187-FZ « Sur la sécurité de l'infrastructure informationnelle critique »

Qu'est-ce que la 187-FZ « sur la sécurité de l'infrastructure informationnelle critique »

La loi fédérale n° 187-FZ « sur la sécurité de l'infrastructure informationnelle critique de la Fédération de Russie » a été adoptée le 26 juillet 2017 et établit des exigences obligatoires pour la protection des objets de l'IIC (infrastructure informationnelle critique) — systèmes d'information, systèmes automatisés de contrôle et réseaux de communication essentiels pour l'administration publique, la défense, l'économie et le soutien vital de la population. La loi s'applique aux organisations du secteur de la santé, des transports, des communications, de l'énergie, de la finance, de la science, des industries de défense et nucléaire, ainsi qu'à d'autres secteurs assurant l'activité vitale de l'État. Le respect des exigences est contrôlé par le FSTEC de Russie (Service fédéral de contrôle technique et d'exportation), et des amendes administratives (jusqu'à 1 million de roubles pour les organisations) ainsi que des poursuites pénales (en vertu de l'article 274.1 du Code pénal de la Fédération de Russie — jusqu'à 8 ans d'emprisonnement) sont prévues en cas de violation. La violation de la loi entraîne non seulement des pertes financières, mais aussi une menace pour la sécurité nationale, c'est pourquoi le respect de la 187-FZ est d'une importance cruciale pour tous les sujets de l'IIC. Pour protéger les objets de l'IIC, il est nécessaire de déployer des systèmes de sécurité complets, comprenant des systèmes SIEM et des solutions DLP pour la surveillance et la prévention des incidents, ainsi que l'utilisation de moyens certifiés de protection de l'information.

Catégorisation des objets de l'IIC

La loi divise les objets de l'infrastructure informationnelle critique en trois catégories de signification selon les dommages potentiels en cas d'atteinte à la sécurité. Première catégorie — objets dont une atteinte à la sécurité pourrait entraîner une urgence d'envergure fédérale, des dommages significatifs pour l'économie, la défense ou la sécurité de l'État. Deuxième catégorie — objets dont un accident crée une menace à l'échelle régionale et pourrait perturber le soutien vital de la population ou l'infrastructure de transport d'un sujet de la Fédération de Russie. Troisième catégorie — objets dont les incidents pourraient causer des dommages à l'échelle d'une municipalité ou d'une organisation individuelle. Objets particulièrement importants — catégorie distincte pour les objets d'une importance particulière pour la défense, la sécurité et l'ordre public. La catégorisation est réalisée selon des méthodologies départementales qui tiennent compte des conséquences sociales, politiques et économiques des incidents possibles. Les résultats de la catégorisation sont envoyés au FSTEC de Russie dans un délai de 10 jours ouvrables à compter de l'approbation de l'acte de catégorisation. Des exigences différentes quant au niveau de protection et à la fréquence des inspections sont établies pour les objets de différentes catégories.

Obligations des sujets de l'IIC

Les sujets de l'IIC (organisations propriétaires d'objets de l'IIC) sont tenus de remplir les exigences suivantes établies par la loi et les textes d'application. Créer un système de sécurité des objets — élaborer et mettre en œuvre des mesures organisationnelles et techniques de protection, y compris des politiques de sécurité, des règlements, des instructions, et nommer des personnes responsables. Réaliser la catégorisation — déterminer la catégorie de signification de chaque objet de l'IIC dans le délai établi (pour les nouveaux objets — dans l'année suivant la mise en service) et transmettre les informations au FSTEC. Utiliser des moyens de protection cryptographique (CIPF) certifiés — appliquer des moyens de protection cryptographique certifiés par le FSB de Russie pour protéger l'information lors de sa transmission et de son stockage. Fournir des mesures techniques de protection — protection contre les accès non autorisés, protection antivirus, contrôle de l'intégrité des données, chiffrement des canaux de communication, sauvegarde et surveillance des événements de sécurité. Signaler les incidents — notifier rapidement au FSTEC de Russie les incidents informatiques survenant sur les objets de l'IIC et interagir avec le Système d'État de détection, de prévention et d'élimination des conséquences des attaques informatiques (GosSOPKA). Réaliser la certification — confirmer la conformité du système de protection aux exigences de sécurité en effectuant des essais de certification. Depuis 2025, une interdiction d'utiliser des logiciels étrangers sur les objets de l'IIC a été introduite (sauf cas où il n'existe pas d'analogues nationaux).

Responsabilité en cas de violation de la 187-FZ

Des responsabilités administrative et pénale sont prévues en cas de non-respect des exigences de la loi. Amendes administratives — pour les fonctionnaires jusqu'à 500 000 roubles, pour les organisations jusqu'à 1 000 000 de roubles (en vertu de l'article 13.14 du Code des infractions administratives de la Fédération de Russie pour violation des exigences de protection de l'information). Des amendes sont également prévues pour le non-respect des ordres du FSTEC, le défaut de fourniture d'informations ou la fourniture d'informations inexactes. Responsabilité pénale — l'article 274.1 du Code pénal de la Fédération de Russie « Influence illégale sur l'infrastructure informationnelle critique de la Fédération de Russie » prévoit une peine pouvant aller jusqu'à 8 ans d'emprisonnement pour la création, la distribution ou l'utilisation de programmes malveillants visant les objets de l'IIC. Déqualification — pour les fonctionnaires, une déqualification pouvant aller jusqu'à 3 ans est prévue en cas de violation répétée. Suspension d'activité — le tribunal peut décider de suspendre l'activité de l'organisation jusqu'à l'élimination des violations. Pour minimiser les risques, il est recommandé de réaliser un audit régulier des systèmes de sécurité, de mettre à jour rapidement les moyens de protection et de faire procéder à la certification des objets de l'IIC dans les délais établis.