Субъект КИИ, у которого есть значимые объекты, обязан перейти на преимущественное применение доверенных ПАК до 1 января 2030 года (постановление Правительства РФ от 14.11.2023 № 1912, п. 2). Запрет уже действует: с 1 сентября 2024 года на ЗОКИИ нельзя использовать недоверенные ПАК, приобретённые с этой даты. Копию плана перехода уполномоченный орган должен был получить до 1 января 2025 года (Правила, п. 10 «а»), а с 2026 года ежегодно до 1 марта ждёт отчёт о ходе его реализации (п. 21).
Ниже — порядок, который мы проходим с заказчиками в проектах по защите ЗОКИИ: что такое доверенный программно-аппаратный комплекс, где его проверять и почему «реестра доверенных ПАК» нет; как разметить парк по трём критериям и посчитать долю; как собрать план перехода на доверенные программно-аппаратные комплексы по форме Правительства, сдать копию и отчёт.
Правила адресованы значимым объектам: если категорий ещё нет, начните с разбора, кто такой субъект КИИ и что такое ЗОКИИ, и с порядка категорирования объектов КИИ — без записи в реестре ЗОКИИ считать долю не от чего.
Что такое доверенный ПАК по постановлению № 1912
Доверенный ПАК — это программно-аппаратный комплекс, который одновременно соответствует всем критериям приложения № 1 к Правилам, утверждённым постановлением Правительства № 1912 (Правила, п. 2). Критерия три: сведения о комплексе есть в едином реестре российской радиоэлектронной продукции, ПО в его составе отвечает требованиям постановления Правительства от 22.08.2022 № 1478, а при функции защиты информации соответствие требованиям ФСТЭК и (или) ФСБ подтверждено сертификатом.
Сам ПАК определён широко: «радиоэлектронная продукция, в том числе телекоммуникационное оборудование, программное обеспечение и технические средства, работающие совместно для выполнения одной или нескольких сходных задач» (п. 2). Сервер с СУБД, СХД, межсетевой экран, контроллер с прошивкой: всё это ПАК. Требование выросло из п. 2 «б» Указа Президента от 30.03.2022 № 166, а преимущественное применение доверенных программно-аппаратных комплексов расшифровано жёстко: их доля на 31 декабря 2029 года — 100 % (Правила, п. 2).
| Критерий (прил. № 1) | Чем подтверждается | Где проверить | Кто ведёт | Типичная ошибка |
|---|
| 1. ПАК в едином реестре российской радиоэлектронной продукции | Номер реестровой записи | Реестр на портале ГИСП | Минпромторг | Российский бренд ≠ модель в реестре: проверять конкретное исполнение |
| 2. ПО в составе соответствует требованиям ПП № 1478 | Номера записей реестра ПО по каждому компоненту | Реестр российского ПО | Минцифры | Прошивка, встроенная ОС, СУБД забыты при сверке |
| 3. При функции защиты информации — соответствие требованиям ФСТЭК и (или) ФСБ | Сертификат | Реестры сертифицированных СЗИ ФСТЭК и ФСБ | ФСТЭК, ФСБ | Сертификат приняли за статус доверенного: он подтверждает функции защиты, а не происхождение |
Статус доверенного — свойство комплекса целиком: российский сервер с иностранной СУБД доверенным не станет, российское ПО на оборудовании вне реестра радиоэлектронной продукции — тоже.
Не путать с омонимом. ПАК доверенной загрузки («Соболь» и аналоги) — это средства доверенной загрузки, класс СЗИ, контролирующих среду загрузки машины, а не статус по постановлению № 1912; на значимом объекте СДЗ сам должен проходить три критерия.
Кто обязан переходить на доверенные ПАК
Переходить обязаны субъекты КИИ — но только по значимым объектам (Правила, п. 1). Нет ЗОКИИ — нет плана. С 1 сентября 2025 года обязанность соблюдать требования к программно-аппаратным средствам на ЗОКИИ закреплена и в законе — 187-ФЗ, ст. 9 ч. 3 п. 6 (введена 58-ФЗ от 07.04.2025); тем же законом индивидуальные предприниматели исключены из субъектов КИИ. Указ № 166 про иностранное ПО действует параллельно — о нём в шаге 6.
Незначимые объекты вне Правил. Но категории пересматриваются не реже раза в 5 лет и при изменении отраслевых особенностей (ПП № 127, п. 21 в ред. от 07.11.2025 № 1762), и новый ЗОКИИ даёт 4 месяца на план (Правила, п. 10 «б»).
