Беларусь обновила правила кибербезопасности для госсектора: новые центры реагирования и список поставщиков

Премьер-министр Беларуси Александр Турчин подписал постановление, которое пересматривает принципы работы национальной системы кибербезопасности. Документ затрагивает госорганы и государственные компании: для них уточняются обязательства по созданию собственных центров реагирования на инциденты, а также правила закупки таких услуг у внешних провайдеров.

Изменения происходят на фоне тревожной статистики. По данным Positive Technologies, на Беларусь приходится 11% всех кибератак, зафиксированных в странах СНГ — почти каждая десятая. При этом страна занимает второе место в мире по абсолютному числу подобных инцидентов.

Что именно изменилось

Постановление решает сразу две практические задачи. Первая — расширение и уточнение перечня ведомств и организаций, которые обязаны либо сформировать собственный центр реагирования на киберинциденты (аналог SOC — Security Operations Center), либо приобрести эту функцию как услугу у профильной структуры.

Вторая задача — определение закрытого списка организаций, у которых госструктуры вправе закупать услуги кибербезопасности напрямую, минуя стандартные тендерные процедуры. Механизм «закупки из одного источника» в белорусском законодательстве применяется в случаях, когда конкурентный отбор нецелесообразен или невозможен — например, по соображениям безопасности или при отсутствии альтернативных квалифицированных поставщиков.

В Совете министров поясняют: цель принятых мер — повысить скоординированность реакции государства на цифровые угрозы и усилить защиту объектов критической информационной инфраструктуры. Под последними, как правило, понимаются энергосистема, транспортные сети, финансовая система и государственные информационные ресурсы.

Кто под угрозой и почему это важно

Статистика атак на Беларусь показывает чёткую отраслевую картину. Промышленный сектор принимает на себя 40% всех зафиксированных инцидентов — это крупнейшая доля среди всех целевых групп. На втором месте госучреждения с 27%, на третьем — финансовые организации с 20%.

Такое распределение неслучайно. Промышленные предприятия нередко используют устаревшие АСУ ТП с ограниченными возможностями обновления, что делает их привлекательной целью для атак типа ransomware и промышленного шпионажа. Госучреждения хранят чувствительные данные граждан и являются мишенью для политически мотивированных группировок. Финансовый сектор традиционно привлекает криминальных акторов.

Для белорусского IT-рынка новые правила имеют и коммерческое измерение. Закрытый список аккредитованных поставщиков услуг кибербезопасности, которым разрешены прямые контракты с госструктурами, фактически формирует привилегированный сегмент рынка. Попасть в этот реестр означает получить гарантированный доступ к госзаказу без участия в конкурентных торгах — серьёзное преимущество для профильных компаний.

Что это значит для бизнеса и IT-отрасли

Компании, работающие в периметре ПВТ или оказывающие услуги в сфере информационной безопасности, окажутся в новых условиях конкуренции за государственный контракт. Включение в «белый список» поставщиков потребует соответствия определённым квалификационным требованиям — скорее всего, наличия лицензий ОАЦ (Оперативно-аналитического центра при Президенте), который традиционно регулирует сферу кибербезопасности в стране.

Для самих госорганов и госкомпаний постановление означает конкретные организационные и бюджетные обязательства. Тем, кто ещё не располагает собственным центром реагирования, предстоит либо выстроить его внутри структуры, либо заключить договор с аккредитованным аутсорсером. Оба варианта требуют выделения финансирования — в условиях, когда кибератаки на страну фиксируются всё чаще.

В более широком контексте обновление регуляторики отражает общемировой тренд: государства переходят от рамочных деклараций о важности кибербезопасности к конкретным, юридически обязывающим требованиям с чётким кругом ответственных. Беларусь в данном случае движется в том же направлении, что и ЕС с его директивой NIS2, вступившей в силу в 2024 году и обязавшей критически важные организации внедрить стандарты управления киберрисками.