Категорирование
объектов КИИ
Выстраиваем процесс категорирования объектов КИИ как управляемую процедуру: создание комиссии, инвентаризация объектов, оценка критериев значимости, акт, направление во ФСТЭК — весь цикл под ключ.
Работаем по актуальным требованиям ПП №127 с изменениями ПП №1762, знаем все изменения законодательства и сопровождаем клиентов при проверках ФСТЭК.
Кто является субъектом КИИ?
Субъектами КИИ являются российские организации и ИП, государственные органы и учреждения, которым принадлежат объекты КИИ в 13 критически важных отраслях экономики.
Три категории значимости объектов КИИ
По итогам категорирования объекту КИИ присваивается одна из трёх категорий — в зависимости от масштаба возможных последствий компьютерного инцидента.
Критерии значимости объектов КИИ
Оценка производится комиссией по 5 группам критериев. Категория значимости присваивается по наивысшему показателю из всех применимых критериев для данного объекта КИИ.
Порядок проведения категорирования
С 16 ноября 2025 года действуют обновлённые правила (ПП №1762). Исключено понятие «критических процессов». Объекты КИИ выявляются путём сверки с типовыми отраслевыми перечнями.
Ключевые изменения законодательства о КИИ
Нормативная база в сфере КИИ активно развивается. Актуальные изменения — в работе нашей команды.
Ключевые нормативные документы
Категорирование проводится в строгом соответствии с федеральным законодательством, актами Правительства РФ и нормативными документами ФСТЭК России.
Типовые нарушения и последствия
С мая 2022 года руководитель субъекта КИИ несёт персональную ответственность за инциденты ИБ. Нарушения 187-ФЗ влекут административные и уголовные санкции.
Отсутствие акта, несвоевременное утверждение или неверное присвоение категории. Распространённая ситуация — непредоставление сведений во ФСТЭК в 10-дневный срок или неактуализация сведений после изменений ПП №1762.
Субъект КИИ обязан незамедлительно информировать НКЦКИ (ФСБ) об инцидентах. Сокрытие или несвоевременное уведомление — отдельный состав нарушения. Дополнительно необходимо информировать ФСТЭК о принятых мерах.
ПО из недружественных стран запрещено с 2022 года. С 01.01.2025 госорганам и компаниям с госучастием запрещено иностранное ПО на ЗО КИИ даже из дружественных стран. Предельный срок перехода — 01.01.2028.
Создание и распространение ВПО, неправомерный доступ к охраняемой информации, нарушение правил эксплуатации — ст.274.1 УК РФ. Для особо значимых объектов КИИ предусмотрено лишение свободы до 10 лет.
| Основание | Нарушение | Санкция |
|---|---|---|
| Административная ответственность — КоАП РФ | ||
| ст.19.7.15 | Непредоставление сведений о категорировании во ФСТЭК в установленный 10-дневный срок | ДЛ: 10–50 тыс. руб.; ЮЛ: 50–100 тыс. руб. |
| ч.1 ст.13.12 | Нарушение условий лицензии на деятельность по технической защите информации | ЮЛ: 15–25 тыс. руб. |
| Уголовная ответственность — ст.274.1 УК РФ | ||
| ч.1 ст.274.1 | Создание и распространение ВПО для воздействия на КИИ Российской Федерации | До 5 лет лишения свободы + штраф до 1 млн руб. |
| ч.2 ст.274.1 | Неправомерный доступ к охраняемой компьютерной информации объектов КИИ | До 6 лет лишения свободы + штраф до 1 млн руб. |
| ч.3 ст.274.1 | То же, совершённое группой лиц или с использованием служебного положения | До 8 лет лишения свободы |
| ч.4 ст.274.1 | Нарушение правил эксплуатации средств хранения и обработки на объектах КИИ | До 6 лет лишения свободы |
| ч.5 ст.274.1 | Деяния чч.1–4, повлёкшие тяжкие последствия или создавшие угрозу их наступления | До 10 лет лишения свободы + штраф до 3 млн руб. |
