Акт категорирования объекта КИИ: образец, пример заполнения и типичные ошибки

Акт категорирования объекта КИИ — обязательный документ, фиксирующий результаты работы комиссии по категорированию критической информационной инфраструктуры. Он составляется для каждого объекта КИИ — информационной системы, сети или АСУ — независимо от того, присвоена объекту категория значимости или нет. На основе акта формируются сведения о результатах категорирования, направляемые во ФСТЭК России в 10-дневный срок.

В этом руководстве приведём структуру акта категорирования по ПП-127, образец с обязательными полями, примеры заполнения для трёх типов объектов (ИС, АСУ ТП, незначимый объект), а также разберём типичные ошибки, из-за которых ФСТЭК возвращает документы на доработку. Подробнее о полном процессе категорирования — в статье Категорирование объектов КИИ: инструкция по 187-ФЗ.

Что такое акт категорирования объекта КИИ

Правовое основание: ПП №127 и приказы ФСТЭК

Акт категорирования регулируется следующими нормативными актами:

• Постановление Правительства РФ № 127 (08.02.2018, действует в редакции от 07.11.2025) — устанавливает порядок категорирования, требования к составу акта и порядок направления сведений во ФСТЭК.
• Приказ ФСТЭК № 236 (22.12.2017) — определяет форму направления сведений о результатах категорирования.
• 187-ФЗ «О безопасности КИИ» — устанавливает обязанность субъектов КИИ провести категорирование и направить результаты регулятору.

Пункт 16 ПП-127 определяет перечень сведений, которые должны содержаться в акте. Несоблюдение этих требований — основание для возврата сведений ФСТЭК.

Роль акта в процессе категорирования

Акт категорирования — итоговый документ комиссии по категорированию. Он аккумулирует результаты всех предыдущих этапов:

1. Инвентаризация объектов КИИ — описание объекта.
2. Определение критических процессов — привязка объекта к процессам.
3. Оценка по 14 показателям критериев значимости — ядро акта.
4. Решение о категории — итог работы комиссии.

Акт утверждается руководителем субъекта КИИ и хранится в организации бессрочно. На его основе формируются сведения для ФСТЭК.

Акт vs сведения о результатах: различия

Два документа выполняют разные функции:

Оба документа обязательны. Акт без направления сведений — нарушение. Сведения без акта — нарушение порядка категорирования.

💡 Совет: акт категорирования — финал процесса, который начинается с полной описи объектов КИИ. В платформе КиберОснова перечень объектов, комиссия и акт собираются из реестра активов автоматически — запросите демо, покажем путь от инвентаризации до готового акта.

Обязательные разделы акта категорирования

Сведения об объекте КИИ

Раздел включает:

• Наименование объекта — полное наименование ИС, ИТКС или АСУ (например, «Медицинская информационная система "Медиалог"»).
• Тип объекта — информационная система, информационно-телекоммуникационная сеть или автоматизированная система управления.
• Сфера деятельности — одна из 14 сфер по 187-ФЗ, к которой относится объект.
• Размещение — адреса площадок, на которых функционирует объект.
• Назначение и функции — краткое описание, что делает система и для чего используется.
• Взаимодействие — с какими другими системами и сетями взаимодействует объект.

Сведения о субъекте КИИ

• Полное наименование юридического лица (или ФИО ИП).
• ИНН, ОГРН.
• Юридический и фактический адрес.
• Сфера (сферы) деятельности субъекта КИИ.
• Контактные данные ответственного лица.

Сведения о комиссии

• Реквизиты приказа о создании комиссии (номер, дата).
• Состав комиссии (ФИО, должности, роли — председатель, секретарь, члены).
• Дата (даты) заседания комиссии, на котором рассматривался данный объект.

Оценка по показателям критериев значимости

Ключевой раздел акта. Для каждого из 14 показателей ПП-127 указывается:

• Наименование показателя.
• Значение показателя для данного объекта (числовое или качественное).
• Обоснование выбранного значения.
• Пороговое значение для категорий 1, 2, 3.
• Вывод: превышает ли значение пороговое, и если да — для какой категории.

Пропуск оценки хотя бы по одному показателю — одна из главных причин возврата сведений ФСТЭК. Даже если показатель неприменим к объекту (например, показатель «нарушение обороноспособности» для больницы), это необходимо зафиксировать с обоснованием «неприменимо».

Результат категорирования

Итоговый вывод комиссии:

• Присвоена категория значимости (1, 2 или 3) — с указанием показателя (показателей), по которому определена наивысшая категория.
• Категория не присвоена — с обоснованием, что ни один показатель не превысил минимальных пороговых значений категории 3.

Подписи членов комиссии

Акт подписывается всеми членами комиссии. При несогласии — особое мнение оформляется отдельным приложением.

Образец акта категорирования объекта КИИ

Шаблон с обязательными полями

Ниже приведён шаблон акта категорирования с указанием обязательных полей.

