Переход на доверенные ПАК: требование регулятора или рынка?

Постановление правительства № 1912, где прописан обязательный перевод объектов критической информационной инфраструктуры (КИИ) на так называемые доверенные программно-аппаратные комплексы (ПАК), вышло в ноябре 2023 года. Это не первый документ, ужесточающий требования к ПАК, и, надо полагать, не последний: вопросы технологической безопасности и независимости, локализации производства оборудования сегодня оказались в числе самых актуальных.

Какие изменения ждут банки и телеком-компании в целом понятно, однако добывающая индустрия и работающее здесь оборудование очевидно имеют свою специфику. Как новые требования отразятся на отрасли, насколько сложным будет переход и готов ли к новым реалиям рынок?

Для начала разберемся в терминологии. Простыми словами, объекты КИИ — это системы, отказ которых может привести к тяжёлым последствиям: авариям, экологическим катастрофам или значительному экономическому ущербу, объясняет заместитель директора по развитию АО «НВИЦ «Радиус» Руслан Смирнов.

На добывающих предприятиях под это определение попадают прежде всего АСУТП, диспетчерские системы, системы связи и передачи данных, мониторинга и управления производственными процессами, интегрированные с корпоративными или внешними сетями.

«Перечень типовых объектов КИИ для рудников точно зафиксирован в документе „Перечень типовых объектов критической информационной инфраструктуры Российской Федерации, функционирующих в области горнодобывающей промышленности (в части руд и камней)”, опубликованном 25 января 2024 года.

Данный список является вполне исчерпывающим и включает в себя 36 важнейших ПАК, обеспечивающих практически все ключевые технологические процессы рудника — от систем управления технологическим процессом подготовки и хранения сырья до систем позиционирования шахтёров», — уточнил директор по развитию ООО «НПФ «Гранч» Алексей Орёл.

Добавятся ли к имеющимся пунктам ещё какие-то, пока вопрос. Изменения точно будут, но, скорее всего, нас ожидает не механическое расширение списка, а уточнение и структуризация объектов, рассуждает директор ООО «Альфа-Сейфти» Денис Коломыцев.

«Подход „включить всех, а потом разбираться” на начальном этапе был оправдан: отрасль крайне разнообразна, и риски недоучёта были высоки. Однако по мере накопления практики регуляторного применения становится очевидно, что перечень субъектов КИИ должен фокусироваться на действительно критически значимых предприятиях и системах.

Если же смотреть именно на „объекты” КИИ внутри добывающих компаний, то здесь, скорее, следует ожидать пересмотра состава защищаемых систем. Часть автономных или изолированных АСУТП, не имеющих подключения к корпоративным или глобальным сетям и работающих без обновлений, со временем может быть выведена из-под наиболее жёстких требований.

При этом повышенное внимание, наоборот, будет уделяться современным системам — в том числе решениям с элементами машинного зрения, edge-AI и облачной интеграции, которые часто поставляются как часть оборудования и формально могут оставаться вне фокуса регулирования», — считает эксперт.

Алексей Орёл уверен, что послаблений ждать не стоит: требования будут только ужесточаться, а общий вектор на использование полностью отечественных ПАК определённо сохранится.

«С момента выхода указа президента № 166 от 30.03.2022 года „О мерах по обеспечению технологической независимости и безопасности критической информационной инфраструктуры Российской Федерации”, в котором впервые были прописаны не только задачи, но и сроки их исполнения, вышел целый ряд документов по данной тематике, но ни один из них не снизил требования. Все они появляются только с целью разъяснения существующих и введения новых терминов», — обратил внимание эксперт НПФ «Гранч».

«В 2025 году правительство РФ получило право утверждать отраслевые перечни. Это явно говорит о том, что таковые не являются статичными. На мой взгляд, „Перечень” будет корректироваться и дополняться, так как механизм его расширения формализован на законодательном уровне, — добавил Руслан Смирнов.

Российские реалии: производители и заказчики

Пожалуй, удивляться здесь нечему. Многие годы российские заказчики приобретали информационные системы и оборудование, созданные сторонними — зарубежными — разработчиками. Но, с одной стороны, мы видим, как возрастает значение этих продуктов во всех сферах — добывающая отрасль не становится исключением.

