187-FZ „Über die Sicherheit der kritischen Informationsinfrastruktur“

Was ist 187-FZ „Über die Sicherheit der kritischen Informationsinfrastruktur“

Das Bundesgesetz Nr. 187-FZ „Über die Sicherheit der kritischen Informationsinfrastruktur der Russischen Föderation“ wurde am 26. Juli 2017 verabschiedet und legt verbindliche Anforderungen an den Schutz der KII-Objekte fest — Informationssysteme, automatisierte Steuerungssysteme und Kommunikationsnetze, die für die Staatsverwaltung, Verteidigung, Wirtschaft und Lebenserhaltung der Bevölkerung kritisch sind. Das Gesetz gilt für Organisationen im Gesundheitswesen, im Transport, in der Kommunikation, im Energiesektor, im Finanzwesen, in der Wissenschaft, in der Verteidigungs- und Atomindustrie sowie in anderen Bereichen, die die Lebensfähigkeit des Staates gewährleisten. Die Einhaltung der Anforderungen wird vom FSTEC Russlands (Föderaler Dienst für technische und Exportkontrolle) überwacht; für Verstöße sind Verwaltungsstrafen (bis zu 1 Million Rubel für Organisationen) und strafrechtliche Verantwortlichkeit (nach Artikel 274.1 des Strafgesetzbuchs der Russischen Föderation — bis zu 8 Jahre Freiheitsstrafe) vorgesehen. Ein Verstoß gegen das Gesetz zieht nicht nur finanzielle Verluste nach sich, sondern auch eine Bedrohung der nationalen Sicherheit, daher ist die Einhaltung von 187-FZ für alle KII-Subjekte kritisch wichtig. Zum Schutz der KII-Objekte ist die Einführung umfassender Sicherheitssysteme erforderlich, darunter SIEM-Systeme und DLP-Lösungen zur Überwachung und Verhinderung von Vorfällen sowie die Verwendung zertifizierter Informationsschutzwerkzeuge.

Kategorisierung der KII-Objekte

Das Gesetz teilt die Objekte der kritischen Informationsinfrastruktur je nach potenziellem Schaden bei einer Sicherheitsverletzung in drei Bedeutungskategorien ein. Die erste Kategorie — Objekte, deren Sicherheitsverletzung zu einem Notfall auf föderaler Ebene, einer erheblichen Schädigung der Wirtschaft, der Verteidigung oder der Staatssicherheit führen könnte. Die zweite Kategorie — Objekte, deren Störung eine Bedrohung auf regionaler Ebene schafft und die Lebenserhaltung der Bevölkerung oder die Verkehrsinfrastruktur einer konstituierenden Gebietskörperschaft der Russischen Föderation stören könnte. Die dritte Kategorie — Objekte, deren Vorfälle Schäden in Größenordnung einer Gemeinde oder einer einzelnen Organisation verursachen könnten. Besonders bedeutende Objekte — eine eigene Kategorie für Objekte von besonderer Bedeutung für Verteidigung, Sicherheit und öffentliche Ordnung. Die Kategorisierung erfolgt nach sektoralen Methodiken, die die sozialen, politischen und wirtschaftlichen Folgen möglicher Vorfälle berücksichtigen. Die Ergebnisse der Kategorisierung werden innerhalb von 10 Arbeitstagen nach Genehmigung des Kategorisierungsakts an den FSTEC Russlands übermittelt. Für Objekte verschiedener Kategorien gelten unterschiedliche Anforderungen an das Schutzniveau und die Häufigkeit der Kontrollen.

Pflichten der KII-Subjekte

KII-Subjekte (Organisationen, die KII-Objekte besitzen) sind verpflichtet, folgende durch das Gesetz und die Verordnungen festgelegte Anforderungen zu erfüllen. Ein Sicherheitssystem für Objekte schaffen — organisatorische und technische Schutzmaßnahmen entwickeln und umsetzen, einschließlich Sicherheitsrichtlinien, Vorschriften, Anweisungen, und verantwortliche Personen benennen. Die Kategorisierung durchführen — die Bedeutungskategorie jedes KII-Objekts innerhalb der festgelegten Frist bestimmen (für neue Objekte — innerhalb von 1 Jahr ab Inbetriebnahme) und die Informationen an den FSTEC übermitteln. Zertifizierte KIS-Werkzeuge verwenden — vom FSB Russlands zertifizierte kryptografische Schutzwerkzeuge zum Schutz von Informationen bei Übertragung und Speicherung anwenden. Technische Schutzmaßnahmen bereitstellen — Schutz vor unbefugtem Zugriff (UAZ), Antivirus-Schutz, Kontrolle der Datenintegrität, Verschlüsselung von Kommunikationskanälen, Backup und Überwachung von Sicherheitsereignissen. Vorfälle melden — den FSTEC Russlands unverzüglich über Computervorfälle an KII-Objekten informieren und mit dem Staatssystem zur Erkennung, Verhinderung und Beseitigung der Folgen von Computerangriffen (GosSOPKA) zusammenarbeiten. Zertifizierung durchführen — die Übereinstimmung des Schutzsystems mit den Sicherheitsanforderungen durch Zertifizierungsprüfungen bestätigen. Seit 2025 ist ein Verbot der Nutzung ausländischer Software an KII-Objekten eingeführt (außer wenn keine inländischen Analogprodukte existieren).

Verantwortlichkeit für Verstöße gegen 187-FZ

Für die Nichteinhaltung der Anforderungen des Gesetzes ist eine administrative und strafrechtliche Verantwortlichkeit vorgesehen. Verwaltungsstrafen — für Beamte bis zu 500.000 Rubel, für Organisationen bis zu 1.000.000 Rubel (nach Artikel 13.14 des Gesetzbuchs der Russischen Föderation über Ordnungswidrigkeiten für Verstöße gegen Anforderungen zum Schutz von Informationen). Auch für die Nichtbefolgung von Anordnungen des FSTEC sowie für die Nichtbereitstellung oder Bereitstellung unrichtiger Informationen sind Geldbußen vorgesehen. Strafrechtliche Verantwortlichkeit — Artikel 274.1 des Strafgesetzbuchs der Russischen Föderation „Unrechtmäßige Einwirkung auf die kritische Informationsinfrastruktur der Russischen Föderation“ sieht eine Strafe von bis zu 8 Jahren Freiheitsstrafe für die Erstellung, Verbreitung oder Nutzung von Schadprogrammen vor, die auf KII-Objekte gerichtet sind. Aussetzung von Beamten — für Beamte ist bei wiederholtem Verstoß eine Amtsenthebung bis zu 3 Jahren vorgesehen. Aussetzung der Tätigkeit — das Gericht kann die Aussetzung der Tätigkeit der Organisation bis zur Beseitigung der Verstöße beschließen. Zur Risikominimierung wird empfohlen, regelmäßige Prüfungen der Sicherheitssysteme durchzuführen, Schutzwerkzeuge rechtzeitig zu aktualisieren und die Zertifizierung der KII-Objekte innerhalb der festgelegten Fristen zu durchlaufen.