Уполномоченный орган субъект определяет сам — по сфере деятельности и (или) основному ОКВЭД (Правила, п. 10). Перечень по п. 3 постановления № 1912:
| Сфера (область) деятельности | Уполномоченный орган |
|---|
| Здравоохранение | Минздрав России |
| Наука | Минобрнауки России |
| Транспорт | Минтранс России |
| Связь | Минцифры России |
| Энергетика и ТЭК | Минэнерго России |
| Оборонная, горнодобывающая, металлургическая, химическая промышленность | Минпромторг России |
| Банковская сфера и финансовый рынок (кроме кредитных и некредитных финансовых организаций) | Минфин России |
| Кредитные и некредитные финансовые организации | Банк России |
| Госрегистрация прав на недвижимость | Росреестр |
| Атомная энергия | Госкорпорация «Росатом» |
| Ракетно-космическая промышленность | Госкорпорация «Роскосмос» |
Редакцией от 26.12.2024 (постановление № 1915) в перечень добавлен Минтруд России — для субъектов КИИ, созданных государством для пенсионного обеспечения, обязательного пенсионного и социального страхования.
Органы ведут отраслевые планы перехода (документы ДСП, п. 3–4): утвердить их должны были до 1 сентября 2024 года (п. 4 постановления), с 2026 года до 1 мая актуализируют (п. 5) и в 20 рабочих дней рассылают субъектам с уведомлением о необходимости плана (п. 6). Пришло такое письмо — вашего плана в их реестре нет: начинайте с шага 1.
Реестр доверенных ПАК Минпромторга: в каких реестрах проверять статус
Отдельного реестра доверенных ПАК постановление № 1912 не вводит (в формах Правил для доверенного комплекса в графах об аналогах стоит прочерк). Статус собирается из трёх источников: единый реестр российской радиоэлектронной продукции (Минпромторг) — сам комплекс; единый реестр российского ПО (Минцифры) — софт в составе; сертификат ФСТЭК или ФСБ — при функции защиты информации.
Проверка кандидата на закупку — три действия: найти конкретную модель и исполнение в реестре радиоэлектронной продукции; сверить каждый программный компонент — ОС, СУБД, гипервизор, встроенное ПО — с реестром ПО; для функций защиты найти действующий сертификат и сверить, что он покрывает именно закупаемое исполнение и версию. Любое звено выпало — комплекс недоверенный, с 1 сентября 2024 года на значимый объект его ставить нельзя.
Шаг 1. Сверьте статус объектов: что у вас в реестре ЗОКИИ
Реестр значимых объектов ведёт ФСТЭК (187-ФЗ, ст. 8 ч. 1), и в нём уже есть сведения о программных и программно-аппаратных средствах каждого объекта (ст. 8 ч. 1 п. 6). Орган сверит план с выпиской из реестра не старше 90 дней и при расхождении откажет (Правила, п. 14 «в», «г»).
Выпишите все ЗОКИИ с регистрационными номерами, категориями и датами включения — это раздел 2 плана (приложение № 3). Чаще всего расходится состав программно-аппаратных средств: после модернизаций сведения в реестр уходили не всегда. Изменения направьте в ФСТЭК — по приказу № 227 (п. 8) на это отведено 20 рабочих дней со дня изменения, и сделать это нужно раньше, чем подадите план. Срок-триггер: категория присвоена после 1 сентября 2024 года — 4 месяца со дня уведомления ФСТЭК (п. 10 «б»). Документ — внутренний перечень ЗОКИИ. Категорий нет вовсе — категорирование объектов КИИ под ключ.
Шаг 2. Проведите инвентаризацию ПАК и разметьте парк по трём критериям
По каждому ЗОКИИ зафиксируйте тип и наименование ПАК, дату приобретения (до или после 1 сентября 2024 года), номера записей в реестрах, сертификат СЗИ, вывод «доверенный / недоверенный», для недоверенных — есть ли российский аналог. Это раздел 3 плана (Правила, п. 8 «в»; приложение № 3). Чек-лист, на котором чаще всего спотыкаются:
- Что считать одним ПАК. По задаче, а не по коробке (п. 2 Правил).
- Разложить на слои. Железо, ПО, прошивка — по каждому своя запись.
- Всё ПО в составе. ОС, СУБД, гипервизор, встроенное ПО — критерий 2 проверяется по каждому компоненту.
- Функция защиты информации: да или нет. Если да — нужен сертификат (критерий 3).
- Дата договора закупки. Граница — 1 сентября 2024 года: запрет или плановое замещение.
