Многие организации до сих пор не осознают, что являются субъектами критической информационной инфраструктуры (КИИ), полагая, что этот статус относится только к атомным станциям или оборонным заводам. Однако определение в законе 187-ФЗ гораздо шире. Частная клиника, банк, транспортная компания или городской водоканал — все они являются субъектами КИИ. Попадание в этот периметр влечет за собой обязанность внесения сведений в Реестр значимых объектов КИИ, который ведет ФСТЭК России. Отсутствие в реестре при наличии оснований — это прямое нарушение закона.
Статус «Субъект КИИ» возникает автоматически при наличии информационных систем в одной из 13 сфер деятельности, указанных в ст. 2 187-ФЗ. Специальной регистрации самого субъекта не требуется. Однако субъект обязан выявить свои «Значимые объекты» (ЗОКИИ) и передать данные о них для включения в закрытый государственный Реестр. Нахождение в реестре накладывает жесткие требования по обеспечению безопасности, использованию отечественного ПО и взаимодействию с ГосСОПКА.
Кто попадает в перечень субъектов?
Спектр отраслей, подпадающих под регулирование, очень широк.
Ключевые сферы, где часто возникают вопросы о принадлежности к КИИ:
- Здравоохранение. Любая клиника с МИС (медицинской инфосистемой) и диагностическим оборудованием.
- Транспорт. Перевозчики, логистические центры, системы бронирования билетов.
- Связь. Операторы связи, провайдеры, центры обработки данных (если они обслуживают КИИ).
- Металлургия и Химия. Предприятия с АСУ ТП (станками с ЧПУ, конвейерами под управлением ПО).
- Финансы. Банки и другие финансовые организации, влияющие на устойчивость системы.
Реестр значимых объектов КИИ (ЗОКИИ)
После проведения категорирования, если объекту присвоена 1, 2 или 3 категория значимости, он включается в Реестр.
Что это означает для бизнеса?
- Государственный контроль. ФСТЭК проводит плановые и внеплановые проверки выполнения требований по защите ЗОКИИ.
- Требования к защите. Необходимо внедрить подсистему безопасности согласно Приказу ФСТЭК № 239. Это включает межсетевое экранирование, антивирусную защиту, обнаружение вторжений и др.
- Импортозамещение. Согласно Указу Президента РФ № 166, с 1 января 2026 года органам власти и заказчикам по 223-ФЗ запрещено использовать иностранное ПО на значимых объектах КИИ.
- Подключение к ГосСОПКА. Обязательная передача данных об инцидентах в НКЦКИ.
Как внести изменения или исключить объект?
Реестр — это живой организм. Если вы модернизировали систему, изменили архитектуру или вывели объект из эксплуатации, вы обязаны уведомить ФСТЭК.
Мы помогаем:
- Подготовить уведомление об изменении сведений в Реестре.
- Провести перекатегорирование при изменении условий функционирования.
- Обосновать вывод объекта из эксплуатации и исключение его из Реестра (например, при переходе на аутсорсинг или закрытии филиала).
Аутсорсинг и ответственность
Часто компании передают IT-инфраструктуру на аутсорсинг. Важно понимать: передача функций администрирования не снимает с владельца системы ответственности субъекта КИИ. Договор с интегратором или сервис-провайдером должен четко разграничивать зоны ответственности и содержать требования по соблюдению законодательства о КИИ. Мы разрабатываем такие договоры, защищая интересы владельца объекта.
Понимание своего статуса и присутствие в реестре (или обоснованное отсутствие в нем) — залог спокойной работы. Мы проводим диагностику бизнеса на предмет принадлежности к КИИ и сопровождаем процесс взаимодействия с реестром.
- Юридическая помощь в решении проблемных ситуаций
- Консультации юриста онлайн проводятся Пн-Пт, с 10:00 до 18:00 часов