Короткий ответ, ради которого сюда чаще всего и приходят: субъекты КИИ больше не составляют, не утверждают и не направляют во ФСТЭК перечень объектов, подлежащих категорированию. Соответствующие пункты Правил категорирования утратили силу, изменения вступили в силу 27 сентября 2024 года. Вместо перечня, который раньше готовила каждая организация, используются перечни типовых отраслевых объектов КИИ, формируемые уполномоченными органами и организациями по согласованию с ФСТЭК России.
Проблема в том, что подавляющее большинство статей, шаблонов и «пошаговых инструкций» в интернете описывают старый порядок: составить перечень, утвердить приказом, согласовать с отраслевым органом, направить во ФСТЭК в десятидневный срок, ждать замечаний. Компании до сих пор тратят месяцы на документ, который больше не требуется, — и при этом пропускают то, что действительно нужно сделать. Ниже — что изменилось, что осталось и как теперь выглядит первый этап работы.
Что вы получаете:
- сверку вашей процедуры с действующей редакцией Правил категорирования;
- выявление объектов КИИ по перечням типовых отраслевых объектов вашей сферы;
- корректный состав исходных данных для категорирования вместо устаревшего перечня;
- оформление акта категорирования и сведений во ФСТЭК в требуемой форме;
- разбор ситуации, если перечень был направлен ранее и с ним связаны замечания;
- сопровождение мониторинга со стороны уполномоченного органа.
Кому это нужно
- субъектам КИИ, которые начинают категорирование и ищут, с чего начать;
- компаниям, у которых в работе «висит» неутверждённый перечень по старому порядку;
- организациям, получившим запрос от отраслевого органа или ФСТЭК;
- тем, кто категорирование уже проводил и хочет понять, нужно ли что-то переделывать;
- руководителям служб безопасности, которым подрядчик до сих пор продаёт разработку перечня;
- новым субъектам КИИ — компаниям, только попавшим под действие закона.
Нормативная рамка
- Федеральный закон от 26.07.2017 № 187-ФЗ — определяет субъектов и объекты КИИ, устанавливает обязанность категорирования;
- постановление Правительства РФ от 08.02.2018 № 127 — Правила категорирования объектов КИИ и перечень показателей критериев значимости, в действующей редакции;
- постановление Правительства РФ от 19.09.2024 № 1281 — изменения, которыми у субъектов КИИ снята обязанность разрабатывать перечни объектов для категорирования; вступили в силу 27 сентября 2024 года;
- перечни типовых отраслевых объектов КИИ — формируются уполномоченными государственными органами и российскими юридическими лицами по согласованию с ФСТЭК России; используются как исходные данные для категорирования;
- отраслевые особенности категорирования, утверждаемые постановлениями Правительства по отдельным сферам деятельности;
- приказ ФСТЭК России № 236 — форма направления сведений о результатах присвоения объекту категории значимости.
Что именно изменилось
Было. Субъект КИИ самостоятельно определял перечень объектов, подлежащих категорированию, утверждал его, при необходимости согласовывал с государственным органом или организацией, отвечающими за отрасль, и направлял во ФСТЭК России в установленный срок. Дальше начинался годовой срок на само категорирование, отсчитываемый от даты утверждения перечня.
Стало. Пункты Правил, посвящённые составлению перечня, признаны утратившими силу. Категорированию подлежат объекты, соответствующие типам систем, включённым в перечни типовых отраслевых объектов КИИ. Комиссия по категорированию не «изобретает» перечень, а выявляет у себя системы, соответствующие типовым объектам своей отрасли. Вместе с обязанностью составлять перечень ушёл и привязанный к нему годичный срок категорирования — теперь в Правилах нет явного максимального срока.
Логика изменения. Уполномоченные органы по согласованию с ФСТЭК с 21 марта 2023 года формируют типовые отраслевые перечни. Раз отраслевой ориентир задан централизованно, дублировать его силами каждой организации избыточно.
Что осталось без изменений. Обязанность провести категорирование, создать постоянно действующую комиссию, оформить акт и направить сведения во ФСТЭК в течение 10 рабочих дней со дня утверждения акта. Ушла подготовительная бумага, а не сама процедура — это принципиально. Что включается после присвоения категории — защита значимых объектов КИИ по приказу ФСТЭК № 239.
