Перечень КИИ Минпромторг: критерии включения объектов

Перечень КИИ Минпромторга: критерии включения объектов в сфере промышленности

В современном цифровом мире обеспечение безопасности критической информационной инфраструктуры (КИИ) стало задачей государственной важности. Для предприятий промышленного сектора особое значение имеет типовой перечень КИИ Минпромторга, который определяет, какие объекты и системы подлежат особой защите. Правильное определение статуса объекта как субъекта КИИ и своевременное выполнение всех требований законодательства — это не просто формальность, а необходимое условие для непрерывности производственных процессов и избежания серьезных штрафных санкций. Компания «МинпромХелп» готова разобраться в тонкостях этого вопроса и помочь промышленным предприятиям соответствовать всем нормам.

Что такое критическая информационная инфраструктура (КИИ) и правовые основы

Критическая информационная инфраструктура (КИИ) — это совокупность объектов информационной инфраструктуры, информационных систем и сетей электросвязи, которые обеспечивают устойчивое функционирование ключевых отраслей экономики и государства в целом. Их нарушение или вывод из строя может иметь тяжелые последствия для обороны, безопасности, государственного и экономического управления.

Законодательная база регулирования КИИ

Основным нормативным актом, регулирующим отношения в этой сфере, является Федеральный закон от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации». Именно этот закон устанавливает:

Правовые основы обеспечения безопасности КИИ

Обязанности субъектов КИИ

Полномочия государственных органов

Порядок осуществления государственного контроля

Роль Минпромторга в формировании перечня КИИ

Минпромторг России, как федеральный орган исполнительной власти, отвечающий за выработку и реализацию государственной политики в сфере промышленности, уполномочен определять критерии значимости объектов КИИ для промышленной отрасли и формировать соответствующий типовой перечень КИИ.

Типовой перечень КИИ Минпромторга: структура и содержание

Типовой перечень КИИ Минпромторга — это систематизированный документ, который содержит классификацию объектов, относящихся к критической информационной инфраструктуре в сфере промышленности. Этот перечень помогает предприятиям идентифицировать свои активы, которые подпадают под действие закона о КИИ.

Ключевые категории объектов в перечне КИИ

В типовой перечень КИИ Минпромторга включены различные категории объектов, имеющих стратегическое значение для промышленности:

Системы автоматизированного управления технологическими процессами (АСУ ТП)

Информационные системы управления производством

Системы диспетчерского управления

Информационно-вычислительные комплексы для проектирования и конструкторской подготовки производства

Системы контроля и управления доступом на промышленных объектах

Отраслевая специфика перечня КИИ

Перечень охватывает широкий спектр отраслей промышленности, включая:

Металлургическое производство

Химическую и нефтехимическую промышленность

Машиностроение и автомобилестроение

Производство электроники и приборов

Легкую и пищевую промышленность

Предприятия по переработке отходов, чья деятельность связана с обеспечением жизнедеятельности

Критерии отнесения объектов к перечню КИИ Минпромторга

Определение того, относится ли объект к КИИ, осуществляется на основе установленных критериев значимости. Эти критерии детализированы в Приказе ФСТЭК России от 25.12.2017 № 239.

Количественные критерии значимости

К количественным критериям, определяющим принадлежность к перечню КИИ, относятся:

Численность населения, которое может пострадать от нарушения функционирования объекта

Территория, на которой может быть нарушена безопасность населения

Объем потенциального материального ущерба

Количество других субъектов КИИ, которые могут пострадать от инцидента

Качественные критерии значимости

Качественные критерии включают оценку:

Функциональной значимости объекта для отрасли промышленности

Возможности выполнения государственных заказов

Уникальности производимой продукции или предоставляемых услуг

Наличия особых функций в системе государственного управления

Процедура включения объектов в перечень КИИ

Процесс признания объекта субъектом КИИ представляет собой многоэтапную процедуру, требующую тщательной подготовки и взаимодействия с уполномоченными органами.