С другой же, заметно выросли российские производители, которые научились не только внедрять и адаптировать системы, но и создавать их. Пришло время закрепить эти изменения в виде нормативных требований. Работать приходится в темпе: до конца 2029 года все используемые на добывающих объектах ПАК должны получить статус доверенных.

«Работу этих ПАК должно обеспечивать российское программное обеспечение, внесённое в реестр Минцифры, а их аппаратная часть должна быть произведена на российских предприятиях и внесена в реестр российской радиоэлектронной продукции», — объяснил Алексей Орёл.

В структуре этого рынка уже разбирался «Коммерсантъ», чьи авторы говорят о присутствии здесь большого числа игроков — и крупных компаний, и небольших стартапов. Генеральный директор АО «ДатаРу» Роман Гоц оценил объём рынка ПАКов (включающий сеть, серверы, системы хранения данных и ПО: от систем управления базами данным до ИБ-решений) в 50 млрд руб. по итогам 2023 года. Однако это картина по индустрии в целом: мир добывающей промышленности оказывается куда теснее.

Алексей Орёл рассказал пугающий факт: по состоянию на январь 2026 года в этом самом реестре Минцифры нет ни одного ПАК для подземной добычи из упомянутого выше «Перечня», который имел бы статус доверенного. То есть в ближайшие четыре года горные предприятия обязаны перейти на продукцию, которой в строгом смысле слова пока нет.

То есть сами отечественные решения есть, причём современные системы, созданные российскими разработчиками, являются абсолютно конкурентоспособными. Алексей Орёл отмечает, что и до 2022 года наши поставщики обходили на тендерах европейцев, а по своим возможностям российские решения не только не уступают импортным, но и превосходят их.

Правда, сейчас перед производителями возник новый вызов — на сцене появились конкуренты из КНР. Как говорит Алексей Орёл, по качеству эта продукция едва ли опережает российскую, однако она оказывается заметно дешевле. Эксперт отмечает, что очень важно всё же делать акцент не на стоимости, а на функциональности.

Руслан Смирнов полагает, что в ближайшие годы нас ожидает «вынужденное импортозамещение», то есть переход будет обусловлен именно законодательными требованиями. А вот когда обновления «в глобальном масштабе» произойдут, приоритетными станут характеристики функциональности, стоимости и интеграции готовых решений.

«У заказчиков могут быть разные задачи внедрения. Кто-то будет просто формально выполнять требования, а кто-то — действительно стремиться к улучшению технологических процессов. Что же касается качества отечественных разработок, то наши позиции достаточно сильны, особенно в отдельных нишах — скажем, сегментах, связанных с безопасностью и базовой инфраструктурой. В сложных промышленных и инженерных системах мы преуспели за последние годы», — считает Руслан Смирнов.

Как бы то ни было, прямо сейчас, говорит эксперт НПФ «Гранч», и горные предприятия, и производители этих решений активно работают над тем, чтобы привести выпускаемую продукцию в соответствие с новыми требованиями.

«Компаний, которые создают такие системы для объектов подземной горной добычи, в мире единицы, однако две-три из них находятся именно в России, и они смогут решить поставленную государством задачу.

Но необходимо наладить взаимодействие между госструктурами, которые ставят задачи, и владельцами необходимых технологий. Сегодня в России есть собственные решения и для обеспечения связи во взрывоопасных условиях угольных шахт и рудников, и для управления оборудованием, и для позиционирования подземного персонала, и другие. Однако информации об этих системах нет в реестрах Минпромторга (реестре РЭП) и Минцифры (реестре ПАК). Так что наша задача — в кратчайшие сроки сделать её доступной и для госструктур, и для заказчиков», — подчеркнул Алексей Орёл.

И ещё один момент: на действующих предприятиях продолжают использовать решения, внедрённые в прошлые годы. Их обслуживают, идёт штатная эксплуатация, и коллапса вроде бы не ожидается.

«Значительная часть локальных поставщиков и производителей к таким изменениям готовилась заранее — ещё с 2019 года, когда начали формироваться базовые нормативные документы в области КИИ. В результате многие программные и программно-аппаратные комплексы прошли локализацию с точки зрения архитектуры, разработки исходного кода, политики лицензирования и снижения зависимости от удалённого управления и внешних сервисов обновления.