- Тип ПАК. Закрытого перечня типов форма не задаёт — типизацию (серверы, СХД, межсетевые экраны, контроллеры) определяете сами и фиксируете в плане; доля считается по каждому типу.
Документ — таблица инвентаризации (xlsx из пакета ниже); подписывает ответственный за план не ниже заместителя руководителя (приложение № 3, раздел 1, п. 6), адресат внутренний. И классическая ошибка: сертифицированное иностранное СЗИ ещё не доверенный ПАК, сертификат закрывает только третий критерий.
Шаг 3. Посчитайте долю доверенных ПАК по типам
Раздел 4 плана — по каждому типу ПАК количество доверенных (штук), общее количество (штук) и доля в процентах, строка «итого по всем типам», план на 31 декабря каждого года и факт (приложение № 3). Формула: доля = доверенные ÷ всего × 100, в штуках. Цель на 31 декабря 2029 года — 100 %; план с меньшей долей орган не примет (п. 14 «б»).
Условный пример. Тип «серверы»: 12 штук, доверенных 4 — 33 %. Тип «межсетевые экраны»: 3 штуки, доверенных 3 — 100 %. Итого 15 штук, доверенных 7 — 47 %. Дальше траектория по годам до 2029-го. Документ — раздел 4 плана. Выход шага — цифра, которую вы ежегодно сверяете в отчёте (шаг 7), поэтому зафиксируйте методику подсчёта.
Шаг 4. Составьте и утвердите план перехода по форме Правительства
План перехода составляется по форме приложения № 3 (Правила, п. 7) из пяти разделов (п. 8): раздел 1 — общие сведения о субъекте: наименование, адрес, сфера уполномоченного органа, код ОКВЭД, ответственный не ниже заместителя руководителя; разделы 2–4 — результат шагов 1–3; раздел 5 — прогноз затрат по типам ПАК на 2025–2029 годы в млн руб. Утверждает руководитель субъекта КИИ (п. 9).
Согласование: кредитные и некредитные финансовые организации — с Банком России, контур Росатома — с Росатомом (п. 9); без него — отказ по п. 14 «д». План содержит сведения о ЗОКИИ и направляется с соблюдением законодательства о гостайне (п. 10).
Защита значимых объектов КИИ под ключ
Кредо-С — лицензиат ФСТЭК России. Инвентаризация ПАК по реестрам, расчёт долей, план перехода по форме приложения № 3 и синхронизация с системой безопасности по приказам № 235 и № 239. Стоимость — от 100 000 руб. за объект, срок от 1 мес.
Шаг 5. Направьте копию плана в уполномоченный орган и пройдите реестр планов
Копия утверждённого плана — в уполномоченный орган в течение 10 рабочих дней со дня утверждения (Правила, п. 10): для объектов, которые были в реестре ЗОКИИ на 1 сентября 2024 года, — до 1 января 2025 года (п. 10 «а»); для категорированных позже — 4 месяца с уведомления ФСТЭК (п. 10 «б»). Дедлайн 1 января 2025 года пропущен — утверждайте и направляйте сейчас: отсутствие плана — повод для уведомления по п. 6. С таким письмом к нам и приходят чаще всего.
За 30 рабочих дней орган включает план в отраслевой реестр планов или отказывает (п. 13). Самые частые причины отказа: не та форма, целевая доля меньше 100 %, расхождение с выпиской ФСТЭК; полный список — п. 14. Уведомление о решении — 5 рабочих дней (п. 15), в нём регистрационный номер плана, дата и номер редакции — он понадобится в каждом следующем письме.
После отказа — 30 календарных дней на исправление (п. 17 «а»); новые ЗОКИИ — новая редакция в 4-месячный срок (п. 17 «б»). Любые изменения — только новой редакцией, копия в те же 10 рабочих дней с указанием основания (п. 18–19). Выписку из разделов 3 и 4 орган направляет в НПО по доверенным ПАК (распоряжение Правительства от 29.03.2023 № 757-р; п. 20): список ваших недоверенных ПАК видят производители.
Шаг 6. Встройте фильтр в закупки: запрет с 1 сентября 2024 года и исключение по постановлению № 1135
Запрет из лида работает именно здесь: недоверенный ПАК, приобретённый с 1 сентября 2024 года, использовать на ЗОКИИ нельзя (постановление № 1912, п. 2 абз. 3). Исключение одно — отсутствие произведённых в России доверенных аналогов; подтверждение — заключение Минпромторга об отнесении продукции к промышленной продукции, не имеющей произведённых в России аналогов (Правила постановления от 20.09.2017 № 1135). Купленное до 1 сентября 2024 года эксплуатировать можно, но к 31 декабря 2029 года доля доверенных должна дойти до 100 % — заместить придётся и его.
