Проблема: Отсутствие фиксированной суммы в 187-ФЗ. Закон не определяет бюджет, а требует выполнения нормативов ФСТЭК. Реальная стоимость варьируется от 500 тыс. руб. (минимальный ГИС/объект) до десятков миллионов (АСУ ТП/категорированный объект).

Причины:
1. Категория объекта (1-3) — влияет на количество обязательных мер (Приказ ФСТЭК №239).
2. Текущий уровень зрелости — стоимость «догоняющего» соответствия (аудит, доработка, сертификация) выше.
3. Необходимость сертифицированных СЗИ — для КИИ 1 и 2 категории согласно Постановлению ПР РФ №1278 (экономия на «сертификатах» невозможна).

Решение:
Минимальный бюджет (категория 3, ГИС/ИСПДн):
- Аудит и разработка МЗ (модель угроз, ТЗ, Политика ИБ): 150–300 тыс. руб. (одноразово).
- СЗИ (Сертифицированные ФСТЭК, минимальный набор):
- Межсетевой экран (СЗИ от НСД): 80–150 тыс.
- Антивирус + SIEM (базовая): 200–400 тыс./год.
- Повышение квалификации (обязательно для ответственных): 50–100 тыс./чел.
- Итого (первый год): ~500–900 тыс. руб. (без учета АРМ, КриптоПро, VDI).

Для категории 1-2 (АСУ ТП, критичные процессы):
- Аппаратные СКЗИ (ГОСТ 28147-89/КриптоПро): 1,5–3 млн.
- Системы анализа защищенности (MaxPatrol, Positive Technologies): 3–5 млн.
- Итого: от 8 млн (только лицензии + пусконаладка) + ежегодная эксплуатация 20-30% от CAPEX.

Рекомендация: Запросите у ФСТЭК (через форму на их сайте) «Методику расчета затрат» — она непублична, но ее можно получить по официальному запросу. Внутри есть нормативы трудозатрат (человеко-часы), от которых можно считать бюджет. Альтернатива — заказать ТЭО у аккредитованной организации из реестра ФСТЭК (стоимость ~300–500 тыс., зато с цифрами под ваш объект).

Legal Note: Все СЗИ должны быть из Реестра ФСТЭК/ФСБ. Экономия на «несертифицированных» решениях — прямое нарушение 187-ФЗ (ст. 11, штраф до 500 тыс. на юрлицо).