                                        УТВЕРЖДАЮ
                                        Руководитель [наименование субъекта КИИ]
                                        _________________ / [ФИО] /
                                        «___» ____________ 20___ г.

                     АКТ КАТЕГОРИРОВАНИЯ
              объекта критической информационной инфраструктуры

                    [наименование объекта КИИ]

1. СВЕДЕНИЯ О СУБЪЕКТЕ КИИ

Полное наименование: _______________________
ИНН: _____________  ОГРН: _________________
Юридический адрес: _________________________
Сфера деятельности: ________________________

2. СВЕДЕНИЯ О КОМИССИИ ПО КАТЕГОРИРОВАНИЮ

Комиссия создана приказом от «__» _______ 20__ г. № ___

Состав комиссии:
Председатель — [ФИО, должность]
Секретарь    — [ФИО, должность]
Члены:
— [ФИО, должность]
— [ФИО, должность]
— [ФИО, должность]

3. СВЕДЕНИЯ ОБ ОБЪЕКТЕ КИИ

Наименование: ______________________________
Тип: [ИС / ИТКС / АСУ]
Сфера деятельности: ________________________
Размещение: ________________________________
Назначение и функции: ______________________
Обеспечиваемые процессы: ___________________
Взаимодействие с иными объектами КИИ: ______

4. ОЦЕНКА ПО ПОКАЗАТЕЛЯМ КРИТЕРИЕВ ЗНАЧИМОСТИ

[Таблица: 14 показателей с оценкой — см. образец ниже]

5. РЕЗУЛЬТАТ КАТЕГОРИРОВАНИЯ

На основании оценки по показателям критериев значимости
объекту КИИ [наименование] присвоена / не присвоена
категория значимости: _______

Подписи членов комиссии:
Председатель  _____________ / [ФИО] /
Секретарь     _____________ / [ФИО] /
Член комиссии _____________ / [ФИО] /
Член комиссии _____________ / [ФИО] /
Член комиссии _____________ / [ФИО] /

Дата: «___» ____________ 20___ г.

Таблица оценки по показателям (шаблон)

Пример заполнения акта для информационной системы

Пример: бухгалтерская ИС банка (категория 3)

Объект КИИ: Автоматизированная банковская система «АБС-Банк»

Субъект КИИ: ПАО «Примербанк», ИНН 7700000001, сфера — банковская деятельность

Обеспечиваемые процессы: расчётно-кассовое обслуживание клиентов, ведение лицевых счетов, проведение платежей

Оценка ключевых показателей:

Показатели 3–7, 10–14: неприменимо (банк не является транспортным, оборонным, государственным предприятием).

Результат: объекту КИИ «АБС-Банк» присвоена категория значимости 3 (по показателям 8 и 9).

Пример: АСУ ТП энергетического предприятия (категория 2)

Объект КИИ: АСУ ТП «СКАДА-Энерго» электрической подстанции 110/10 кВ

Субъект КИИ: АО «Облэнерго», ИНН 5000000002, сфера — энергетика

Обеспечиваемые процессы: управление режимами работы подстанции, передача и распределение электроэнергии

Оценка ключевых показателей:

Показатели 6–7, 11–14: неприменимо.

Результат: объекту КИИ «СКАДА-Энерго» присвоена категория значимости 2 (наивысшая по показателю 2 — прекращение жизнеобеспечения муниципального образования).

Пример: ИС медицинской организации (без категории)

Объект КИИ: Информационная система «Регистратура-онлайн» (запись пациентов на приём)

Субъект КИИ: ГБУЗ «Поликлиника № 5», ИНН 7700000003, сфера — здравоохранение

Обеспечиваемые процессы: предварительная запись пациентов на амбулаторный приём

Оценка ключевых показателей:

Все 14 показателей оценены. Ни один не превышает минимальных пороговых значений категории 3.

Результат: объекту КИИ «Регистратура-онлайн» категория значимости не присвоена — объект является незначимым.

КиберОснова автоматически формирует акты категорирования на основе данных инвентаризации и результатов оценки критериев. Шаблон акта заполняется данными из карточки объекта КИИ, а таблица критериев генерируется с обоснованиями.

Протокол заседания комиссии по категорированию

Структура протокола

Протокол заседания комиссии — отдельный документ, фиксирующий ход обсуждения и принятия решений. Структура:

1. Заголовок: номер протокола, дата, место заседания.
2. Присутствовали: список членов комиссии (ФИО, должность).
3. Повестка дня: перечень рассматриваемых объектов КИИ.
4. Ход заседания: по каждому объекту:
   • описание объекта и обеспечиваемых процессов;
   • результаты оценки по показателям критериев;
   • обсуждение спорных вопросов;
   • предложение о присвоении категории.
5. Решения: для каждого объекта — присвоенная категория (или отсутствие категории).
6. Голосование: результат голосования по каждому решению (единогласно / большинством голосов).
7. Подписи: всех присутствовавших членов комиссии.

Пример оформления протокола

                    ПРОТОКОЛ № 3
         заседания комиссии по категорированию
          объектов критической информационной
                    инфраструктуры

г. Москва                              «15» марта 2026 г.

