Автор: Виктор Соколов, эксперт по экономической политике и международным связям.

Мы привыкли говорить о технологическом суверенитете как о чём-то далёком и абстрактном — что-то про процессоры, софт и серверные стойки. Но весна 2026 года наглядно показала: цена вопроса измеряется не в гигабайтах и террафлопсах, а в прямом физическом ущербе. Когда система безопасности аэропорта висит на импортном ПО, а диспетчерский пульт ТЭЦ работает под управлением ушедшего вендора — это уже не вопрос «импортозамещения». Это вопрос национальной безопасности в прямом, не фигуральном смысле.

Цифры говорят сами за себя. За первые три месяца 2026 года на одну российскую организацию в среднем пришлось 106 DDoS-атак, а нефтегазовая отрасль получила в среднем 155 атак на компанию . Доля атак на критическую информационную инфраструктуру (КИИ) выросла с 47% в 2023 году до 64% в 2024-м . Атаки окончательно перешли из плоскости ИТ в область операционных технологий: вирус-шифровальщик теперь не просто блокирует бухгалтерские таблицы, а провоцирует аварийные режимы на производстве. Хакеры месяцами маскируются под штатную активность, чтобы однажды отключить камеры и датчики, открывая коридор для физической диверсии .

Это не абстрактные страшилки, а реальность апреля 2026 года. Группировка Silver Fox в начале года атаковала российские организации с использованием новых инструментов — вредоносных писем, замаскированных под уведомления налоговой службы. За месяц зафиксировано более 1600 таких атак . Мотивация злоумышленников сместилась с финансовой выгоды на прямое нанесение ущерба, и список уязвимых отраслей расширился на весь реальный сектор экономики .

Где мы находимся сейчас: софт поднимается, железо в пути

Давайте честно и без иллюзий оценим текущую картину.

Программное обеспечение: рывок состоялся. Доля российских средств защиты в госсекторе достигла 95–98% . Это не просто формальное выполнение требований — это реально работающие системы, доказавшие свою надёжность. В качестве примера — история сервиса «Оплата улыбкой» от Сбера. Только за первый квартал 2026 года пользователи совершили 38,7 миллиона биометрических транзакций на сумму 33,6 миллиарда рублей — на 12,8% больше аналогичного периода прошлого года. И весь этот объём обрабатывается на полностью отечественном технологическом стеке: операционная система, система управления базами данных, решение для управления кластерами, система обработки потоковых данных — всё российское .

Миграция на отечественные технологии была не просто формальностью — она дала ощутимый прирост производительности и полный контроль над безопасностью. Время отклика при обработке биометрии — четыре секунды. Отказоустойчивость — 99,99%. И это при том, что сервис развёрнут на 1,3 миллиона терминалов по всей стране .

Другой пример — Дягилевская ТЭЦ в Рязани, где «Росатом Инфраструктурные решения» внедрил собственную IoT-платформу, которая на 100% заместила зарубежные аналоги. Система не просто мониторит оборудование, а использует предиктивную аналитику — выявляет отклонения на ранних стадиях, предупреждая об авариях до их возникновения. Экономия на эксплуатационных и энергозатратах достигает 9–16% .

Аппаратное обеспечение: главная «ахиллесова пята». Если с софтом прогресс очевиден, то здесь зависимость сохраняется. Доля российского оборудования в серверной инфраструктуре и центрах обработки данных — около 18%. Импорт чипов достигает 90%, отечественных станков — не более 25%. Да, российская вычислительная техника используется 60% компаний, но зачастую это сборка из импортных, в первую очередь китайских, компонентов. Ключевое «сердце» компьютера — процессор — в подавляющем большинстве случаев остаётся импортным.

Это критическая, но решаемая проблема. В отличие от ситуации трёхлетней давности, мы перестали зависеть от одного поставщика. Диверсификация поставок, параллельный импорт и форсированное развитие собственных линий сборки создали подушку безопасности. Но вывод очевиден: стратегическая задача на ближайшие пять лет — рывок в микроэлектронике.

Энергетика и ТЭК под прицелом: почему безопасность не терпит импорта

Особого внимания заслуживает топливно-энергетический комплекс. За первые три месяца 2026 года энергетика вошла в тройку самых атакуемых отраслей — 113 DDoS-атак на организацию . И это не случайность, а прямая стратегия противника.

Конвергенция цифровых и физических угроз стала главным трендом последних двух лет. Сценарий, при котором злоумышленники через фишинг проникают в корпоративную сеть, отключают системы безопасности и открывают коридор для физической диверсии, — уже реальность. Взлом почты сотрудника может стать прелюдией к падению дрона на крышу ЦОДа или остановке турбины электростанции. Беспилотные системы стали новым фактором риска, к которому инфраструктура оказалась готова лишь частично .