В регламент закупок для значимых объектов добавьте проверку по трём критериям до подписания договора: использование доверенных ПАК — единственный вариант для новых закупок, а заключение в Минпромторг запрашивают до сделки, не после. Параллельно — ПО: закупки иностранного ПО для ЗОКИИ заказчиками по 223-ФЗ с 31 марта 2022 года только по согласованию, а с 1 января 2025 года его использование органами госвласти и такими заказчиками запрещено (Указ № 166, п. 1 «а», «б»).
Заключение не вечное: оно фиксирует отсутствие аналога на дату выдачи. Появился аналог — уполномоченный орган пришлёт информацию (п. 16), это основание скорректировать план по решению субъекта (п. 17 «в»). Документы шага — внутренний регламент закупок и заключение Минпромторга.
Шаг 7. Сдавайте отчёт до 1 марта и держите план в актуальном состоянии
Начиная с 2026 года субъект ежегодно до 1 марта направляет в уполномоченный орган отчёт о ходе реализации плана за предшествующий календарный год по форме приложения № 5 (Правила, п. 21); режим гостайны — как у плана. Первый отчёт — за 2025 год, срок до 1 марта 2026 года прошёл: не сдавали — сдавайте.
Форма: раздел 1 — по каждому типу ПАК план и факт на 31 декабря отчётного года (доверенные, всего, доля); раздел 2 — причины недостижения плановых долей и предложения по дальнейшей работе. НПО по доверенным ПАК с 2025 года ежегодно до 1 апреля готовит прогноз производства доверенных ПАК на три года (п. 25) — довод «заменить нечем» сверят с ним, поэтому пишите причины по конкретным типам.
Замена ПАК — изменение архитектуры объекта: актуализируйте модель угроз и меры по приказу ФСТЭК № 239 (ред. от 28.08.2024 № 159; анализ угроз — п. 11.1) и документы системы безопасности по приказу ФСТЭК № 235.
Защита АСУ ТП на значимых объектах
Кредо-С — лицензиат ФСТЭК России. Оценка замены промышленных ПАК с учётом непрерывности техпроцесса, меры по приказу № 239, поддержка плана перехода и годового отчёта. Стоимость — от 100 000 руб. за объект.
Сроки и периодичность
| Событие | Срок | Норма |
|---|
| Согласование закупок иностранного ПО для ЗОКИИ (заказчики по 223-ФЗ) | с 31.03.2022 | Указ № 166, п. 1 «а» |
| Запрет недоверенных ПАК, приобретённых с этой даты | с 01.09.2024 | ПП № 1912, п. 2 абз. 3 |
| Отраслевые планы и ответственные в уполномоченных органах | до 01.09.2024 | ПП № 1912, п. 4 |
| Запрет иностранного ПО на ЗОКИИ (органы госвласти, заказчики) | с 01.01.2025 | Указ № 166, п. 1 «б» |
| Копия плана (объекты в реестре на 01.09.2024) | до 01.01.2025; 10 раб. дн. с утверждения | Правила, п. 10 «а» |
| Копия плана (объекты, категорированные после 01.09.2024) | 4 мес. с уведомления ФСТЭК | Правила, п. 10 «б» |
| Решение о включении в реестр планов / уведомление | 30 раб. дн. / 5 раб. дн. | Правила, п. 13, 15 |
| Исправление плана после отказа | 30 календарных дней | Правила, п. 17 «а» |
| Обязанность соблюдать требования к ПАС на ЗОКИИ (закон) | с 01.09.2025 | 187-ФЗ, ст. 9 ч. 3 п. 6 |
| Отчёт о ходе реализации плана (прил. № 5) | ежегодно до 1 марта, с 2026 | Правила, п. 21 |
| Актуализация отраслевых планов органами | ежегодно до 1 мая, с 2026 | Правила, п. 5 |
| Доля доверенных ПАК 100 % | на 31.12.2029 | Правила, п. 2 |
| Завершение перехода | до 01.01.2030 | ПП № 1912, п. 2 абз. 2 |
| Срок действия п. 1–2 постановления | 6 лет с 01.09.2024 | ПП № 1912, п. 5 |
Перенесли ли сроки на 2028 год?
