Документы для категорирования объектов КИИ по ПП №127

Чтобы категорировать объекты КИИ по ПП РФ № 127, субъекту нужен комплект документов: приказ о комиссии, положение о комиссии, перечень информационных систем, список выявленных объектов КИИ, перечень критических процессов, акт категорирования с оценкой по показателям пяти групп значимости и сведения для ФСТЭК по форме Приказа ФСТЭК № 236. Ниже — состав документов по этапам, сроки и типичные ошибки.

В рамках категорирования каждому объекту КИИ присваивается одна из трёх категорий значимости либо констатируется отсутствие значимости. От категории зависят требования к защите, сроки подачи документов в ФСТЭК, виды контроля и размер ответственности за нарушения.

Все организации, попадающие под критерии субъекта КИИ:

• Государственные органы и учреждения, имеющие информационные системы или АСУ
• Российские юридические лица, владеющие информационными системами и сетями связи в 14 сферах из ст. 2 187-ФЗ: здравоохранение, наука, транспорт, связь, энергетика, госрегистрация прав на недвижимость, банковская сфера, ТЭК, атомная энергия, оборонная промышленность, ракетно-космическая, горнодобывающая, металлургическая, химическая промышленность
• Российские юридические лица, обеспечивающие взаимодействие информационных систем и сетей субъектов КИИ (ст. 2 187-ФЗ)

Индивидуальные предприниматели с 1 сентября 2025 года не относятся к субъектам КИИ (58-ФЗ).

Если вы пока не уверены, относится ли ваша организация к субъектам КИИ — изучите пошаговую инструкцию по определению субъекта КИИ. Категорирование — следующий обязательный шаг после установления статуса субъекта. Как оформить итог — смотрите образец акта категорирования.

ПП РФ №127 предусматривает три категории значимости плюс констатацию отсутствия значимости. Категория определяется по 5 показателям критериев значимости: социальная, политическая, экономическая, экологическая, обороноспособности.

Как определяется категория

По каждому из 5 показателей рассчитывается уровень последствий, и выбирается наибольший. Если хотя бы по одному показателю последствия «катастрофические» — присваивается К1, «существенные» → К2, «ограниченные» → К3.

Социальная значимость (примеры)

• Количество пострадавших граждан при нарушении работы объекта
• Возможные жертвы (для критических медицинских и транспортных систем)
• Размер территории, попадающей в зону влияния

Экономическая значимость

• Ущерб бюджету РФ или субъекта РФ
• Ущерб владельцу объекта
• Ущерб другим лицам — клиентам, контрагентам, населению

Политическая и оборонная значимость

• Влияние на внутреннюю и внешнюю политику
• Влияние на работу госорганов
• Связь с обороноспособностью страны

Экологическая значимость

• Возможность техногенных катастроф
• Загрязнение окружающей среды
• Радиационные, химические, биологические риски

Расчёт по каждому показателю требует экспертной оценки и обоснования. Это самый ответственный этап категорирования — занижение категории грозит ответственностью и замечаниями при проверке ФСТЭК, завышение — неоправданно высокими затратами на защиту.

Процедура категорирования по ПП РФ №127 состоит из пяти последовательных этапов. Нормативного общего срока нет — п. 15 ПП №127 утратил силу; продолжительность зависит от числа и сложности объектов.

Этап 1. Создание комиссии по категорированию (1-2 недели)

Руководитель субъекта КИИ издаёт приказ о создании комиссии. В состав включаются: руководитель или его заместитель (председатель), специалисты по информационным технологиям, специалисты по информационной безопасности, представители подразделений, эксплуатирующих информационные системы. Минимальный состав — 5 человек. Комиссия отвечает за весь процесс категорирования.

Этап 2. Выявление объектов КИИ (1-2 месяца)

Комиссия выявляет все информационные системы, сети связи и автоматизированные системы управления в организации. По каждой системе определяется, относится ли она к объектам КИИ. Комиссия сверяет их с перечнями типовых отраслевых объектов КИИ своей сферы (пп. «а» п. 14 ПП №127); сфер в 187-ФЗ — 14. Результат — список выявленных объектов КИИ. Утверждать перечень объектов и направлять его во ФСТЭК с 2024 года не нужно (ПП №1281).