Как теперь выглядит первый этап
Шаг 1. Определить, являетесь ли вы субъектом КИИ. Признак — осуществление деятельности в одной из сфер, названных в законе (здравоохранение, наука, транспорт, связь, энергетика, банковская сфера и иные финансовые рынки, топливно-энергетический комплекс, атомная энергетика, оборонная, ракетно-космическая, горнодобывающая, металлургическая и химическая промышленность), и наличие принадлежащих вам информационных систем, сетей связи или автоматизированных систем управления. Разбор статуса и обязанностей — субъект КИИ по 187-ФЗ.
Шаг 2. Создать комиссию по категорированию. Постоянно действующая, создаётся решением руководителя. Состав определён Правилами: руководитель или уполномоченное им лицо, специалисты по профильным функциям и по информационным технологиям, работники, обеспечивающие информационную безопасность, при необходимости — представители подразделений по защите государственной тайны и по гражданской обороне. Оформление — документальное оформление комиссии по категорированию КИИ.
Шаг 3. Поднять перечень типовых отраслевых объектов своей сферы. Это документ уполномоченного органа вашей отрасли, согласованный с ФСТЭК. Именно он задаёт, какие типы систем подлежат категорированию. Здесь же проверяются отраслевые особенности категорирования, если для вашей сферы они утверждены: они меняют и состав исходных данных, и порядок расчёта.
Шаг 4. Провести инвентаризацию и сопоставление. Комиссия выявляет ваши информационные системы, сети связи и автоматизированные системы управления, соответствующие типовым объектам. Результат этого шага — внутренний рабочий документ, а не документ для отправки регулятору.
Шаг 5. Собрать исходные данные. Правила прямо перечисляют их состав: сведения об объекте (назначение, архитектура, программные средства, взаимодействие, доступ к сетям), состав обрабатываемой информации и предоставляемые сервисы, декларации промышленной безопасности и паспорта безопасности, где они есть, сведения о взаимодействии с другими объектами и зависимостях, угрозы безопасности информации и данные о компьютерных инцидентах, перечни типовых отраслевых объектов.
Шаг 6. Оценить и присвоить категорию. Оценка масштаба возможных последствий по показателям критериев значимости, присвоение одной из трёх категорий либо решение об отсутствии необходимости её присвоения.
Шаг 7. Акт и сведения. Акт подписывается членами комиссии и утверждается руководителем; в течение 10 рабочих дней со дня утверждения акта сведения направляются во ФСТЭК России в печатном и электронном виде по установленной форме. Что должно быть в акте — разработка акта категорирования КИИ.
Внутренняя опись объектов: почему её всё равно стоит вести
Обязанности направлять перечень во ФСТЭК больше нет, но вести внутреннюю опись объектов КИИ по-прежнему разумно, и вот почему.
Мониторинг со стороны уполномоченных органов. Правила прямо предусматривают, что государственные органы и российские юридические лица ведут мониторинг того, представляют ли субъекты актуальные и достоверные сведения, — с учётом типовых отраслевых перечней и отраслевых особенностей. По результатам мониторинга выявляются, в частности, некатегорированные объекты. Внутренняя опись — это то, чем вы отвечаете на такой запрос за час, а не за месяц.
Пересмотр категорий. Категории пересматриваются не реже одного раза в 5 лет и при изменении показателей критериев значимости. Без внутренней описи каждый пересмотр начинается с инвентаризации заново.
Изменение сведений. При изменении ранее направленных во ФСТЭК сведений новые направляются не позднее 20 рабочих дней со дня изменения. Заметить изменение можно только тогда, когда есть с чем сравнивать.
Новые объекты. Если вы вводите в эксплуатацию систему, соответствующую типовому объекту, категория определяется ещё на этапе формирования требований к ней. Отдельно Правила описывают случай, когда объект типам из перечней не соответствует, но масштаб возможных последствий подпадает под показатели критериев значимости: тогда субъект присваивает категорию, направляет сведения и вносит предложения о дополнении отраслевых перечней.
