Армения предлагает пороги в 25 тыс. пользователей и 400 млн драмов для критической информационной инфраструктуры

Критической информационной инфраструктурой (КИИ) в Армении может быть признана система, недоступность которой в результате киберинцидента затронет 25 тыс. и более пользователей или расходы на восстановление и балансовая стоимость которой превысят 400 млн драмов (около $1,1 млн). Проектом постановления правительства предлагается утвердить критерии идентификации КИИ, предусмотренные законом «О кибербезопасности». Проект разработали Министерство высокотехнологичной промышленности и искусственного интеллекта и фонд «Агентство информационных систем Армении».

По закону поставщики услуг, эксплуатирующие КИИ, должны соответствовать более строгим требованиям кибербезопасности. Согласно обоснованию, до сих пор КИИ юридически не урегулированы, а у Комиссии по регулированию информационных систем нет процедурной основы, чтобы оценивать системы и включать их в перечень КИИ.

Четыре критерия

Комиссия будет применять критерии по очереди: каждый следующий, если не применим предыдущий.

1. системный эффект: недоступность системы может затронуть поставщиков услуг в одной или нескольких сферах жизненно важного значения;
2. 25 тыс. и более пользователей;
3. продолжительность и опасность киберинцидента могут существенно повлиять на экономическую активность, окружающую среду, общественный порядок, жизнедеятельность населения, международные отношения, непрерывность управления, национальную безопасность или здоровье населения;
4. расходы на восстановление и балансовая стоимость превышают 400 млн драмов или расходы на создание новой системы и балансовая стоимость превышают 2 млрд драмов (около $5,5 млн).

При установлении порога по числу пользователей за основу взят опыт ЕС. Согласно обоснованию, в Эстонии порог составляет 7% населения, в Германии — 6%.

Как будет формироваться перечень

По данным Комитета госдоходов, государственного регистра юридических лиц и других источников комиссия проверит, соответствует ли деятельность организации хотя бы одному классификатору экономической деятельности в сферах жизненно важного значения. При оценке также учтут данные о крупных налогоплательщиках.

Отправной точкой для первого перечня станут сферы высокой критичности из приложения 1 директивы ЕС 2022/2555 (NIS 2), перечень важнейших объектов под государственной охраной полиции Министерства внутренних дел (постановление правительства № 2073-Н от 27 декабря 2024 года) и методология Агентства ЕС по кибербезопасности (ENISA). В обосновании упоминается также методология Crown Jewels Analysis корпорации MITRE.

Идентифицированные КИИ и эксплуатирующие их организации войдут в перечень, утверждаемый постановлением правительства, и в реестр комиссии. Пересматривать перечень будут не реже одного раза в два года.

Принятие проекта не требует дополнительных средств из госбюджета. Постановление вступит в силу на десятый день после официального опубликования.