Содержание
Указ № 250 спрашивают в поиске чаще, чем Указ № 166, — и не зря. Он шире по кругу организаций: касается не только значимых объектов КИИ, а всех систем органа или компании. И он прямо запрещает конкретный класс продуктов — средства защиты информации из недружественных стран.
Статья — обзор норм по официальному тексту указа на 26.09.2026, а не юридическая консультация. Требования к защите конкретной системы определяют её класс, категория и приказы ФСТЭК.
Что такое Указ № 250
Полное название — Указ Президента РФ от 01.05.2022 № 250 «О дополнительных мерах по обеспечению информационной безопасности Российской Федерации». Он вступил в силу в день опубликования, 1 мая 2022 года. Изменения вносились один раз — Указом от 13.06.2024 № 500: он, в частности, распространил запрет не только на средства защиты, но и на ИБ-сервисы, работы и услуги компаний из недружественных стран.
Кого касается указ
Указ адресован руководителям так называемых «органов (организаций)» — это:
- федеральные органы исполнительной власти и высшие исполнительные органы субъектов РФ;
- государственные фонды, госкорпорации и госкомпании, иные организации, созданные на основании федеральных законов;
- стратегические предприятия и стратегические акционерные общества;
- системообразующие организации российской экономики;
- юридические лица — субъекты критической информационной инфраструктуры.
Последний пункт важен: указ касается любого субъекта КИИ — в том числе частной компании и в том числе тогда, когда у неё нет значимых объектов. Кто такие субъекты КИИ, разобрано в статье «Критическая информационная инфраструктура: закон № 187-ФЗ». Как Указ № 250 сочетается с остальными требованиями о переходе на российское ПО — в статье «Переход на отечественное ПО: кто обязан и какие сроки».
Что указ требует от руководителя
| Пункт | Обязанность |
|---|---|
| 1 «а» | возложить полномочия по информационной безопасности на заместителя руководителя |
| 1 «б» | создать структурное подразделение по ИБ или возложить эти функции на существующее |
| 1 «в» | привлекать к мероприятиям по ИБ только организации с лицензией на техническую защиту конфиденциальной информации |
| 1 «г» | по обнаружению и ликвидации последствий атак привлекать только аккредитованные центры ГосСОПКА |
| 1 «д» | обеспечить сотрудникам ФСБ доступ, в том числе удалённый, к ресурсам организации в интернете для мониторинга |
| 1 «е» | незамедлительно выполнять меры, решения о которых принимают ФСБ и ФСТЭК |
По п. 2 указа руководители несут персональную ответственность за обеспечение информационной безопасности.
Запрет СЗИ из недружественных стран — с 1 января 2025
Дословно п. 6 в действующей редакции:
с 1 января 2025 г. органам (организациям) запрещается использовать средства защиты информации, странами происхождения которых являются иностранные государства, совершающие в отношении Российской Федерации, российских юридических лиц и физических лиц недружественные действия, либо производителями которых являются организации, находящиеся под юрисдикцией таких иностранных государств, прямо или косвенно подконтрольные им либо аффилированные с ними, а также пользоваться сервисами (работами, услугами) по обеспечению информационной безопасности, предоставляемыми (выполняемыми, оказываемыми) этими организациями.
Из текста следуют три вещи:
- Запрет — на использование, а не только на закупку. Средство защиты, купленное до 2025 года, тоже подпадает под запрет.
- Смотрят и на страну происхождения, и на производителя. Продукт компании, подконтрольной или аффилированной с компанией из недружественной страны, тоже под запретом, даже если выпущен в третьей стране.
- Запрет касается и сервисов: облачной защиты, мониторинга, реагирования на инциденты, консалтинга по ИБ от таких компаний.
Собственного списка стран в указе нет. Перечень государств и территорий, совершающих недружественные действия, утверждён распоряжением Правительства от 05.03.2022 № 430-р (ред. от 29.10.2022): в нём, в частности, США, Великобритания, страны Евросоюза, Канада, Швейцария и Япония. Под запрет попадают, например, межсетевые экраны Cisco и Fortinet (США) и антивирус ESET (Словакия).
Указ 250 и Указ 166: в чём разница
| Указ № 166 | Указ № 250 | |
|---|---|---|
| Что запрещено | иностранное ПО — любое | средства защиты и ИБ-сервисы из недружественных стран |
| Где | только на значимых объектах КИИ | во всём органе или организации |
| Кого касается | органы власти и заказчики по 223-ФЗ | органы власти, госкомпании, стратегические и системообразующие организации, все субъекты КИИ |
| С какого срока | закупка — с 31.03.2022, использование — с 01.01.2025 | использование — с 01.01.2025 |
Для средства защиты на значимом объекте действуют оба указа сразу: продукт должен быть из реестра российского ПО, иметь сертификат ФСТЭК или ФСБ (требования ПП № 1478) и не происходить из недружественной страны. Подробно про Указ № 166 — в статье «Указ 166: запрет иностранного ПО на значимых объектах КИИ».