Этап 1: Идентификация объектов КИИ

На этом первоначальном этапе субъект должен:

Провести инвентаризацию всех информационных систем и сетей

Выявить объекты, соответствующие критериям значимости

Определить степень их значимости

Составить перечень идентифицированных объектов КИИ

Этап 2: Уведомление уполномоченных органов

После идентификации объектов КИИ субъект обязан в течение 10 дней направить уведомление:

В Федеральную службу по техническому и экспортному контролю (ФСТЭК России)

В соответствующий федеральный орган исполнительной власти (для промышленности — Минпромторг России)

Этап 3: Категорирование объектов КИИ

После получения уведомления ФСТЭК России проводит категорирование объектов КИИ, которое включает:

Анализ представленных сведений

Определение категории значимости объекта (первая, вторая или третья)

Составление заключения о результатах категорирования

Направление заключения субъекту КИИ

Обязанности субъектов КИИ после включения в перечень

После официального признания объекта субъектом КИИ и определения его категории значимости на владельца возлагается ряд обязательных требований.

Организационные меры безопасности

Субъект КИИ обязан выполнить комплекс организационных мер:

Назначить ответственных за обеспечение безопасности КИИ

Разработать и внедрить документированную систему обеспечения безопасности

Установить правила доступа к объектам КИИ

Организовать учет и хранение носителей информации

Разработать план мероприятий по обеспечению безопасности

Технические меры защиты

К техническим мерам, обязательным для выполнения, относятся:

Установка средств защиты информации, прошедших сертификацию

Реализация системы мониторинга и управления инцидентами информационной безопасности

Обеспечение резервного копирования информации

Регулярное обновление систем защиты

Проведение аттестации объектов КИИ

Ответственность за нарушение требований к безопасности КИИ

Невыполнение установленных требований к безопасности критической информационной инфраструктуры влечет за собой серьезную ответственность.

Административная ответственность

Кодекс об административных правонарушениях предусматривает:

Штрафы для должностных лиц до 50 000 рублей

Штрафы для юридических лиц до 500 000 рублей

Дисквалификацию должностных лиц на срок до 3 лет

Уголовная ответственность

В особо серьезных случаях может наступать уголовная ответственность по статьям 273, 274, 274.1 УК РФ, предусматривающая:

Крупные штрафы

Лишение права занимать определенные должности

Обязательные или исправительные работы

Ограничение или лишение свободы

Сравнительная таблица категорий значимости объектов КИИ

Часто задаваемые вопросы (FAQ)

Вопрос 1: Все ли промышленные предприятия обязаны включаться в перечень КИИ?
Нет, только те предприятия, объекты которых соответствуют установленным критериям значимости. Однако большинство средних и крупных промышленных предприятий обычно имеют такие объекты.

Вопрос 2: Кто проводит категорирование объектов КИИ?
Категорирование проводится ФСТЭК России с участием федерального органа исполнительной власти в соответствующей сфере (для промышленности — Минпромторг России).

Вопрос 3: Какие сроки установлены для выполнения требований после категорирования?
Конкретные сроки зависят от категории значимости и вида мероприятий, но в целом выполнение основных требований должно быть завершено в течение года с момента получения заключения о категорировании.

Вопрос 4: Нужно ли получать лицензию ФСТЭК для работы с КИИ?
Для осуществления деятельности по технической защите конфиденциальной информации требуется лицензия ФСТЭК. Однако сама по себе работа с объектами КИИ не требует получения отдельной лицензии, но предъявляет строгие требования к системе защиты.

Вопрос 5: Как часто нужно проводить оценку безопасности объектов КИИ?
Периодичность проведения оценок безопасности зависит от категории значимости: для первой категории — не реже раза в год, для второй и третьей — не реже раза в три года.

Заключение

Определение статуса объекта как субъекта критической информационной инфраструктуры и включение в перечень КИИ Минпромторга — это сложный, но необходимый процесс для современных промышленных предприятий. Соблюдение требований законодательства в области безопасности КИИ позволяет не только избежать штрафных санкций, но и обеспечить устойчивость и непрерывность производственных процессов в условиях современных киберугроз.

Компания «МинпромХелп» предлагает комплексные услуги по сопровождению процессов идентификации, категорирования и обеспечения безопасности объектов КИИ. Наши специалисты помогут вашему предприятию выполнить все требования законодательства, разработать необходимую документацию и внедрить эффективную систему защиты. Оставьте заявку на консультацию чтобы получить подробную информацию о наших услугах в области обеспечения безопасности критической информационной инфраструктуры.