Этап 3. Оценка показателей и расчёт категории (1-3 месяца)

По каждому выявленному объекту комиссия оценивает 5 показателей значимости (социальный, политический, экономический, экологический, обороноспособности). Для каждого показателя — уровень последствий: катастрофические/существенные/ограниченные/отсутствуют. Максимальный уровень определяет категорию объекта. Все расчёты документируются с обоснованиями — это критично для прохождения проверки ФСТЭК.

Этап 4. Утверждение акта категорирования (1-2 недели)

По каждому объекту КИИ оформляется акт категорирования, содержащий: наименование объекта, краткое описание, перечень критических процессов, результаты оценки по 5 показателям, обоснование категории. Акт утверждается руководителем субъекта КИИ.

Этап 5. Направление сведений в ФСТЭК (10 рабочих дней)

Сведения о результатах категорирования направляются в ФСТЭК России в течение 10 рабочих дней со дня утверждения акта. Форма установлена Приказом ФСТЭК России от 22.12.2017 №236. Включает: наименование субъекта КИИ, перечень объектов с присвоенными категориями, краткое обоснование. ФСТЭК вносит сведения в Реестр значимых объектов КИИ.

После категорирования начинается следующий этап — создание системы безопасности объекта КИИ по Приказу ФСТЭК №239 (для объектов первой и второй категории — обязательна аттестация). Это уже отдельный проект с собственными сроками и бюджетами.

Пакет документации по категорированию — основная база для прохождения проверки ФСТЭК и подтверждения правильности присвоенной категории.

Организационно-распорядительные документы

• Приказ о создании комиссии по категорированию — состав, председатель, полномочия
• Положение о комиссии — порядок работы, регламент заседаний
• Приказ об утверждении актов категорирования по каждому объекту

Документы по оценке

• Перечень информационных систем, АСУ и сетей связи субъекта КИИ — все системы организации
• Список выявленных объектов КИИ — системы, соответствующие типовым отраслевым объектам; рабочий документ комиссии, во ФСТЭК не направляется
• Перечень критических процессов субъекта КИИ — основа для оценки значимости
• Результаты анализа последствий по каждому объекту по 5 показателям
• Обоснование расчётов по каждому показателю — с привязкой к фактическим данным организации

Акты и отчёты

• Акт категорирования объекта КИИ по каждому объекту (или акт об отсутствии категории значимости)
• Протокол комиссии по категорированию — фиксирует ход рассмотрения, принятые решения, особые мнения
• Сведения о результатах категорирования для направления в ФСТЭК России (по форме Приказа ФСТЭК №236)

Документы по поддержанию категории

• Регламент пересмотра категории — при изменениях в системе или процессах
• Журнал учёта изменений категорий
• Уведомление ФСТЭК о смене категории (при необходимости)

Для пакета документов по категорированию готовится конструктор «Кибероснова Документы»: он соберёт документы по ответам анкеты (отрасль, состав информационных систем, критические процессы). Конструктор в разработке, ранний доступ — через лист ожидания.

Сроки категорирования задают ПП РФ №127 и отраслевые особенности категорирования. Общий срок категорирования (п. 15 ПП №127) утратил силу по ПП №1281 от 19.09.2024. Своевременность сведений проверяет ФСТЭК России.