При этом решения тех вендоров, которые ушли с рынка, по сути, уже несколько лет не развиваются и не лицензируются, что дополнительно усиливает спрос на сопровождаемые и управляемые системы, способные соответствовать требованиям КИИ на протяжении всего жизненного цикла», — объяснил Денис Коломыцев.

Руслан Смирнов тоже отмечает, что пока новые требования ещё не соблюдаются повсеместно — идёт этап адаптации и контроля. Но при этом, по наблюдениям Дениса Коломыцева, на новых объектах или производственных участках требования по защите КИИ применяются в полном объёме уже на этапе проектирования и ввода в эксплуатацию без возможности отложенных изменений.

Спрашивать будут строго

Участники рынка не скрывают: попасть в реестр оказывается очень непросто. Например, НВИЦ «Радиус» уже два года работает над тем, чтобы получить статус доверенных ПАК.

«Это дорогостоящее мероприятие, которое требует тесного взаимодействия как с заказчиками, так и с надзорными органами — для примера отмечу хотя бы надзорную активность ФСТЭК. Рынок столкнулся с нехваткой специалистов в этой отрасли, причём это коснулось не только малых, а вообще всех предприятий. Требования к объектам КИИ и ПАК действительно чрезвычайно жёсткие, комплексные, их соблюдение — это не формальность, а масштабная организационно-техническая задача. И статус доверенного ПАК сейчас имеют лишь единицы», — рассказал Руслан Смирнов.

Примерно так же оценивает ситуацию и Денис Коломыцев. ООО «Альфа-Сейфти» сейчас находится в активной фазе локализации ПАК и отдельных компонентов в контуре КИИ, так что это, опять же, не теория, а реальный опыт. Отмечая все сложности этого процесса, эксперт тем не менее охарактеризовал существующие требования как «адекватные, выполнимые и понятные». Статус доверенных ПАК действительно невозможно получить «автоматически» — даже полностью локальному производителю необходимо проделать значительный объём работы.

«Чем более осознанно выстроен подход к разработке, архитектуре и производству, тем более прогнозируемым и управляемым становится процесс включения ПАК в реестры.

При этом на практике возникают и объективные сложности, связанные прежде всего с составом современных ПАК. Типовая система АСУТП включает широкий набор компонентов: оконечные устройства (датчики, исполнительные механизмы), системы бесперебойного питания и диагностики, протоколы передачи данных, контроллеры, магистральные сети, SCADA/MES-системы для сбора и визуализации данных, интеграцию с аварийными и диспетчерскими службами (АТС, SMS, мессенджеры), а также системы оповещения.

Значительная часть этих компонентов традиционно закупается интеграторами в готовом виде и уже имеет необходимую сертификацию и разрешительную документацию. Однако в текущих условиях каждое предприятие, использующее конкретные типы контроллеров, коммутаторов или сетевого оборудования, вынуждено принимать непростое решение: либо дополнительно доказывать их соответствие требованиям безопасности КИИ, либо исключать их из состава ПАК, что зачастую нарушает устоявшиеся цепочки поставок и влияет на технологические процессы», — рассказал Денис Коломыцев.

Эту же проблему отметил и Алексей Орёл, который посвятил вопросу доверенных ПАК свой доклад на деловой программе выставки «Рудник-2025». Мы уже говорили, что аппаратная часть продукта должна быть внесена в реестр РЭП — без этого ПАК не может считаться доверенным.

И, например, НПФ «Гранч», создавая свой комплекс «Умная шахта», использует датчики сторонних производителей — сейчас у компании их 11. Ни один из этих продуктов в реестр РЭП не внесён, и «Гранч» как заказчик не может заставить своих поставщиков вести эту работу.

Обозначил эксперт и ещё одну сложность. Сейчас у производителей нет возможности внести в реестр ПАК с нефиксированной конфигурацией или количеством устройств, что нелогично, ведь в рудниках по мере продвижения горных выработок системы постоянно дополняются новыми элементами.

Поэтому Алексей Орёл и говорит о необходимости «двустороннего движения»: производители хотят видеть в государственных структурах партнёра, который бы не только ставил задачи, но и помогал в их решении и принимал участие в обсуждении возникающих вопросов.