Чем заменить иностранные СЗИ
Российский производитель — ещё не всё. Для государственных информационных систем, систем с персональными данными и значимых объектов КИИ нужен сертификат ФСТЭК или ФСБ нужного класса — как читать сертификаты и классы.
| Класс средства | Российские продукты в каталоге |
|---|---|
| Антивирус и защита рабочих мест | Kaspersky Endpoint Security для бизнеса, Dr.Web Enterprise Security Suite |
| Защита от НСД | Secret Net Studio (Windows), Secret Net LSP (Linux) |
| Доверенная загрузка | ПАК «Соболь» |
| Межсетевой экран, NGFW и VPN | Континент 4, UserGate NGFW, PT NGFW |
| Мониторинг событий (SIEM) | MaxPatrol SIEM, Kaspersky KUMA |
| Анализ защищённости | MaxPatrol VM, XSpider |
| Защита виртуализации | vGate |
Сравнения по классам — в статьях «Антивирус для организации», «СЗИ от НСД: Secret Net, «Соболь», Dallas Lock и Аккорд», «Межсетевой экран и NGFW: как выбрать» и «Российские SIEM-системы». Какие средства защиты нужны значимому объекту КИИ — в статье «Средства защиты КИИ».
Как провести замену: пять шагов
- Составить перечень средств защиты во всех системах: антивирусы, межсетевые экраны и VPN, средства защиты от НСД, SIEM, сканеры уязвимостей, почтовые и веб-шлюзы, облачные ИБ-сервисы.
- Проверить происхождение каждого: страна производителя, юрисдикция владельца продукта. Сомнительные позиции — в список на замену.
- Определить требования к замене: класс системы или категория значимого объекта задают нужный класс сертификата ФСТЭК или ФСБ.
- Подобрать российские аналоги с сертификатом нужного класса и записью в реестре российского ПО, проверить совместимость с ОС и оборудованием.
- Спланировать переход без окна, когда система остаётся без защиты: новое средство вводят до вывода старого.
Как купить российские СЗИ
Пришлите перечень средств защиты, которые нужно заменить, и класс системы или категорию объекта. Подберём российские продукты с сертификатами нужного класса, соберём спецификацию, счёт и договор на юридическое лицо. В спецификации укажем номера сертификатов ФСТЭК или ФСБ и реестровых записей — для закупочной документации и аттестации.
Частые вопросы
Кого касается Указ 250? +
Федеральных органов исполнительной власти, высших исполнительных органов регионов, госфондов, госкорпораций и госкомпаний, стратегических предприятий и стратегических АО, системообразующих организаций и всех юридических лиц — субъектов КИИ, включая частные компании.
С какой даты запрещены иностранные СЗИ по Указу 250? +
С 1 января 2025 года — по п. 6 указа. Запрещено использовать средства защиты из недружественных стран и пользоваться ИБ-сервисами компаний из таких стран, в том числе купленными раньше.
Какие страны считаются недружественными? +
В самом указе списка нет. Перечень государств, совершающих недружественные действия, утверждён распоряжением Правительства № 430-р от 05.03.2022 (ред. от 29.10.2022): в нём США, Великобритания, страны ЕС, Канада, Швейцария, Япония и другие.
Можно ли продолжать использовать купленный ранее иностранный антивирус? +
Если организация входит в круг Указа № 250, а производитель — из недружественной страны или подконтролен такой компании, то нет: п. 6 запрещает именно использование с 1 января 2025 года, а не только новые закупки.
Чем Указ 250 отличается от Указа 166? +
Указ № 166 запрещает любое иностранное ПО, но только на значимых объектах КИИ органов власти и заказчиков по 223-ФЗ. Указ № 250 запрещает средства защиты и ИБ-сервисы из недружественных стран во всей организации, а круг организаций шире — вплоть до всех субъектов КИИ.
Какая ответственность за нарушение Указа 250? +
Отдельных санкций в указе нет. По п. 2 руководители несут персональную ответственность за обеспечение информационной безопасности.
Достаточно ли, что СЗИ российское? +
Для требований Указа № 250 — да, если производитель не связан с недружественной страной. Но для ГИС, систем с персональными данными и значимых объектов КИИ средство защиты должно иметь ещё и сертификат ФСТЭК или ФСБ нужного класса.
