КИИ и «критическая инфраструктура» по Указу № 604 - не одно и то же

После выхода Указа Президента от 24.08.2026 № 604 звучат две противоположные логики: «мы не субъект КИИ, значит, указ нас не касается» и «ЦОД — объект связи, значит, это КИИ».
Вначале стоит отметить, что КИИ и Критическая инфраструктура — это два разных правовых режима, которые могут пересекаться.КИИ по 187-ФЗ (Федеральный закон «О безопасности критической информационной инфраструктуры Российской Федерации» от 26.07.2017 №187-ФЗ) — это информационные системы, сети и АСУ субъектов КИИ в установленных законом сферах.
Указ № 604 говорит о физических объектах (по крайней мере так следует из перечисления в начале): ТЭК, промышленности, связи, транспорта, энергетики, жизнеобеспечения и других объектах, имеющих особо важное значение для безопасности, экономики и населения.
В КИИ есть формальная процедура: определение субъекта, категорирование объектов и включение значимых объектов в реестр.Указ № 604 такой процедуры не устанавливает и сам перечень открыт.
Поэтому отсутствие статуса субъекта КИИ ещё не означает, что инфраструктура компании вне действия указа.187-ФЗ устанавливает самостоятельные требования к безопасности КИИ и предусматривает административную и, в определённых случаях, уголовную ответственность.
Указ № 604 в основном опирается на существующие требования безопасности и создаёт дополнительный механизм государственного воздействия — возможность введения временного управления имуществом, ценными бумагами, долями и имущественными правами компании.
Где режимы все же пересекаются
Показательный пример как разы ЦОДы. С 1 марта 2026 года ЦОДы относятся к объектам связи. Но объект связи не становится автоматически объектом КИИ — это зависит от конкретной инфраструктуры и деятельности оператора.
При этом «объекты связи» прямо названы в Указе № 604.То есть: ЦОД может не быть объектом КИИ и одновременно подпадать под режим Указа № 604.Возможна и ситуация пересечения двух режимов. Нарушение требований безопасности на таком объекте потенциально может иметь значение и для применения механизма временного управления. Практики пока недостаточно, поэтому здесь корректнее говорить о юридической возможности, а не о сложившейся позиции.
Что это значит для бизнеса
Главный вывод: проверять нужно не только собственный статус, но и статус инфраструктуры, с которой компания работает.И отдельно: каким бы ни был статус ЦОДа, обязанности оператора персональных данных по их защите остаются на вашей стороне.
#кии
#цод
#цифровоерегулирование
#комплаенс