Определение субъекта КИИ по закону 187-ФЗ
Федеральный закон № 187-ФЗ обязывает владельцев критических информационных систем защищать государственные интересы. Статус субъекта КИИ возникает у организации автоматически при наличии лицензий или видов деятельности в стратегических отраслях. Руководители частных клиник, банков и транспортных узлов часто игнорируют этот факт. Они ошибочно считают КИИ прерогативой оборонных предприятий или атомных станций. Закон трактует понятие шире.
Субъект КИИ обязан выявить значимые объекты и передать сведения о них во ФСТЭК России. Игнорирование этого требования влечет административную и уголовную ответственность.
Организация становится субъектом КИИ, если она владеет информационными системами, автоматизированными системами управления (АСУ ТП) или информационно-телекоммуникационными сетями. Эти системы должны обеспечивать работу в определенных секторах экономики. Перечень сфер деятельности зафиксирован в статье 2 профильного закона. Регистрация самого юридического лица в специальном реестре не требуется. Контролю подлежат конкретные ИТ-системы.
Отрасли под контролем регуляторов
Регуляторы относят к субъектам КИИ предприятия из тринадцати ключевых сфер. Если компания оказывает услуги связи или обрабатывает платежи, она попадает под действие закона. Медицинские организации с цифровыми картами пациентов и диагностическим оборудованием также входят в этот список. Промышленные заводы с программным управлением станков обязаны провести аудит своих систем.
Список отраслей, подпадающих под регулирование:
- Здравоохранение и фармакология.
- Транспортная инфраструктура и логистика.
- Связь и телекоммуникации.
- Финансовый сектор и банковские услуги.
- Энергетика и топливная промышленность.
- Атомная энергия и оборонная промышленность.
- Металлургия, химия и горнодобыча.
- Наука и государственное управление.
Владелец системы обязан самостоятельно инициировать процедуру категорирования. ФСТЭК проверяет полноту представленных списков. Если ведомство обнаружит неучтенные системы, оно пришлет предписание о включении объектов в перечень. Отказ выполнять требования регулятора приведет к проверкам прокуратуры.
Процедура категорирования и внесения в реестр
Процесс начинается с создания постоянно действующей комиссии внутри организации. Руководитель издает приказ и назначает ответственных лиц из числа ИТ-специалистов и сотрудников службы безопасности. Комиссия анализирует все бизнес-процессы компании. Цель работы: найти точки, где сбой ИТ-системы приведет к социальному, экономическому или экологическому ущербу. Выявленные системы называют объектами КИИ.
Комиссия оценивает каждый объект по показателям значимости. Существует три категории: первая (высшая), вторая и третья. Если система не соответствует ни одному критерию, ей присваивают статус без категории. Результаты оценки оформляют актом категорирования. Этот документ компания отправляет во ФСТЭК России в течение десяти рабочих дней после подписания.
Реестр значимых объектов КИИ является закрытым государственным информационным ресурсом. Доступ к нему имеют только уполномоченные сотрудники регуляторов.
Этапы работы с Реестром ЗОКИИ:
- Формирование перечня объектов, подлежащих категорированию.
- Согласование этого перечня с профильным министерством или ФСТЭК.
- Оценка масштаба последствий от возможных компьютерных атак.
- Присвоение категории значимости или обоснование ее отсутствия.
- Направление сведений по установленной форме в центральный аппарат ФСТЭК.
- Получение уведомления о включении объекта в Реестр.
Обязанности после включения в реестр
Нахождение в Реестре ЗОКИИ накладывает на бизнес жесткие обязательства. ФСТЭК контролирует выполнение требований по защите информации. Вы должны построить систему безопасности согласно Приказу № 239. Это подразумевает использование сертифицированных средств защиты: межсетевых экранов, систем обнаружения вторжений и средств антивирусного контроля. Регулятор проверяет наличие этих средств при плановых инспекциях.
Субъект КИИ обязан подключиться к государственной системе обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА). Вы должны передавать данные о любых инцидентах в НКЦКИ. Срок уведомления о серьезных атаках составляет несколько часов. За сокрытие информации об инцидентах предусмотрены штрафы по статье 13.12.1 КоАП РФ. Уголовный кодекс предусматривает лишение свободы за нарушение правил эксплуатации ЗОКИИ.
Импортозамещение стало обязательным требованием. Указ Президента № 166 запрещает использование иностранного программного обеспечения на значимых объектах КИИ с 1 января 2026 года. Организациям запрещено закупать софт из недружественных стран. Вы должны заменить операционные системы, базы данных и офисные пакеты на отечественные аналоги. ФСТЭК следит за темпами перехода в ходе проверок.
Изменение сведений и исключение из реестра
Данные в Реестре должны соответствовать реальности. Если вы модернизируете ИТ-инфраструктуру, меняете сетевую архитектуру или обновляете ПО, статус объекта может измениться. Организация обязана уведомить ФСТЭК об изменениях в течение 20 рабочих дней. Перекатегорирование проводят при смене собственника или изменении масштаба деятельности предприятия. Мы готовим пакеты документов для корректировки реестровых записей.
Исключение объекта из Реестра возможно при его выводе из эксплуатации. Если компания ликвидирует систему или переходит на аутсорсинг с полным удалением инфраструктуры, она направляет уведомление регулятору. Простое нежелание числиться в реестре не является основанием для исключения. ФСТЭК потребует доказательства, что объект перестал влиять на безопасность государства или населения.
Взаимодействие с аутсорсинговыми компаниями требует особого внимания. Передача функций администрирования не снимает ответственности с владельца КИИ. Вы должны прописывать требования безопасности в договорах с подрядчиками. Контроль за действиями системных администраторов на аутсорсинге остается вашей обязанностью. Юридическая поддержка помогает распределить риски и избежать санкций за ошибки третьих лиц.