Субъектом критической информационной инфраструктуры (КИИ), согласно Федеральному Закону № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации», является предприятие, на которых есть хотя бы один объект, отнесенные к критической информационной инфраструктуре. Такими объектами могут быть информационные системы, информационно-телекоммуникационные сети и автоматизированные системы управления. Такие объекты присутствуют у разных корпоративных заказчиков — от госуправления до науки, от ракетно-космического сектора до энергетики, от металлургии до химической промышленности, от «оборонки» до банковской сферы и т. д. Под действия 187-ФЗ попадают, например, телеком-провайдеры, городской водоканал, промышленные компании, банки, страховые организации и т. д.

Получение ответов на вопросы, попадает ли компания под действия Указа и соблюдены ли структурами, поставляющими ей продукты или услуги, соответствующие требования, на практике является непростой задачей. Некоторые компании решают эти проблемы самостоятельно, но во многих случаях требуется обращение за консалтингом в профильные фирмы, специализирующиеся на кибербезопасности.

Вопросы кибербезопасности регулирует ряд документов действующего федерального законодательства, которое в настоящее время активно совершенствуют и развивают. В законы вносят изменения, выходят Постановления Правительства РФ, рассматриваемая нами тематика отражена в новых Указах Президента и т.д. Например, в УК РФ добавлена Статья 274.1 «Неправомерное воздействие на критическую информационную инфраструктуру Российской Федерации», устанавливающая уголовную ответственность должностных лиц субъекта КИИ за несоблюдение установленных правил эксплуатации технических средств объекта – в том числе, и систем киберзащиты – или нарушение порядка доступа к ним, причем наказание предусмотрено серьезное, включая лишение свободы на срок до десяти лет.