Категорирование объектов КИИ

Категорирование объектов КИИ — это не формальная «лицензия» и не автоматическая обязанность любой компании. Сначала организация проверяет, является ли она субъектом критической информационной инфраструктуры (КИИ), какие информационные системы, сети и автоматизированные системы управления связаны с ее критическими процессами, а затем оценивает последствия возможных компьютерных инцидентов.

Порядок установлен Федеральным законом № 187-ФЗ и Правилами категорирования, утвержденными постановлением Правительства РФ № 127. В 2025 году правила уточнены постановлением № 1762; при проверке перечня типовых объектов также учитывают распоряжение Правительства № 360-р от 26.02.2026.

Кто является субъектом КИИ

К субъектам относятся государственные органы и учреждения, а также российские юридические лица, работающие в сферах, перечисленных в статье 2 закона № 187-ФЗ и отраслевых перечнях. Индивидуальные предприниматели с 1 сентября 2025 года исключены из круга субъектов КИИ. Само наличие сайта, серверов или автоматизации не делает организацию субъектом: нужно сопоставить отрасль, роль организации, критические процессы и типовые объекты.

Как проходит категорирование

1. Составляется и утверждается перечень объектов КИИ.
2. Для каждого объекта определяются функции, взаимосвязи и возможные последствия нарушения работы.
3. Рассчитываются показатели значимости по Правилам № 127 и принимается решение о категории 1, 2 или 3 либо об отсутствии значимой категории.
4. Оформляются сведения и акт категорирования, после чего информация направляется во ФСТЭК России.

Если пороговые значения не достигнуты, объект не получает категорию значимости, но результаты категорирования все равно направляются регулятору. ФСТЭК не выдает «разрешение» вместо организации: субъект отвечает за полноту оценки и документов.

Какие сроки и документы учитывать

Процедура должна быть завершена не позднее одного года с даты утверждения перечня объектов. Перечень направляют во ФСТЭК в течение 5 рабочих дней после утверждения, сведения о результатах — в течение 10 рабочих дней. При изменениях перечня действует срок до 20 рабочих дней; пересмотр проводят не реже одного раза в пять лет, если отраслевые правила не устанавливают иной срок.

Обычно готовят перечень объектов, описание критических процессов и систем, обоснование показателей значимости, акт категорирования, схемы взаимодействия и организационно-распорядительные документы. Требования к защите по приказу ФСТЭК № 239 применяются к значимым объектам после присвоения категории.

Типовые ошибки

• считать субъектом любую промышленную, медицинскую или финансовую компанию без отраслевой проверки;
• подменять категорирование аудитом информационной безопасности;
• не учитывать АСУ, сетевые адреса и доменные имена объектов, взаимодействующих с публичными сетями;
• распространять показатель экономического ущерба на все частные ООО, хотя он предусмотрен для определенных организаций;
• обещать «автоматический штраф» за любой пропуск срока — ответственность зависит от состава нарушения и обстоятельств.

Как мы сопровождаем проект

МинпромХелп проводит первичный скрининг статуса субъекта, инвентаризацию систем и процессов, формирует перечень объектов, рассчитывает показатели значимости и готовит пакет для направления во ФСТЭК. До начала работ фиксируем границы проекта и исходные данные, чтобы не включать в него системы, которые не относятся к КИИ.

FAQ

Нужно ли категорировать каждую информационную систему?

Нет. Сначала определяют статус субъекта и связь системы с критическими процессами и типовыми объектами.

Кто присваивает категорию?

Решение принимает субъект КИИ по процедуре Правил № 127 и оформляет результаты для направления во ФСТЭК.

Сколько длится процедура?

Законодательный предел — один год с даты утверждения перечня; фактический срок зависит от числа объектов и готовности исходных документов.

Нужны ли меры защиты сразу?

Для значимого объекта после категорирования выполняются требования к защите информации, включая применимые требования приказа ФСТЭК № 239.

Проверить статус вашей организации

Передайте перечень отраслей, систем и критических процессов — мы подготовим карту применимых норм и последовательность действий.

187-ФЗ на сайте Президента РФ · Правила категорирования № 127 · Документы ФСТЭК России