Указ № 604 и критическая инфраструктура: когда бизнес может потерять управление активами

Самая тревожная часть нового указа не в беспилотниках и даже не в словах «временное управление». Если компания плохо защищает критически важный объект или слишком медленно восстанавливает его работу, государство получает механизм вмешательства, который потенциально способен выйти далеко за пределы самого поврежденного завода, склада или узла связи.

При этом говорить «предприятие национализируют за пропущенный дрон» неправильно. Указ Президента № 604 не устанавливает автоматический переход собственности государству. Но документ позволяет временно передать управление всем или частью имущества хозяйствующего субъекта, его ценными бумагами, долями в российских компаниях и имущественными правами. Максимальный срок такого режима не установлен.

Я бы поэтому описывал произошедшее так. Для владельцев и руководителей значимой инфраструктуры безопасность превратилась из технической и регуляторной задачи в корпоративный риск. Плохая защита теперь теоретически способна закончиться не только штрафом, предписанием или простоем, но и потерей самостоятельного управления существенной частью активов.

Кого касается указ и когда государство может вмешаться

Указ вступил в силу сразу после официального опубликования. Формальным поводом для его принятия назван рост угроз объектам критической инфраструктуры в период проведения специальной военной операции. Документ ссылается на федеральный конституционный закон «О военном положении», законы «Об обороне» и «О безопасности».

Перечень объектов сформулирован широко. В него входят ТЭК, промышленность, связь, коммунальная инфраструктура, транспорт, логистика и транспортно-логистические комплексы, энергетика, включая атомную, объекты жизнеобеспечения, критически важные и потенциально опасные объекты.

Но самое широкое место находится в конце определения. Указ добавляет «иные объекты, имеющие особо важное значение» для безопасности, экономической стабильности России и жизнедеятельности населения. Поэтому утверждать, что документ касается исключительно НПЗ, электростанций или оборонных заводов, нельзя. С другой стороны, из текста не следует, что любой склад, цех или узел связи автоматически стал критическим объектом. Статус придется оценивать по назначению конкретной инфраструктуры, ее роли и применимому отраслевому регулированию.

Еще одна деталь часто теряется в новостных пересказах. Указ оперирует понятием хозяйствующего субъекта, а не просто «собственника завода». Через закон «О защите конкуренции» сюда попадают коммерческие организации, некоторые некоммерческие организации, индивидуальные предприниматели, самозанятые и отдельные специалисты, которые ведут профессиональную деятельность на основании регистрации, лицензии или членства в СРО. Дополнительно указ охватывает иностранных контролирующих лиц российских компаний при выполнении заданных законом условий.

Поэтому в сложной структуре бизнеса сначала придется выяснить, кто именно несет обязанности по безопасности конкретного объекта. Собственник недвижимости, эксплуатирующая организация и компания, которой принадлежит оборудование, могут быть разными лицами. Сам указ не разрешает свести анализ только к записи в ЕГРН.

Для запуска механизма предусмотрено несколько самостоятельных оснований:

• меры безопасности не приняли вообще;
• меры приняли несвоевременно;
• нарушили обязательные требования, установленные нормативными актами или решениями уполномоченных органов;
• действия или бездействие хозяйствующего субъекта создают угрозу безопасности либо нормальной работе объекта;
• меры против нападения беспилотников оказались неэффективными;
• работу объекта не восстановили или восстановили несвоевременно.

Отсюда следует важная поправка к громким заголовкам. Указ не является исключительно «законом о защите заводов от дронов». БПЛА названы прямо, но только как один из сценариев. Формулировки про безопасность, нормальное функционирование и восстановление значительно шире.

И еще одна принципиальная оговорка. Проверка, авария или даже зафиксированное нарушение сами по себе не переводят имущество под контроль Росимущества. Для каждого такого случая требуется решение Правительства России, принятое на основании поручения президента. Первый вице-премьер Денис Мантуров заявил, что механизм рассчитан на точечное применение и не означает национализацию. Аналогичную трактовку приводит и опубликованная на SecurityLab информация о новом режиме.

Можно потерять управление не только проблемным объектом

Вот здесь начинается самое интересное для владельца бизнеса. Юридически временное управление вводится не просто «над заводом». Объект критической инфраструктуры выступает причиной вмешательства, а управлять государство может другим, намного более широким набором активов хозяйствующего субъекта.

Указ прямо перечисляет:

• все или часть находящегося в России движимого имущества;
• все или часть находящейся в России недвижимости;
• ценные бумаги хозяйствующего субъекта;
• принадлежащие ему доли в российских юридических лицах;
• имущественные права.

