Документ определяет классы рисков, мотивацию и методы злоумышленника, необходимые и достаточные методы защиты линии контроля и управления БАС с учетом замечаний ФСБ и Минтранса России

Требование о применении сертифицированных ФСБ СКЗИ в составе БАС введено в статью 78.3 Воздушного кодекса РФ Федеральным законом от 04.08.2023 № 488-ФЗ, затем - в постановление Правительства РФ от 30.11.2024 N 1701.

При этом, обязательное требование введено без обоснований в виде исследования технической возможности подмены полетного задания БВС, без технического задания разработчиков БАС, без разработки модели угроз, обосновывающей необходимые уровни защиты.

БАРЬЕРЫ

Требование не содержит соразмерной дифференциации по рискам, характерным для различных условий применения БАС, что фактически блокирует спортивную и образовательную деятельность, удорожает разработку и применение коммерческих БАС, препятствует массовой эксплуатации БАС в нерисковых сценариях, блокирует развитие экспорта, создает высокие риски срыва ГГЗ.

Поскольку СКЗИ является средством особого обращения, то требует:

от разработчика:

• получения от ФСБ России лицензии на разработку СКЗИ;

• лицензии на встраивание СКЗИ;

• сертификации самого средства СКЗИ;

• разработки и согласования модели угроз;

• оценки качества встраивания СКЗИ (оценка влияния).

Только после этого разработчик может выполнить постановку БАС с СКЗИ на производство и затем отгружать изготовленные БАС покупателям.

Срок процедур не менее 12 месяцев в идеальном варианте с административной поддержкой. При ее отсутствии - от 24 месяцев

от эксплуатанта:

• выполнения правил использования средств особого обращения

ХРОНОЛОГИЯ

Вопрос обоснованности требования по применению сертифицированных ФСБ средств криптографической защиты Линии С2 поднимался АЭРОНЕКСТ сразу после появления соответствующей статьи в ВЗК РФ.

05.06.2024 и 28.06.2024 в Минтранс России были направлены письма исх. № 172 и № 217 соответственно- с анализом и замечаниями к тогда еще проекту ППРФ 1701 и предложением о дифференциации требований и переносе срока вправо. (оставлены без ответа).

05.11.2025 исх. № 329 - направлено письмо Ассоциации "АЭРОНЕКСТ" в Минпромторг России и в Президиум Правительственной комиссии по вопросам развития беспилотных авиационных систем с протоколом заседания Общественно-экспертного совета нацпроекта "БАС" от 24.10.2025 № 6 с предложениями в отношении барьеров применения требований по использованию СКЗИ Линии С2 и необходимости переноса срока вступления их в силу (оставлено без ответа).

09.12.2025 № 377 – письмо Ассоциации "АЭРОНЕКСТ" направлено в ФСБ России об избыточности и практической невозможности исполнения в установленные сроки их вступления требований ППРФ 1701 по оснащению СКЗИ. Получен ответ о наличии требований и необходимости их исполнения без обсуждения. 

Подготовка и проведение публичного обсуждения проблемы на форуме НАИС в феврале 2026 года подтолкнули два решения:

сначала появилась рекомендация по итогам заседания Штаба нацпроекта "БАС" Минтрансу России, Росавиации и Ассоциации "АЭРОНЕКСТ" совместно с участниками заседания Штаба провести работу по актуализации модели угроз применения БАС в целях определения класса СКЗИ, применяемых в составе линий управления и контроля БАС различных типов и взлетной массы. (Протокол 04.02.2026 № 13-ШВ/25)

затем поручение поручение по итогам заседания Штаба нацпроекта "БАС" Минтрансу России, Росавиации, Минпромторгу России совместно с Ассоциацией "АЭРОНЕКСТ", разработчиками и изготовителями беспилотных авиационных систем разработать и согласовать с ФСБ России типовую модель угроз. (Протокол 26.02.2026 № 18-АА/25)

Первая версия разработанного документа была направлена в ФОИВ 20.04.2026 письмом Ассоциации "АЭРОНЕКСТ" № 160

Проведенное 01.06.2026 на площадке Минпромторга России совещание показало ряд развилок, которые требовалось уточнить и согласовать при доработке документа.

И главная развилка заключается в правильном определении объекта защиты. 

ОБЪЕКТ ЗАЩИТЫ

Существует три типа объектов, для которых имеет смысл говорить о защите используемой информации. 

При этом для каждого типа объекта ценность представляют разные параметры информации. 