Сроки по ПП №127

• Сведения о результатах категорирования — во ФСТЭК России в течение 10 рабочих дней со дня утверждения акта (п. 17)
• Создаваемые объекты КИИ — часть сведений в течение 10 рабочих дней после утверждения требований к объекту, остальные — в течение 10 рабочих дней после ввода в эксплуатацию (п. 18)
• Изменение сведений — новые сведения не позднее 20 рабочих дней со дня изменения (п. 19(1))

Сроки пересмотра категорий

Категории пересматривают не реже раза в 5 лет, если отраслевые особенности не задают иной срок, а также при изменении показателей критериев значимости, их значений или отраслевых особенностей категорирования (п. 21 ПП №127). Поводы проверить, не изменились ли показатели:

• Расширение или сокращение функций объекта КИИ
• Изменение перечня обрабатываемой информации
• Объединение или разделение объектов
• Изменения в нормативной базе (например, ужесточение требований к отрасли)
• Серьёзные инциденты безопасности на объекте

Ответственность за непредставление сведений

Непредставление сведений во ФСТЭК России или нарушение сроков их представления — ч. 1 ст. 19.7.15 КоАП РФ:

• Для должностных лиц: штраф от 10 000 до 50 000 рублей
• Для юридических лиц: штраф от 50 000 до 100 000 рублей

Повторное нарушение (ч. 3): должностные лица — от 50 000 до 100 000 рублей, юридические лица — от 100 000 до 200 000 рублей. За непредставление информации в ГосСОПКА или нарушение порядка и сроков (ч. 2) юридическим лицам грозит штраф от 100 000 до 500 000 рублей.

Уголовная ответственность по ст. 274.1 УК РФ

Нарушение правил эксплуатации средств обработки охраняемой информации в КИИ или правил доступа к ней, если оно повлекло уничтожение, блокирование, модификацию либо копирование этой информации, наказывается по ч. 3 ст. 274.1 УК РФ «Неправомерное воздействие на критическую информационную инфраструктуру Российской Федерации»:

• Принудительные работы до 5 лет
• Лишение свободы до 6 лет
• Если деяние повлекло тяжкие последствия (ч. 5) — лишение свободы от 5 до 10 лет

Это самая жёсткая санкция в области информационной безопасности: за нарушение правил эксплуатации объектов КИИ ответственным лицам грозит реальный срок лишения свободы.

Анализ практики ФСТЭК за 2024-2025 годы показывает топ-7 ошибок, которые приводят к замечаниям ФСТЭК или штрафам. Их можно избежать на этапе подготовки.

Ошибка 1. Не все объекты КИИ выявлены

Самая частая проблема — в перечень не включены объекты, которые формально подпадают под критерии 187-ФЗ. Например, упускают системы видеонаблюдения с распознаванием лиц, корпоративные SAP/1С если они обрабатывают критические процессы, IT-сервисы для дочерних структур из отраслей КИИ. ФСТЭК при проверке выявляет такие объекты и требует категорирования с применением штрафов за нарушение сроков.

Ошибка 2. Занижение категории значимости

Соблазн поставить категорию ниже для экономии на защите — типичная ошибка. ФСТЭК пересматривает категории при инцидентах или плановых проверках. Если фактические последствия инцидента оказались выше заявленных в акте категорирования — замечания ФСТЭК, штраф и риск уголовной ответственности по ст. 274.1 УК РФ для руководителей.

Ошибка 3. Шаблонные обоснования

Обоснования расчётов значимости часто пишут «под копирку» — одинаковые формулировки для разных объектов. ФСТЭК принимает только индивидуальные обоснования с привязкой к фактическим данным организации. Шаблоны из интернета не работают.

Ошибка 4. Несоответствие документов реальной инфраструктуре

В акте категорирования описана одна архитектура, в реальности — другая. Это вылавливает ФСТЭК через сверку с проектной документацией СЗИ и техническими спецификациями.

Ошибка 5. Несвоевременное направление сведений в ФСТЭК

10 рабочих дней — жёсткий срок. Многие субъекты КИИ оформляют акт категорирования, но забывают направить сведения в ФСТЭК. Через несколько месяцев — штраф по ст. 19.7.15 КоАП за нарушение порядка предоставления сведений.

Ошибка 6. Отсутствие пересмотра категории при изменениях

После категорирования объект меняется (расширяется, обновляются процессы), но категория не пересматривается. ФСТЭК при следующей проверке выявляет несоответствие категории фактическому состоянию.