Если перечень уже был направлен раньше
Ситуация встречается часто: перечень утверждён и направлен по старым правилам, а дальше работа встала. Что с этим делать:
- перечень не отзывается и не аннулируется — направленный документ просто перестал быть обязательным элементом процедуры;
- если категорирование по нему не завершено — доводите его до акта и сведений, ориентируясь уже на действующую редакцию Правил и на типовые отраслевые перечни, а не на состав старого документа;
- если объекты в старом перечне не совпадают с типовыми отраслевыми объектами — сопоставление нужно провести заново, иначе часть объектов останется некатегорированной;
- если по старому перечню были замечания отраслевого органа — оцените, относятся ли они к самому перечню (тогда они утратили предмет) или к выявлению объектов (тогда их нужно отработать).
Общий контекст обязанностей субъекта КИИ и порядок подготовки к проверке — проверка ФСТЭК: подготовка и сопровождение субъекта КИИ.
Что входит в работу
- Аудит текущего состояния: на какой стадии категорирование, какие документы созданы, какие из них устарели.
- Определение статуса субъекта КИИ с письменным обоснованием — включая честный вывод «вы не субъект», если это так.
- Работа с типовыми отраслевыми перечнями и отраслевыми особенностями вашей сферы.
- Организация комиссии: приказ, положение, состав, протоколы.
- Инвентаризация и сопоставление систем с типовыми объектами, формирование внутренней описи.
- Сбор исходных данных в составе, предусмотренном Правилами.
- Акт категорирования и сведения во ФСТЭК по установленной форме, сопровождение проверки и устранение замечаний.
- Разбор устаревших процедур: что из ранее сделанного сохраняет силу, а что нужно переделать.
Сроки и стоимость
Явного максимального срока категорирования в действующих Правилах нет — привязанный к перечню годичный срок ушёл вместе с самим перечнем. Это не означает, что процедуру можно откладывать: обязанность провести категорирование сохраняется, а мониторинг со стороны уполномоченных органов направлен как раз на выявление тех, кто её не исполнил. Жёсткие сроки остались там, где были: 10 рабочих дней на направление сведений после утверждения акта, 20 рабочих дней при изменении ранее направленных сведений, пересмотр категорий не реже одного раза в 5 лет.
По времени работ ориентир такой: для организации с несколькими информационными системами на одной площадке цикл от создания комиссии до направления сведений — недели. Для производственного холдинга с автоматизированными системами управления и филиалами — месяцы, и основное время уходит на сбор исходных данных по технологическим процессам, а не на оформление. Стоимость определяется количеством объектов, числом площадок и отраслевой спецификой. Цены не являются публичной офертой.
Вопросы и ответы
Нужно ли сейчас составлять перечень объектов КИИ?
Нет. Обязанность субъектов КИИ разрабатывать, утверждать и направлять перечень объектов, подлежащих категорированию, снята с 27 сентября 2024 года. Вместо него используются перечни типовых отраслевых объектов КИИ, формируемые уполномоченными органами по согласованию с ФСТЭК.
Значит, категорирование тоже отменили?
Нет, и это главное недоразумение. Отменена только подготовительная процедура. Обязанность выявить объекты, создать комиссию, оценить масштаб последствий, присвоить категорию, оформить акт и направить сведения во ФСТЭК сохраняется полностью.
Где взять перечень типовых отраслевых объектов для нашей отрасли?
У уполномоченного государственного органа или организации вашей сферы — такие перечни формируются ими по согласованию с ФСТЭК России. Если для вашей отрасли утверждены отраслевые особенности категорирования, их нужно поднимать вместе с перечнем: они меняют порядок расчёта.
Мы направили перечень в прошлом году. Это ошибка?
Не ошибка и не нарушение. Просто этот документ больше не является обязательным этапом. Продолжать работу нужно уже по действующей редакции Правил: сопоставить системы с типовыми отраслевыми объектами, при необходимости расширить состав объектов и довести процедуру до акта и сведений.
Есть ли теперь срок, за который нужно уложиться с категорированием?
Явного максимального срока в Правилах нет. Сроки, которые действуют жёстко, привязаны к акту: 10 рабочих дней на направление сведений во ФСТЭК со дня его утверждения и 20 рабочих дней при изменении ранее направленных сведений.
Получить консультацию
Скажите, в какой сфере вы работаете и какие системы у вас есть, — определим, являетесь ли вы субъектом КИИ, какие типовые отраслевые объекты применимы к вам и что из вашей текущей процедуры устарело. Если перечень уже направлялся по старым правилам, разберём, что с ним делать и как довести категорирование до конца без переделки с нуля.
Почта: law@vfs.consulting. Телефон: +7 916 419-16-66.