Нет. В действующей редакции постановления № 1912 (ред. от 26.12.2024) и в Указе № 166 переноса нет: контрольные точки — 1 сентября 2024 года, 1 января 2025 года, 1 марта ежегодно, 31 декабря 2029 года и 1 января 2030 года. Проект изменений (regulation.gov.ru, № 160786, Минпромторг) размещён 1 октября 2025 года и на 27 августа 2026 года не принят — этап «подведение итогов публичного обсуждения», последнее движение по карточке — 16.01.2026, содержание официально не опубликовано; планируйте по действующим датам. Сообщения СМИ о сроках для ПО постановление не меняют. Такова картина на конец августа 2026 года.
Что будет, если не перейти: ответственность
Отдельного состава «за недоверенный ПАК» в КоАП нет. Но обязанность соблюдать требования к программно-аппаратным средствам на ЗОКИИ закреплена в 187-ФЗ (ст. 9 ч. 3 п. 6), поэтому нарушение может быть квалифицировано по ч. 1 ст. 13.12.1 КоАП — нарушение требований по обеспечению безопасности ЗОКИИ: должностные лица — 10–50 тыс. руб., юридические лица — 50–100 тыс. руб. Это оценка: практики именно по ПАК пока нет.
Не путать с ч. 2 той же статьи — порядок информирования об инцидентах: юрлица — 100–500 тыс. руб. Вред КИИ из-за оборудования, которое по плану уже должно было быть замещено, может образовать состав ст. 274.1 УК: ч. 3 (нарушение правил эксплуатации) — до 6 лет лишения свободы, ч. 5 (тяжкие последствия) — от 5 до 10 лет; разбор — в статье об ответственности за нарушение 187-ФЗ. Риск без штрафа — документальный: отказ по п. 14 и уведомление по п. 6 фиксируют отсутствие плана.
Типичные ошибки
- Ищут «реестр доверенных ПАК» и ждут его появления. Статус собирается из реестра радиоэлектронной продукции, реестра ПО и сертификата: три записи вместо одной.
- Сертификат ФСТЭК или ФСБ принимают за статус доверенного. Он закрывает только третий критерий; комплекс проверяется целиком.
- План с целевой долей меньше 100 % или не по форме приложения № 3. Отказ по п. 14 «а» или «б» без рассмотрения по существу.
- Перечень ЗОКИИ и состав средств не совпадают с реестром ФСТЭК. Отказ по п. 14 «в», «г»; изменения — в ФСТЭК в 20 рабочих дней (приказ № 227, п. 8), раньше плана.
- Закупка после 1 сентября 2024 года без проверки по реестрам и без заключения по постановлению № 1135. Комплекс нельзя использовать на объекте, деньги потрачены.
- Первый отчёт за 2025 год не сдан или сдан без раздела 2. Причины недостижения и предложения — обязательная часть формы приложения № 5.
Самостоятельно или с подрядчиком
Инвентаризация, расчёт, план и отчёт — своими силами; лицензия ФСТЭК нужна там, где начинается техническая защита информации.
| Этап | Сами | Нужен лицензиат ФСТЭК | Комментарий |
|---|
| Сверка реестра ЗОКИИ, перечень объектов | да | нет | Уведомления ФСТЭК у вас есть |
| Инвентаризация ПАК, проверка по реестрам | да | нет; помогает при 50+ ПАК | xlsx из пакета |
| Оценка «функция защиты / сертификат» | частично | да — классы и уровни доверия СЗИ | Приказ № 239, реестры сертификатов |
| Расчёт долей, план по приложению № 3 | да | нет | docx из пакета |
| Согласование с Банком России / Росатомом | да | нет | Только КО, НФО и контур Росатома (п. 9) |
| Заключение Минпромторга по ПП № 1135 | да | нет | Процедура Минпромторга |
| Замена ПАК: модель угроз, меры № 239, приёмка | нет | да — ТЗКИ лицензируется | Защита КИИ, защита АСУ ТП |
| Отчёт до 1 марта | да | нет | Форма приложения № 5 |
Что делать после
Следующая обязанность цепочки ЗОКИИ — оценка показателей защищённости, КЗИ и ПЗИ: разбор — в «Читайте также» ниже. Параллельно проверьте план реагирования на компьютерные инциденты: новые ПАК — новые источники событий для ГосСОПКА. Обзор темы — что такое КИИ. Если проект изменений в постановление № 1912 примут, статья будет обновлена. Дата проверки — 27.08.2026.
Кредо-С — лицензиат ФСТЭК России: поможем пройти путь от категорирования объектов КИИ до годового отчёта в уполномоченный орган — инвентаризация ПАК, план перехода по форме приложения № 3, защита значимых объектов КИИ.