Ошибка 7. Игнорирование комиссии по категорированию

Решения принимаются без проведения заседаний комиссии, протоколы пишутся задним числом. При проверке ФСТЭК запрашивает протоколы и подтверждение участия членов комиссии (подписи, табели рабочего времени). Несоответствие — основание для пересмотра всей процедуры.

Чтобы избежать этих ошибок, многие субъекты КИИ привлекают специалистов по категорированию объектов КИИ: внешняя экспертиза, актуальные шаблоны документов, методология расчётов под конкретную отрасль.

Категорирование — самый сложный с точки зрения документации этап работы субъекта КИИ. Пакет документов с перекрёстными ссылками, обоснованиями по 5 показателям значимости и индивидуальными расчётами под каждый объект. Самостоятельная разработка занимает 2-3 месяца, через консалтинг — от 200 000 до 500 000 ₽.

Сравнение способов категорирования

Что есть в Кибероснова Документы

• Бесплатные образцы документов — в разделе «Документы».
• Бесплатная проверка сайта — сканер /audit находит типовые нарушения 152-ФЗ.
• Конструктор документов в разработке — ранний доступ со скидкой 50 % на первый платёж.

Запишитесь в лист ожидания «Кибероснова Документы» — конструктор в разработке, участникам раннего доступа — скидка 50 % на первый платёж. Готовые акты, перечни, обоснования, сведения для ФСТЭК.

Категорирование — не финал, а начало работы по защите объектов КИИ. После получения категории субъект обязан создать систему безопасности значимого объекта в соответствии с Приказом ФСТЭК России от 25.12.2017 №239.

Состав системы безопасности значимого объекта КИИ

• Организационная структура — служба или подразделение по защите КИИ, ответственные лица
• Нормативная база — политика безопасности, регламенты, инструкции
• Технические меры защиты — сертифицированные средства защиты информации (СЗИ), системы обнаружения вторжений, антивирусная защита
• Меры реагирования на инциденты — взаимодействие с ГосСОПКА (Государственная система обнаружения, предупреждения и ликвидации последствий компьютерных атак)
• Системы мониторинга и аудита — журналирование событий, периодические проверки

Подключение к ГосСОПКА

Все значимые объекты КИИ обязательно подключаются к ГосСОПКА — государственной системе обнаружения, предупреждения и ликвидации компьютерных атак. Это требование ст. 9 187-ФЗ. Подключение осуществляется через НКЦКИ (Национальный координационный центр по компьютерным инцидентам).

Приёмочные испытания или аттестация

Значимый объект и его подсистему безопасности оценивают приёмочными испытаниями; аттестация обязательна, если объект — ГИС, а в остальных случаях проводится по решению субъекта или по закону (п. 12 Приказа ФСТЭК №239). Подробно процедура описана в нашем гайде «Аттестация ГИС: этапы, документы, подготовка» — аналогичная процедура применяется и для значимых объектов КИИ (с учётом специфики 187-ФЗ).

Сроки по нормам

• Сведения о результатах категорирования во ФСТЭК — в течение 10 рабочих дней со дня утверждения акта (п. 17 ПП №127)
• Пересмотр категории — не реже раза в 5 лет (п. 21 ПП №127)
• Плановая проверка ФСТЭК — через 3 года после внесения в реестр значимых объектов (ч. 2 ст. 13 187-ФЗ)
• Информирование НКЦКИ об инциденте — не позднее 3 часов для значимых объектов, не позднее 24 часов для иных объектов КИИ (приказ ФСБ России №547)

Кибероснова Документы для субъектов КИИ

Что есть в Кибероснова Документы для субъектов КИИ:

• Категорирование объектов КИИ — порядок по ПП РФ № 127 и шаблоны документов
• Модель угроз значимого объекта КИИ — шаблон документа
• Политика и регламенты ИБ для системы безопасности КИИ
• Конструктор документов — шаблоны ОРД по 187-ФЗ и приказу ФСТЭК № 239; в разработке, ранний доступ — по листу ожидания