Президент РФ подписал указ «О мерах по обеспечению безопасности объектов критической инфраструктуры», позволяющий государству временно брать под управление имущество частных компаний. Эксперты допускают, что требования безопасности включают и кибербезопасность, а значит, указ может быть применим к объектам КИИ. Юристы предупреждают о неопределенных критериях и рисках давления на собственников. Также ожидается рост спроса на решения для защиты КИИ, резервного копирования и восстановления. Антон Самохвалов, партнер АБ КИАП, предоставил свое экспертное мнение изданию SecPost.
Вышел новый указ Президента РФ «О мерах по обеспечению безопасности объектов критической инфраструктуры Российской Федерации». Согласно ему, государство может временно брать под управление имущество частного бизнеса, если тот, по мнению органов, не обеспечивает безопасность объекта критической инфраструктуры.
Как обратил внимание автор Telegram-канала «Кибервойна» Олег Шакиров, указ вполне может быть применен к киберизмерению войны. В пользу этого говорит то, что требования к обеспечению безопасности объектов критической инфраструктуры никак не ограничиваются, а значит, включают и требования по ИБ. Эксперт также подчеркнул, что понятие объекта критической инфраструктуры не идентично объектам критической информационной инфраструктуры (КИИ), речь, по мнению Шакирова, идет о тех же секторах.
«Требование обеспечивать безопасность на объекте критической инфраструктуры в ТЭК невозможно полностью выполнить, не обеспечив безопасность информационных и промышленных систем на этом предприятии, то есть объектов критической информационной инфраструктуры», — писал Шакиров. В качестве примера он привел иск генпрокуратуры о передаче в государственную собственность активов ГК «Сирена-трэвел» — оператора системы бронирования авиабилетов Leonardo. Иск последовал за масштабным сбоем в сервисе.
Согласно документу, опубликованному 24 августа, государство имеет право перенять управление имуществом, если владелец не принимает/несвоевременно принимает меры по обеспечению безопасности критической инфраструктуры, нарушает требования к обеспечению безопасности либо создает угрозу безопасности или нормальному функционированию объекта. Также одной из причин может стать невосстановление/несвоевременное восстановление объекта.
В перечисленных случаях под управление государства передается не только сам объект, но и его имущественный контур: все или часть движимого и недвижимого имущества компании на территории РФ, принадлежащие ей акции и доли в российских юрлицах, а также ее имущественные права.
Если же объект перейдет под управление государства, то по умолчанию управляющим становится Росимущество, если иное лицо не было определено на основании указа Президента о временном управлении. Согласно документу, временный управляющий получает полномочия собственника по управлению имуществом, при этом не имея права на распоряжение им.
При этом управляющий будет обязан провести инвентаризацию и обеспечить сохранность имущества. Финансирование же временного управления будет осуществляться за счет доходов от использования этого имущества. Конец временного управления наступает при соответствующем решении Правительства РФ, которое будет принято на основании поручения Президента.
Помимо этого, указ вводит понятие «критической инфраструктуры». Под ним подразумеваются топливно-энергетические комплексы, промышленные объекты, связь, коммунальная и транспортная инфраструктура, объекты энергетики (в документе выделены объекты атомной энергетики), объекты жизнеобеспечения и критически важные и потенциальные объекты. Также сюда были отнесены и другие объекты, которые имеют особо важное значение для обеспечения безопасности и экономической стабильности РФ.
Мнение экспертов
Управляющий партнер адвокатского бюро ЮКАМ Ани Манташян считает, что указ логично вписывается в реалии. По мнению эксперта, государство ищет инструмент, позволяющий обеспечить безопасность там, где, по мнению государства, собственник не справляется. При этом собеседник SecPost подчеркнул, что юридическая конструкция указа оставляет слишком много пространства для интерпретаций.
«Формально это не национализация, право собственности не переходит, изъятия нет, Росимущество не может продать имущество. Но по факту управляющий получает почти весь пакет полномочий собственника — за исключением распоряжения», — подчеркнул Манташян. В свою очередь, эксперт обратил внимание, что если в управление можно ввести не только объект, но и его доли в компаниях вместе с ценными бумагами, то получается механизм, позволяющий государству контролировать бизнес, не меняя титульного владельца.
Юрист обратил внимание, что в указе есть неопределенные моменты.
Первый — неопределенность критериев, поскольку непонятно, что будет считаться неэффективностью. «Если порог доказывания будет низким, указ превращается в удобный инструмент давления на неудобных собственников или на компании в сложных ситуациях», — подчеркнул Манташян.
Второй момент — масштаб применения. Эксперт указал, что указ говорит об объектах критической инфраструктуры, однако в современных условиях под это определение можно подвести слишком много примеров: логистические хабы, дата-центры, энергетические объекты и даже крупные торговые и складские комплексы. «А если в орбиту попадают доли и ценные бумаги, то речь идет уже о контроле над корпоративными правами», — подчеркнул эксперт.
«Юридически граница с национализацией проводится по титулу: нет перехода права — нет национализации. Но фактически мы получаем квази-национализацию через управление», — указал собеседник SecPost. Эксперт подчеркнул, что Росимущество сможет назначать руководство, определять приоритеты, перестраивать процессы и контролировать финансы в части, необходимой для безопасности.
«То есть государство одновременно создает инструмент безопасности и механизм, который при желании можно использовать для перераспределения контроля над активами», — заключил Мантаншян.
Партнер Адвокатского бюро КИАП Антон Самохвалов обратил внимание на связь нового указа с указом Президента № 302 от 25.04.2023.
«В соответствии с этим Указом подобная мера вводилась в отношении владельцев российских активов из «недружественных стран» и была своеобразным ответом на изъятие зарубежных активов у российских собственников. Новый же указ позволяет передать во временное управление уже и активы российских бенефициаров,» — подытоживает Антон.
«Государство устало уговаривать бизнес защищать свои же активы. Уговоры закончились», — заявил автор Telegram-канала «Топ кибербезопасности» Денис Батранков. Эксперт порекомендовал компаниям сосредоточиться на соблюдении всех нужных требований: провести экспресс-аудит того, как работает физическая охрана, обратить внимание на соблюдение мер по КИИ/ИБ, а также протестировать восстановление.
Эксперт по информационной безопасности «Инфосистемы Джет» Илья Воложанин считает, что новый приказ увеличит внимание к реализации требуемых мер защиты для значимых объектов КИИ и в целом значимости для бизнеса вопросов, связанных с ИБ.
Воложанин выделил в порядке приоритета классы ИБ-решений, которые получат наибольший спрос после выхода указа:
- Напрямую влияющие на восстановление работы ИТ-инфраструктуры (средства резервного копирования и восстановления данных, отказоустойчивые архитектуры и т. д.)
- Предотвращающие ущерб объекту критической инфраструктуры (средства защиты от DDoS, антивирусная защита, DLP и т. д.)
- Реализующие требования законодательства в части защиты объектов КИИ (межсетевое экранирование, защищенный удаленный доступ, защита от несанкционированного доступа, анализ уязвимостей, контроль целостности, защита от сетевых атак и т. д.)
Ознакомиться с полной версией материала можно по ссылке.