектов критической информационной инфраструктуры, устанавливаемые публичным государственным органом, уполномоченным в области обеспечения безопасности критической информационной инфраструктуры государства, дифференцируются в зависимости от категории значимости объектов критической информационной инфраструктуры и этими требованиями предусматриваются:

1) планирование, разработка, совершенствование и осуществление внедрения мероприятий по обеспечению безопасности значимых объектов критической информационной инфраструктуры;

2) принятие организационных и технических мер для обеспечения безопасности значимых объектов критической информационной инфраструктуры;

3) установление параметров и характеристик программных и программно–аппаратных средств, применяемых для обеспечения безопасности значимых объектов критической информационной инфраструктуры.

2. Государственные органы и российские юридические лица, выполняющие функции по разработке, проведению или реализации государственной политики и (или) нормативно–правовому регулированию в установленной сфере деятельности, по согласованию с публичным государственным органом, уполномоченным в области обеспечения безопасности критической информационной инфраструктуры государства, могут устанавливать дополнительные требования по обеспечению безопасности значимых объектов критической информационной инфраструктуры, содержащие особенности функционирования таких объектов в установленной сфере деятельности.

Статья 12. Оценка безопасности критической информационной инфраструктуры.

1. Оценка безопасности критической информационной инфраструктуры осуществляется публичным государственным органом, уполномоченным в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы государства, в целях прогнозирования возникновения возможных угроз безопасности критической информационной инфраструктуры и выработки мер по повышению устойчивости ее функционирования при проведении в отношении ее компьютерных атак.

2. При осуществлении оценки безопасности критической информационной инфраструктуры проводится анализ:

1) данных, получаемых при использовании средств, предназначенных для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты, в том числе информации о наличии в сетях электросвязи, используемых для организации взаимодействия объектов критической информационной инфраструктуры, признаков компьютерных атак;

2) информации, представляемой субъектами критической информационной инфраструктуры и публичным государственным органом, уполномоченным в области обеспечения безопасности критической информационной инфраструктуры государства, в соответствии с перечнем информации и в порядке, определяемыми публичным государственным органом, уполномоченным в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы государства, а также иными не являющимися субъектами критической информационной инфраструктуры органами и организациями, в том числе иностранными и международными;

3) сведений, представляемых в государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы государства по итогам проведения государственного контроля в области обеспечения безопасности значимых объектов критической информационной инфраструктуры, о нарушении требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры, в результате которого создаются предпосылки возникновения компьютерных инцидентов;

4) иной информации, получаемой публичным государственным органом, уполномоченным в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы государства, в соответствии с законодательством.

3. Для реализации положений, предусмотренных частями 1 и 2 настоящей статьи, публичный государственный орган, уполномоченный в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы государства, организует установку в сетях электросвязи, используемых для организации взаимодействия объектов критической информационной инфраструктуры, средств, предназначенных для поиска признаков компьютерных атак в таких сетях электросвязи.

4. В целях разработки мер по совершенствованию безопасности критической информационной инфраструктуры публичный государственный орган, уполномоченный в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы государства, направляет в публичный государственный орган, уполномоченный в области обеспечения безопасности критической информационной инфраструктуры государства, результаты осуществления оценки безопасности критической информационной инфраструктуры.

1. Государственный контроль в области обеспечения безопасности значимых объектов критической информационной инфраструктуры проводится в целях проверки соблюдения субъектами критической информационной инфраструктуры, которым на праве собственного владения, аренды или ином законном основании принадлежат значимые объекты критической информационной инфраструктуры, требований, установленных настоящим Законом и принятыми в соответствии с ним нормативными правовыми актами. Указанный государственный контроль проводится путем осуществления публичным государственным органом, уполномоченным в области обеспечения безопасности критической информационной инфраструктуры государства, плановых или внеплановых проверок.

2. Основанием для осуществления плановой проверки является истечение трех лет со дня:

1) внесения сведений об объекте критической информационной инфраструктуры в реестр значимых объектов критической информационной инфраструктуры;

2) окончания осуществления последней плановой проверки в отношении значимого объекта критической информационной инфраструктуры.

3. Основанием для осуществления внеплановой проверки является:

1) истечение срока выполнения субъектом критической информационной инфраструктуры выданного публичным государственным органом, уполномоченным в области обеспечения безопасности критической информационной инфраструктуры государства, предписания об устранении выявленного нарушения требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры;

2) возникновение компьютерного инцидента, повлекшего негативные последствия, на значимом объекте критической информационной инфраструктуры;

3) приказ (распоряжение) руководителя публичного государственного органа, уполномоченного в области обеспечения безопасности критической информационной инфраструктуры государства, изданный в соответствии с поручением Председателя Совета Государства и безопасности или Совета Государства и безопасности либо на основании требования прокурора об осуществлении внеплановой проверки в рамках проведения надзора за исполнением законов по поступившим в инспекцию государственного надзора материалам и обращениям.

4. По итогам плановой или внеплановой проверки публичным государственным органом, уполномоченным в области обеспечения безопасности критической информационной инфраструктуры государства, составляется акт проверки по утвержденной указанным органом форме.

5. На основании акта проверки в случае выявления нарушения требований настоящего Закона и принятых в соответствии с ним нормативных правовых актов по обеспечению безопасности значимых объектов критической информационной инфраструктуры публичный государственный орган, уполномоченный в области обеспечения безопасности критической информационной инфраструктуры государства, выдает субъекту критической информационной инфраструктуры предписание об устранении выявленного нарушения с указанием сроков его устранения.

Нарушение требований настоящего Закона и принятых в соответствии с ним иных нормативных правовых актов влечет за собой ответственность в соответствии с законодательством.

Статья 15. Вступление в силу настоящего Закона.

Настоящий Закон вступает в силу со дня его официального опубликования.

Утверждено Председателем всемирного верховного совета–совета безопасности