Новые требования для фармы: КИИ и защита персональных данных

Согласно проекту Постановления Правительства РФ «Об утверждении Перечней типовых отраслевых объектов критической информационной инфраструктуры» к объектам КИИ будут добавлены информационные системы и программно-аппаратные комплексы (ПАК) фармацевтических организаций по виду деятельности по ОКВЭД 47.73 «Торговля розничная лекарственными средствами в специализированных магазинах (аптеках)» и 46.46 «Торговля оптовая фармацевтической продукцией».

Что это значит?

• Обязательный переход на российский софт и отечественные средства защиты – все значимые системы должны быть отечественными.
• Строгие требования к безопасности: разграничение доступа, антивирусная защита, резервное копирование, защита от утечек, обязательный аудит и мониторинг
• Определение и категорирование объектов КИИ в соответствии с отраслевой методикой, реализация необходимых мер защиты в соответствии с приказами ФСТЭК
• Предоставление информации об инцидентах: при сбоях и нарушениях в информационной системе аптеки должны будут оповещать государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации (ГосСОПКА)

Все субъекты КИИ в России обязаны соблюдать следующие правила:

• с 01.09.2024 г. закупать новые ПАК у доверенных лиц;
• с 01.01.2025 г. уведомить ФСТЭК о планах применения, закупленных ПАК;
• с 1 января 2030 года полностью перейти на использование доверенных ПАК (отечественные, а в случае средств защиты информации - имеющие соответствующие сертификаты регулятора);
• с 1 января 2025 года действует запрет на средства защиты информации, произведенные в недружественных странах (ЕС, США и др.)

Возможные санкции за нарушения:

• Штрафы от 50 до 100 тыс. руб. (КоАП РФ, ст. 13.12.1).
• Уголовная ответственность – до 6 лет лишения свободы в случае возникновения инцидента (например, если из-за нарушений произойдет кибератака).

С 1 июля 2025 года вступили в силу поправки в 152-ФЗ «О персональных данных», которые запрещают:

• Собирать и хранить данные россиян в зарубежных базах данных.
• Обрабатывать информацию (систематизировать, уточнять) за пределами России.
• Ранее закон требовал, чтобы операторы обеспечивали локализацию данных, но не исключал возможности их обработки за рубежом.

Передача персональных данных за границу (ТПД) остается допустимой, так как изменения, вступающие в силу с 1 июля 2025 года, не касаются соответствующих положений Федерального закона № 152-ФЗ.

Трансграничная передача – передача информации за пределы России возможна при выполнении определенных условий: обязательное уведомление Роскомнадзора, законное обоснование для передачи данных и обеспечение их конфиденциальности.

Что делать бизнесу в новых условиях?

1. Перенести базы данных на российские серверы.
2. Обновить документы (политики обработки ПД, согласия).
3. Проверить условия договоров с подрядчиками
4. Провести аудит ИТ-систем – выявить иностранное ПО и несоответствия
5. Совершить переход на российские решения в течение 2025 года.