Вот эти объекты:

• Информационная система – в соответствии с Федеральным Законом № 149-ФЗ "Об информации, информационных технологиях и о защите информации" (Статья 2, п.3), в соответствии с ГОСТ Р 51583-2014 "Порядок создания автоматизированных (информационных) систем в защищенном исполнении (п.3.4) - совокупность содержащейся в базах данных информации и обеспечивающих ее обработку информационных технологий и технических средств.
• Киберфизическая система – в соответствии с ГОСТ Р 71531-2024 "Системы киберфизические. Термины и определения" – интеллектуальная система, включающая в себя спроектированные взаимодействующие сети физических и вычислительных компонентов.
• Робот (средство автоматизации) – в соответствии с ГОСТ Р 60.0.0.4-2023 "Роботы и робототехнические устройства" - Программируемый исполнительный механизм, обладающий определенным уровнем автономности (способности выполнять задачи по назначению на основе текущего состояния и восприятия внешней среды без вмешательства человека) и предназначенный для выполнения перемещения, манипулирования или позиционирования.

Классическая "информационная система" предназначена для сбора, хранения, поиска, обработки и распространения информации. Конструктивно информационная система представляет собой вычислительные мощности, устройства ввода-вывода информации, устройства или системы хранения данных, объединенные информационной сетью.

Главная охраняемая ценность в "информационной системе", представляющая интерес для потенциального нарушителя, – персональные данные, конфиденциальная информация или другая информация ограниченного доступа.

Главные риски – потенциальный ущерб, который может быть причинен вследствие завладения чувствительными для личности или организации сведениями. Целостность самой "информационной системы" важна лишь как "инструмента" управления этой информацией.

Кибер-физическая система имеет задачей централизованное управление и координацию работой исполнительных механизмов.

К кибер-физическим системам относятся, например, автоматизированные системы управления умным домом, предприятием или городом.

В отличие от классической информационной системы КФС имеет в своем составе устройства, датчики, и исполнительные механизмы, объединенные информационной сетью с внешними вычислительными мощностями.

Уязвимая ценность КФС – среда управления, получение контроля над которой позволяет вывести из строя или подчинить иному правилу работу всех исполнительных устройств.

Отдельные вычислительные мощности КФС могут содержать ограниченное количество персональной или коммерческой информации, необходимой и достаточной для адресного назначения функций исполнительных устройств.

В общем случае Беспилотная авиационная система является, по сути, роботизированным "средством автоматизации" с разной степенью автономности, предназначенным для минимизации ручного труда или замены традиционных средств на более производительные в целесообразных областях применения (техническое устройство для выполнения физических задач).

Технически данное средство автоматизации является изолированной системой без критической зависимости от взаимодействия с "внешней" средой, без двустороннего взаимодействия с "внешней средой" и с потенциальным односторонним взаимодействием (направленная и/или широковещательная трансляция данных идентификации).

Все датчики, вычислительные мощности, локальные сети и исполнительные механизмы, непосредственно управляющие полетом, размещены в рамках одного корпуса беспилотного воздушного судна, который физически недоступен потенциальному нарушителю при эксплуатации, так как находится в воздухе. БАС не содержит баз данных для хранения защищаемой информации, не предназначена для хранения и обработки персональных данных, конфиденциальной или другой информации ограниченного доступа, и не использует такую информацию для управления и контроля между БВС и пилотом.

Информационный обмен не содержит информацию ограниченного доступа и заключается в обмене оперативной технической информацией и команд с целью её незамедлительного исполнения или учёта.

Сама по себе информация, содержащаяся в Линии С2, создаётся в момент управления БВС и теряет актуальность по завершению полёта.

Уязвимая ценность – само средство автоматизации и/или груз, находящийся на борту БВС.

Главные риски - потенциальный ущерб, который может быть причинён этим "средством" самому себе, владельцу или третьим лицам.

Информация в средстве автоматизации не представляет самостоятельной ценности и важна, например, данные в Линии С2, только как "инструмент" доступа к средству автоматизации.

Наибольшую важность с точки зрения защиты представляет именно корректность и достоверность (целостность) защищаемой информации.

Основную опасность представляет не само раскрытие информации обмена для нарушителя, а возможность несанкционированно воспользоваться этим каналом взаимодействия для перехвата управления БВС.

Команды управления являются типизированными протокольными сообщениями, координаты местонахождения и идентификаторы БВС вещаются в открытом виде по каналам АЗН-В, показания датчиков и устройств БВС не являются ценной, значимой или секретной информацией, местоположение и физическое поведение БВС – доступны методами визуального наблюдения.

Таким образом, канал информационного взаимодействия между БВС и пунктом дистанционного управления (Линия С2) по сути является внутренним технологическим каналом связи БАС, обеспечивающим взаимодействие двух компонентов одной системы (ПДУ и самого средства автоматизации), а основной целью защиты информации является защита целостности, в том числе защита от потенциальной подмены информации в обмене.

МОДЕЛЬ

Доработанная с учетом проведенного исследования и отработанных замечаний модель угроз направлена сегодня 31.07.2026 в ФСБ России, Минтранс и Минпромторг России для очередного круга изучения и, надеемся согласования. 

После согласования модели угроз требования ППРФ 1701 могут быть уточнены в части дифференциации требований по классам рисков применения БАС. 

Проект модели угроз может быть предоставлен членам Ассоциации по письменному официальному запросу. 

Комментарии