Статья: Как изменятся требования к обеспечению кибербезопасности на фармрынке. Фарма встает на защиту данных
Актуально на 07.11.2026.
Как цитировать: Статья: Как изменятся требования к обеспечению кибербезопасности на фармрынке. Фарма встает на защиту данных. https://bukva.ai/docs/statya-kak-izmenyatsya-trebovaniya-k
(Кубрина Т.)
(«Фармацевтический вестник», 2025, № 16-17)
Вопросы обеспечения кибербезопасности выходят на передний план в деятельности многих участников рынка, включая производителей, дистрибьюторов и аптечные сети. На фоне возрастающих рисков кибератак регуляторы решили обновить подходы к категорированию информационных систем предприятий. Федеральная служба по техническому и экспортному контролю (ФСТЭК) представила рынку обновленный перечень типовых информационных систем, для которых должны внедряться и поддерживаться системы кибербезопасности. Минздрав определился с особенностями их категорирования. «ФВ» разобрался с будущими нововведениями в вопросах кибербезопасности.
Обязанности по КИИ
Федеральный закон № 187-ФЗ от 26.07.2017 «О безопасности критической информационной инфраструктуры Российской Федерации» (Закон о КИИ) устанавливает основные требования по организации кибербезопасности на субъектах критической информационной инфраструктуры (КИИ). К ним в том числе относятся организации сферы здравоохранения, производители и поставщики лекарств, аптеки, медицинские организации.
Этим Законом предусмотрено, что субъекты КИИ должны создать систему кибербезопасности значимых информационных систем (объектов КИИ), кибератаки на которые могут сказаться на работе самих предприятий, а в случае с фармотраслью — на лекарственном обеспечении населения. Степень значимости объектов КИИ должны определить путем их категорирования, затем эти сведения необходимо направлять в ФСТЭК <1> и при необходимости в реестр значимых объектов КИИ <2>.
<1> Часть 4 ст. 7 Федерального закона № 187-ФЗ от 26.07.2017.
<2> Часть 1 ст. 8 Федерального закона № 187-ФЗ от 26.07.2017.
Категорирование объектов проводится в соответствии с критериями значимости и показателями их значений, а с 1 сентября 2025 года также с учетом перечня типовых объектов и отраслевых особенностей <3>. Порядок категорирования объектов КИИ установлен Постановлением Правительства РФ № 127 от 08.02.2018. Критерии значимости определяются по их потенциальному влиянию на социальную, политическую, экономическую сферы жизни общества, а также обеспечение обороны страны, безопасности государства, правопорядка и экологию.
<3> Федеральный закон № 58-ФЗ от 07.04.2025.
Типовые объекты КИИ
Регуляторы уже начали подготовку по переходу на новые правила категорирования объектов КИИ. В начале июня ФСТЭК представила для общественного обсуждения перечень типовых объектов КИИ <4>. Планируется, что он вступит в силу с 1 сентября.
<4> https://regulation.gov.ru/Regulation/Npa/PublicView?NpaID=157304
Первый же раздел этого перечня посвящен значимым информационным системам в сфере здравоохранения. В него вошли государственные информационные системы (ЕГИСЗ, ГИС ОМС ТФОМС), информационные системы больниц и фармкомпаний, а также встроенное в отдельные виды медизделий программное обеспечение (аппараты для КДЛ, лучевой диагностики и терапии, аппараты ИВЛ, мониторы для наблюдения пациентов, операционные роботы и прочие приборы для проведения операций).
Функционал типовых информационных систем фармкомпаний и аптечных организаций должен быть связан с автоматизацией процессов осуществления фармацевтической деятельности и информационной поддержки фармацевтических работников, включая информацию о самих организациях и о реализации лекарств в аптеках. Причем к таким объектам КИИ будут относиться системы как аптек, так и аптечных складов, включая фармкомпании с лицензией на оптовую торговлю лекарствами.
С типизацией IT-систем производителей лекарств и других товаров аптечного ассортимента дела обстоят сложнее. В разделе 14 «Область химической промышленности» перечня перечислены следующие виды производства: пищевые ферменты и биокатализаторы, кормовые препараты (микробиологический белок, премиксы, витамины, антибиотики, аминокислоты и ферменты), фармсубстанции для биозащиты растений, основные органические вещества (в части биотехнологии), косметические средства и прочие химические вещества. По формальному признаку многие фармпроизводители могут в этот перечень не попасть, что оставляет «белое» пятно для принятия решения о необходимости категорирования их IT-систем.
Значимость с вопросами
Минздрав разработал отраслевые особенности категорирования объектов КИИ в сфере КИИ. Проект соответствующего Постановления Правительства был размещен на федеральном портале проектов в середине июля <5>.
<5> https://regulation.gov.ru/Regulation/Npa/PublicView?NpaID=158031
Министерство относит к значимым субъектам КИИ в сфере здравоохранения медицинские организации, оказывающие специализированную и скорую медпомощь, а также фармпоставщиков и аптечные организации с выручкой не менее 5 млрд руб. и численностью сотрудников не менее 250 человек.
Такое ранжирование уже вызвало активное обсуждение на рынке, в первую очередь с точки зрения самого Закона о КИИ. В нем отсутствуют нормы о категорировании субъектов, они касаются только их информационных систем. Формально Закон обязывает всех участников соответствующей сферы провести категорирование объектов.
Но что делать тем, кто не соответствует указанным критериям значимости? Проводить категорирование или, например, их информационные системы априори признаются незначимыми? Как применять эти критерии значимости к аптечным сетям: будут ли учитываться показатели только отдельных юридических лиц или же всей сети в целом? Необходимо ли учитывать оба критерия одновременно, или достаточно одного соответствия?
Отраслевая специфика
Участники фармрынка для проведения категорирования своих IT-систем должны создать постоянно действующую комиссию по категорированию. Требования к ее составу и функционалу установлены ПП № 127. При проведении оценки комиссия должна оценить подверженность IT-системы компьютерным атакам и инцидентам, а также их влияние на работу системы и организации в целом. Учитывается возможность прекращения или нарушения работы организации, зависимость IT-систем друг от друга, статистика компьютерных атак. Взаимозависимые IT-системы могут рассматриваться как один объект КИИ.
Если IT-системы не соответствуют типовым объектам, считается, что в организации нет объектов КИИ. Если масштаб последствий кибератак на такую систему будет соответствовать критериям значимости, организация может признать ее объектом КИИ.
Все организации должны учитывать объекты с точки зрения социальной значимости — возможность причинения тяжкого или средней тяжести вреда здоровью людей. Политическая значимость учитывается только госорганами, ФФОМС и ТФОМС. Экономическую значимость берут в расчет только госкорпорации, ГУПы, госкомпании и стратегические предприятия. Воздействие на экологию оценивают только организации, работающие с источниками ионизирующего излучения.
24.07.2025