Представим холдинг. Одно юридическое лицо владеет промышленной площадкой, оборудованием, складом и 100% долей транспортной «дочки». На заводе возникла серьезная проблема с безопасностью. Из текста указа не следует, что решение обязано ограничиваться поврежденным цехом или самим заводом. Под временное управление потенциально можно включить и принадлежащую тому же юридическому лицу долю в транспортной компании.

Но обратное утверждение было бы преувеличением. Наличие одного нарушения еще не означает, что государство автоматически получит весь холдинг. Указ разрешает передать «все или часть» имущества. Реальный периметр станет известен только из конкретного решения Правительства.

По общему правилу временным управляющим назначается Росимущество. Правительство по поручению президента может выбрать другое лицо.

Управляющий получает полномочия собственника переданного имущества, но без полномочий по распоряжению. В терминах Гражданского кодекса право собственности обычно включает владение, пользование и распоряжение. Поэтому исключение распоряжения существенно. Управляющий не получает из Указа № 604 свободного права продать переданный завод, подарить имущество или самостоятельно определить его новую юридическую судьбу.

Однако формула все равно дает очень серьезный контроль. Если временное управление введено в отношении доли или акций, практический вопрос о реализации корпоративных прав становится для собственника критическим. Сам указ подробно не объясняет, как именно будут голосовать такими акциями, назначать органы управления компаний, получать доходы или согласовывать отдельные корпоративные решения. Первые реальные постановления Правительства покажут намного больше, чем сейчас можно прочитать в семи пунктах указа.

Расходы временного управляющего оплачиваются из доходов от использования имущества. Что происходит с оставшимся доходом, как рассчитываются расходы, каким образом собственнику компенсируют возможные потери и какая ответственность возникает за ухудшение состояния бизнеса, сам указ подробно не регулирует.

Российский союз промышленников и предпринимателей уже назвал именно ответственность управляющего одним из чувствительных вопросов. Александр Шохин также попросил разъяснить, что государство будет считать «своевременным» восстановлением объекта с учетом масштаба повреждений и типа предприятия.

Почему слово «временное» пока почти ничего не говорит о сроке

В указе нет предельного срока в три месяца, полгода, год или любой другой период. Временное управление прекращается решением Правительства, которое, как и решение о введении режима, принимается на основании поручения президента.

Нет и автоматической конструкции вроде «после устранения нарушения имущество возвращается владельцу через десять дней». Компания может устранить недостаток, восстановить производство и доказать работоспособность защиты, но для прекращения временного управления все равно потребуется отдельное решение.

Российская практика уже знает похожую по конструкции модель. Указ № 302 о временном управлении иностранными активами с 2023 года передавал Росимуществу и другим управляющим пакеты акций и доли Fortum, Unipro, Danone, «Балтики» и других компаний. Часть активов позднее выводили из временного управления отдельными президентскими актами. Новый указ основан на других причинах и охватывает другой круг субъектов, поэтому переносить практику № 302 напрямую нельзя. Но предыдущий механизм хорошо показывает разницу между сохранением титула собственника и реальной возможностью самостоятельно управлять активом.

Еще одна неожиданная деталь касается географии. В Указе № 604 нет оговорки, что механизм действует только там, где введено военное положение. Более того, статья 8 федерального конституционного закона «О военном положении», на который ссылается документ, допускает определенные экономические меры и на территориях, где военное положение не введено. Поэтому бизнесу в условной Москве, Татарстане или Ленинградской области не стоит исходить из предположения, что новый режим его заведомо не касается.

Судебная защита тоже требует аккуратной формулировки. Указ не предусматривает предварительного судебного решения как условия введения временного управления и не содержит собственной подробной процедуры обжалования. Но отсюда нельзя делать вывод, что любые связанные решения в принципе невозможно оспаривать в суде. Судебной практики именно по Указу № 604 пока нет, поэтому реальные границы такой защиты еще предстоит увидеть.

Главная проблема для бизнеса сейчас не БПЛА, а неопределенность

Представим два завода после одинакового повреждения. Первый способен заменить оборудование за двое суток. Для второго нужную турбину или трансформатор производят четыре месяца. Какой срок государство признает своевременным?

