Anordnung FSTEC Nr. 239 Anforderungen zur Gewährleistung der Sicherheit bedeutender KII-Objekte

Überblick über die Anordnung FSTEC Nr. 239

Die Anordnung des FSTEC Russlands vom 25. Dezember 2017 Nr. 239 „Über die Genehmigung der Anforderungen zur Gewährleistung der Sicherheit bedeutender Objekte der kritischen Informationsinfrastruktur der Russischen Föderation" genehmigt die Anforderungen zur Gewährleistung der Sicherheit bedeutender KII-Objekte. Die Anordnung wurde in Ausführung von Artikel 6 des Bundesgesetzes Nr. 187-FZ „Über die Sicherheit der KII" entwickelt und ist der wichtigste untergeordnete Rechtsakt, der die Anforderungen an den Schutz von KII-Objekten konkretisiert.

Wichtigste Bestimmungen

• Bedeutungskategorien — die 1., 2. und 3. Bedeutungskategorie von KII-Objekten mit entsprechenden Niveaus der Schutzanforderungen. Die 1. Kategorie sind maximal bedeutende Objekte (Infrastrukturen, deren Ausfall die Verteidigungsfähigkeit und Sicherheit des Staates bedroht), die 3. Kategorie sind am wenigsten bedeutende Objekte.
• Schutzanforderungen — organisatorische und technische Maßnahmen zur Gewährleistung der Sicherheit von KII-Objekten, einschließlich Zugriffsverwaltung, Monitoring, Erkennung von Eindringversuchen und Datenschutz.
• Reaktion auf Vorfälle — die Ordnung der Erkennung, Klassifizierung und Reaktion auf Computerangriffe und Vorfälle, einschließlich der Zusammenarbeit mit GosSOPKA und NKZKI.
• Monitoring — die kontinuierliche Kontrolle des Zustands der Geschütztheit von KII-Objekten, die Analyse von Sicherheitsereignissen und die operative Reaktion auf Vorfälle.

Anforderungen nach Bedeutungskategorien

Die Anforderungen variieren je nach Bedeutungskategorie des KII-Objekts:

1. 1. Kategorie — das maximale Schutzniveau: die verpflichtende Verwendung zertifizierter SZI, das kontinuierliche Monitoring, die Zusammenarbeit mit NKZKI in Echtzeit, die Durchführung der Attestierung mindestens einmal im Jahr, die Entwicklung eines Plans zur Reaktion auf Vorfälle.
2. 2. Kategorie — ein hohes Schutzniveau: die Verwendung zertifizierter SZI, das regelmäßige Monitoring, die Zusammenarbeit mit NKZKI, die Attestierung mindestens einmal in 2 Jahren.
3. 3. Kategorie — ein grundlegendes Schutzniveau: die Anwendung von Maßnahmen gemäß der Regierungsverordnung Nr. 1119 der RF, das ereignisbasiertes Monitoring, die Zusammenarbeit mit NKZKI in der festgelegten Ordnung.

Maßnahmen zur Gewährleistung der Sicherheit

Die Anordnung legt organisatorische Maßnahmen (Risikomanagement, Planung der Reaktion auf Vorfälle, Schulung des Personals) und technische Maßnahmen fest (Zugriffsverwaltung, Monitoring, Erkennung von Eindringversuchen, Datenschutz, Gewährleistung der Integrität). An bedeutenden KII-Objekten der 1. und 2. Kategorie ist die Installation von Mitteln zur Erkennung von Computerangriffen (SOKA) und Mitteln zur Schwachstellenanalyse verpflichtend. Außerdem ist die Entwicklung und Aktualisierung des Maßnahmenplans zur Gewährleistung der Sicherheit des KII-Objekts verpflichtend.

Praktische Anwendung

Die Anordnung ist für alle KII-Subjekte verbindlich — staatliche Behörden, Organisationen des Gesundheitswesens, des Transports, der Energie, des Bankwesens, der Kommunikation, der Wissenschaft und anderer Bereiche, die durch das 187-FZ bestimmt sind. Jedes bedeutende KII-Objekt muss einen genehmigten Sicherheitsgewährleistungsplan haben, eine regelmäßige Geschütztheitsbewertung durchführen und mit NKZKI zusammenarbeiten. Die Anforderungen der Anordnung werden bei der Attestierung von KII-Objekten und bei der Bildung der Maßnahmenliste in den Sicherheitsgewährleistungsplänen berücksichtigt. Die Anordnung wird zusammen mit den Anordnungen FSTEC Nr. 235 (Anforderungen an SOKA), Nr. 236 (Anforderungen an Schwachstellenanalysemittel) und Nr. 237 (Ordnung der Zusammenarbeit mit NKZKI) angewandt.

Bußgelder und Verantwortlichkeit

Für die Verletzung der Anforderungen zur Gewährleistung der Sicherheit bedeutender KII-Objekte ist eine Verwaltungsverantwortlichkeit nach Artikel 13.12.2 des Gesetzbuchs der RF über Ordnungswidrigkeiten vorgesehen: ein Bußgeld für Amtsträger bis zu 50.000 Rubel, für juristische Personen bis zu 500.000 Rubel. Ein wiederholter Verstoß zieht die Verdoppelung der Bußgelder nach sich. Für die Nichtbereitstellung von Informationen über Vorfälle an GosSOPKA — ein Bußgeld von bis zu 200.000 Rubel. Eine strafrechtliche Verantwortlichkeit nach Artikel 274.1 des Strafgesetzbuchs der RF tritt für die unrechtmäßige Einwirkung auf KII-Objekte ein: bis zu 6 Jahre Freiheitsentzug bei Eintritt schwerer Folgen. Der FSTEC Russlands führt planmäßige Prüfungen von KII-Subjekten mindestens einmal in drei Jahren durch.

Aktualität

Die Anordnung wurde 2017 in Kraft gesetzt und ist ein geltender normativer Rechtsakt im Bereich der Gewährleistung der Sicherheit der KII. Seit der Genehmigung der Anordnung wurde die Notwendigkeit ihrer Aktualisierung im Zusammenhang mit der Änderung der Bedrohungslandschaft und der Erweiterung der Liste der KII-Bereiche (Bundesgesetz Nr. 312-FZ) mehrfach diskutiert. 2025 entwickelt der FSTEC die methodische Basis zur Gewährleistung der Sicherheit der KII weiter — es wurden aktualisierte methodische Empfehlungen zur Bewertung der Geschütztheit bedeutender Objekte herausgegeben. Die Anforderungen der Anordnung sind für alle KII-Subjekte verbindlich und liegen der Attestierung von Objekten der kritischen Informationsinfrastruktur zugrunde.