Заглянем в будущее

Итак, чего следует ждать? Если требования к объектам КИИ не смягчатся, а предпосылок к этому нет, к концу 2029 года российские горные предприятия перейдут на отечественные программно-аппаратные комплексы.

«И этот шаг сделает их более безопасными и технологичными. Я верю, что сейчас для этого есть все возможности, надо только разумно относиться к имеющимся требованиям, и поддержать на данном этапе производителей», — считает Алексей Орёл.

Руслан Смирнов отмечает, что переход на доверенные ПАК абсолютно оправдан с точки зрения устойчивости государства — это вопрос цифрового суверенитета.

Что же касается экономических эффектов этого перехода, то Денис Коломыцев полагает, что существующие нормативные требования станут драйвером развития для производителей ПАК: естественным образом они будут развиваться по модели экспртоориентированности. Ведь как их продукция вообще оказалась на российском «бедном» рынке, где предприятия вообще не были готовы или тем более обязаны приобретать все эти системы безопасности, планирования, телеметрии и так далее?

Дело вовсе не в том, что наши иностранные партнёры беспокоились об условиях работы российских горняков. Они хотели развивать бизнес: продукты были, разработки велись, планы по расширению существовали, расходы на содержание персонала шли, а новых внедрений не было, потому что внутренний рынок насытился. Нужно было выходить на новые — пусть и путём снижения маржинальности. В результате мы получили огромное количество представителей, дилеров, дистрибьюторов и конкуренцию за российские горные объекты.

«Теперь же ситуация повторяется, но уже внутри страны. Предприятия — разработчики систем АСУТП, связи, промышленной безопасности, технологического контроля переносят и организуют собственные производства, сборки, пайки электронных компонентов, центры разработки ПО. И они будут искать выхода на доступные им рынки. Прежде всего в схожем ценовом сегменте, а это Средняя Азия, Ближний Восток, Африка, Латинская Америка. В общем, нас ждут интересные времена», — считает Денис Коломыцев.

Слово экспертам

Денис Коломыцев, директор ООО «Альфа-Сейфти»

«И до появления современных требований российские горные предприятия нередко выбирали российские ПАК, если таковые были. Многие путают понятия, глядя на импортное оборудование, используемое на предприятиях. Конечно, многолетний опыт работы на оборудовании одного и того же производителя формирует и отношение к нему, и чувство надёжности, защищённости. В такой инертной отрасли, как горнодобывающая, это немаловажно.

Однако и у нас умеют считать деньги. Вообще вся история появления российского оборудования или ПО — это экономика. Даже нам как интегратору и дистрибьютору понятно, что цены и себестоимость импортируемых продуктов различаются в разы, и при должном подходе в локализации или „импортозамещении” можно зарабатывать больше, а клиент будет платить меньше».

Алексей Орёл, директор по развитию ООО «НПФ «Гранч»

«Чтобы переход на доверенные ПАК состоялся, необходимо провести совместную работу ведомствам, ответственным за ведение реестров, и предприятиям-производителям и ускорить внесение нужной информации в эти реестры. Производителей, способных выпускать ПАК для подземной добычи, особенно шахт и рудников, опасных по газу и пыли, в мире очень мало.

Я думаю, что в такой ситуации вполне оправдана персональная работа Минпромторга и Минцифры с такими компаниями из России. Речь ведь идёт о целой отрасли экономики, и в своих действиях регулятор должен точно представлять реальные возможности (имеющиеся в стране технологии), чтобы обоснованно требовать от субъектов КИИ в России использовать отечественные решения».

Руслан Смирнов, заместитель директора по развитию АО «НВИЦ «Радиус»

«В последние три года наблюдается колоссальный рост внедрений российского ПО. На данный момент это вынужденная мера для российских предприятий, хотя с технической точки зрения наши разработки уже не отстают от зарубежных. За четыре года мы перевели больше половины наших заказчиков на отечественные инфраструктурные решения, в том числе продукты собственной разработки.

Я думаю, здесь важно сохранить баланс: не преуменьшать достижения российских производителей, но и не игнорировать объективные сложности. На данный момент безопасность и контроль часто перевешивают технические преимущества».