В этих условиях использование импортного ПО и оборудования на объектах КИИ — это не технический вопрос, а прямая угроза. Когда неизвестно, какие «закладки» оставлены в коде иностранного вендора, каждый сервер — потенциальная точка входа для диверсии. Именно поэтому с 1 марта 2026 года вступил в силу приказ ФСТЭК № 117, который заменяет прежние фиксированные перечни мер защиты на риск-ориентированный подход. Модель угроз перестаёт быть формальным документом и становится управленческим инструментом: на её основе принимаются решения о выборе средств защиты, сегментации сети, организации удалённого доступа .

К чему мы должны прийти: дорожная карта на пять шагов

Я предлагаю не абстрактные пожелания, а конкретную дорожную карту из пяти шагов, которые мы должны реализовать в ближайшие три-пять лет.

Шаг 1. Форсированное импортозамещение на объектах КИИ — без исключений. Указ Президента № 166 установил запрет на использование иностранного ПО на значимых объектах критической информационной инфраструктуры с 1 января 2025 года . Формально срок прошёл — теперь необходимо жёсткое правоприменение. Никаких исключений «под честное слово». Каждый объект КИИ должен пройти аудит используемого ПО и оборудования, а план перехода на отечественные аналоги стать обязательным элементом отчётности.

Поправки к 187-ФЗ о безопасности КИИ уже усиливают требования не только к владельцам объектов, но и к их подрядчикам. Периметр регулирования расширяется: если организация разрабатывает, внедряет или обслуживает систему для субъекта КИИ, она становится частью его риск-профиля. В договорах должны быть закреплены обязательства по соблюдению требований ИБ, раскрытию информации об уязвимостях, контролю обновлений .

Шаг 2. Конвергенция физической и цифровой безопасности. 80% российских компаний до сих пор держат службы охраны и ИТ-департаменты в разных вселенных. Пока охранник на КПП видит подозрительную активность у серверной, айтишник наблюдает аномальный трафик, но информационного обмена между ними не происходит . Эту стену нужно снести.

Речь идёт об объединении физического контроля доступа с цифровым: когда пропуск в здание автоматически блокируется в ту же секунду, что и учётная запись сотрудника в системе. О единых центрах мониторинга, где данные с камер видеонаблюдения, датчиков периметра, систем обнаружения вторжений и анализаторов трафика обрабатываются в одном окне. Это не роскошь, а минимально необходимый уровень защиты.

Шаг 3. Безопасная разработка и DevSecOps как норма. Регулятор уже закрепляет практики DevSecOps на нормативном уровне. Компании, создающие или дорабатывающие программные продукты для КИИ и госсектора, должны доказать наличие встроенных процессов статического и динамического анализа кода, а также композиционного анализа open-source компонентов .

Это не бюрократическая прихоть, а объективная необходимость. Атаки через уязвимости сторонних библиотек и зависимостей становятся одним из ключевых сценариев компрометации. Каждая строка кода, которая попадает на объект КИИ, должна проверяться так же тщательно, как пассажир в аэропорту.

Шаг 4. Кадры для индустрии безопасности. Никакие инвестиции в софт не перекрывают риски человеческого фактора. Человек остаётся самым уязвимым звеном — из-за использования простых паролей, личных устройств для рабочих задач и элементарной доверчивости к «службе поддержки» .

Нам нужна национальная программа подготовки и переподготовки специалистов по кибербезопасности промышленных объектов. Не «общие курсы», а прикладная подготовка, заточенная под специфику отраслей: энергетиков учат защищать турбины, транспортников — диспетчерские системы, промышленников — АСУ ТП.

Шаг 5. Экспорт как драйвер развития. Мы уже прошли стадию, когда импортозамещение было исключительно защитной мерой. Теперь пришло время экспансии. По данным РУССОФТ, российские разработчики ожидают значительного роста экспорта: доля компаний, прогнозирующих увеличение зарубежных продаж, выросла с 17% в 2022 году до 72% в 2023-м. Наибольшие темпы роста ожидаются в Индии (с 3,9% до 11,8%), Африке (с 1,3% до 11,2%), на Ближнем Востоке (с 3,9% до 13,2%) .

Без конкуренции за мировой рынок новые решения неизбежно отстанут от импортных продуктов. Только соревнование на глобальной арене заставляет двигаться вперёд — это закон, который не обойти государственными субсидиями.

Отдельно отмечу концепцию «трансфера технологий» в дружественные страны, когда поставляется не просто российский продукт, а совместный. Эта модель наиболее перспективна в Индии, которая заинтересована в получении «гена технологического суверенитета» для противостояния техническому доминированию и США, и Китая .

Что поставлено на карту

Технологический суверенитет — это не лампочка, которая либо горит, либо нет. Это процесс, напоминающий восхождение на гору. И то, что мы ещё не на вершине, не означает, что мы не прошли половину пути и не разбили базовые лагеря.

Мы заменили тотальную зависимость от Запада на управляемую кооперацию с Востоком, параллельно форсируя собственные разработки. Полная автаркия невозможна и не нужна. Вопрос в том, у кого ключи от главного замка. И сейчас мы активно куём свои.

Время разговоров закончилось. Дальше — только практическая реализация. И те, кто осознает это первыми, получат не только безопасность, но и конкурентное преимущество на годы вперёд.