То же самое с защитой от беспилотников. «Купить систему против дронов» недостаточно. Часть оборудования только обнаруживает БПЛА, другая классифицирует цели, третья может воздействовать на каналы управления или навигацию. Возможность применять активные средства зависит от законодательства, полномочий предприятия и конкретной технологии. Более того, никакая коммерческая система не гарантирует абсолютной защиты объекта от всех типов беспилотников.

Поэтому юридический риск появляется на стыке требований и результата. Компания может формально выполнить закупку, подписать акт внедрения и получить красивый паспорт системы, но после реальной атаки государство способно поставить вопрос об эффективности принятых мер.

Указ пока не содержит универсальной шкалы эффективности, единого срока восстановления для разных отраслей, обязательного периода на исправление нарушения перед введением временного управления или закрытого перечня документов, которыми собственник должен доказать добросовестность.

Не следует путать новый режим с законодательством о критической информационной инфраструктуре. КИИ по Федеральному закону № 187-ФЗ касается информационных систем, информационно-телекоммуникационных сетей и автоматизированных систем управления субъектов определенных отраслей. Указ № 604 говорит о более широкой критической инфраструктуре, включая физические промышленные, транспортные, энергетические и логистические объекты. Некоторые предприятия одновременно попадают в оба контура, но знак равенства между ними ставить нельзя.

Для ИБ-директора здесь появляется неприятный сценарий. Если информационная система или АСУ ТП обеспечивает функционирование физически критического объекта, киберинцидент теоретически способен привести уже не только к последствиям по 187-ФЗ. Если сбой влияет на безопасность или восстановление объекта в смысле нового указа, вопрос может выйти на совершенно другой уровень. Пока такая практика не сформировалась, поэтому утверждать автоматическую связь нельзя, но учитывать сценарий при анализе рисков разумно.

Что я бы проверил в компании уже сейчас

Панически дробить холдинг или покупать первую попавшуюся «антидроновую пушку» я бы не стал. Гораздо полезнее провести короткий аудит, который отвечает на четыре вопроса.

1. Какие объекты действительно могут попасть в периметр указа. Проверить стоит производство, энергоснабжение, связь, логистику, склады, транспортные узлы, потенциально опасные объекты и инфраструктуру жизнеобеспечения.
2. На кого возложены конкретные обязанности. Нужно разделить собственника недвижимости, оператора, арендатора, владельца оборудования и подрядчиков. Договор с ЧОП или интегратором не отменяет обязанности самого хозяйствующего субъекта, если закон возлагает ее именно на него.
3. Можно ли доказать не только наличие мер, но и их эффективность. Понадобятся результаты испытаний, акты, журналы эксплуатации, обслуживание, учения, технические задания, сроки устранения недостатков и документы о реакции руководства.
4. Что произойдет после успешной атаки или аварии. План восстановления должен содержать реальные сроки, резервное оборудование, альтернативные площадки, подрядчиков, ответственных лиц и порядок фиксации каждого этапа работ.

Отдельно я бы составил карту активов юридического лица, которое отвечает за критический объект. Недвижимость, оборудование, акции, доли в дочерних обществах, лицензии и другие имущественные права теперь нужно рассматривать как единый потенциальный периметр риска.

Если срок ремонта зависит от производителя, импорта, разрешений или уникального технологического процесса, такие ограничения надо документировать заранее. После инцидента намного сложнее доказывать, почему восстановление физически не могло занять неделю вместо четырех месяцев.

Для совета директоров полезен простой вопрос. Если завтра государство сочтет меры безопасности недостаточными, какие еще активы находятся на том же юридическом лице и могут попасть в решение о временном управлении? Ответ часто покажет риск лучше сотни страниц инструкции по безопасности.

Мой вывод такой. Указ № 604 не вводит автоматическую национализацию и не означает, что после каждого попадания БПЛА Росимущество заберет завод. Подобная трактовка была бы паникой вместо анализа. Но и считать новый механизм очередным штрафом за плохую безопасность нельзя.

Государство получило право при определенных условиях временно взять под управление намного более широкий имущественный контур, чем сам проблемный объект. Срок заранее не ограничен, критерии эффективности защиты и своевременности восстановления пока раскрыты недостаточно, а практика применения еще не показывает границы вмешательства.

Поэтому для промышленности, энергетики, связи, транспорта и логистики разумная последовательность сейчас выглядит так: определить потенциально критические объекты, найти применимые требования, устранить просроченные нарушения, проверить реальную эффективность защиты, подготовить сценарий восстановления и понять, какие активы юридического лица окажутся под риском вместе с основной площадкой. Именно последняя часть нового механизма может оказаться для бизнеса самой дорогой.