Присутствовали:
Председатель — Иванов И.И., заместитель генерального директора
Секретарь    — Петрова А.С., начальник отдела ИБ
Члены:
— Сидоров В.К., начальник отдела ИТ
— Козлова М.Н., начальник юридического отдела
— Фёдоров Д.А., инженер АСУ ТП

ПОВЕСТКА ДНЯ:
Категорирование объекта КИИ «АБС-Банк»

СЛУШАЛИ:
Петрова А.С. доложила результаты оценки объекта КИИ
«АБС-Банк» по 14 показателям критериев значимости...

[описание хода обсуждения]

РЕШИЛИ:
Присвоить объекту КИИ «АБС-Банк» категорию значимости 3
на основании показателей 8 и 9 ПП-127.

Голосование: единогласно.

Председатель  _____________ / Иванов И.И. /
Секретарь     _____________ / Петрова А.С. /

Связь протокола с актом

Протокол — обосновывающий документ для акта категорирования. В акте фиксируются результаты и обоснования, а протокол содержит ход обсуждения и аргументацию. При проверке ФСТЭК может запросить оба документа. При несогласии членов комиссии протокол фиксирует особые мнения.

Сведения о результатах категорирования для ФСТЭК

Форма направления сведений

Сведения о результатах категорирования направляются по форме, установленной приказом ФСТЭК № 236. Форма включает:

• Сведения о субъекте КИИ (наименование, ИНН, ОГРН, адрес, контакт).
• Сведения об объекте КИИ (наименование, тип, сфера, размещение).
• Присвоенная категория значимости (или информация об отсутствии).
• Основные характеристики объекта.

Форма заполняется для каждого объекта КИИ отдельно.

Порядок и сроки направления

• Срок: 10 рабочих дней с момента утверждения акта категорирования.
• Способ: в печатном виде, нарочным или заказным письмом с уведомлением.
• Адресат: территориальный орган ФСТЭК по месту нахождения субъекта КИИ.
• Объём: сведения по всем объектам КИИ, включая незначимые.

Что проверяет ФСТЭК

ФСТЭК рассматривает сведения в течение 30 дней и проверяет:

• Полноту представленных сведений.
• Соблюдение порядка категорирования (создана ли комиссия, утверждён ли перечень).
• Корректность оценки по всем 14 показателям.
• Соответствие присвоенной категории пороговым значениям ПП-127.
• Адекватность обоснований (не занижена ли категория).

Если замечаний нет, ФСТЭК:

• вносит значимый объект в реестр значимых объектов КИИ;
• уведомляет субъекта о результатах проверки (для незначимых объектов).

Если выявлены нарушения — ФСТЭК возвращает сведения с замечаниями. Субъект устраняет замечания в 10 рабочих дней.

Что изменилось в категорировании в 2025–2026 годах

Акт категорирования оформляется по Правилам, утверждённым ПП-127, а Правила за год изменились дважды. Что нужно учесть при подготовке акта сейчас.

Индивидуальные предприниматели больше не субъекты КИИ. Федеральный закон от 07.04.2025 № 58-ФЗ с 1 сентября 2025 года исключил слова «и (или) индивидуальные предприниматели» из пункта 8 статьи 2 закона о безопасности КИИ. Акты категорирования, комиссии и сведения во ФСТЭК теперь оформляют только организации.

Пересмотр категорий по новым правилам. Постановление Правительства от 07.11.2025 № 1762 изложило пункт 21 Правил в новой редакции: субъект пересматривает установленные категории значимости, а также решения об отсутствии необходимости присвоения категории, не реже одного раза в 5 лет, если иные сроки не установлены отраслевыми особенностями категорирования, и при изменении показателей критериев значимости, их значений или отраслевых особенностей. Изменение категории оформляется новым актом, сведения о результатах направляются во ФСТЭК.

Объекты вне типовых перечней. Новый пункт 22 Правил: если субъект выявляет вновь создаваемый объект, который не соответствует типам систем из перечней типовых отраслевых объектов КИИ, но масштаб возможных последствий инцидента на нём соответствует показателям критериев значимости, субъект присваивает такому объекту категорию по общим правилам. Ссылка «нашего типа нет в перечне» больше не освобождает от категорирования.

Перечни типовых отраслевых объектов. Распоряжение Правительства от 26.02.2026 № 360-р утвердило перечни типовых отраслевых объектов КИИ. Перечень объектов субъекта и обоснование в акте теперь сверяются с типовым перечнем своей сферы.

Отраслевые особенности категорирования. В 2026 году Правительство утвердило особенности категорирования для отдельных сфер: атомная энергия (постановление от 16.01.2026 № 4), банковская сфера и финансовый рынок (от 06.02.2026 № 92), наука (от 07.03.2026 № 246), государственная регистрация недвижимости (от 23.03.2026 № 303), ракетно-космическая промышленность (от 31.03.2026 № 356), связь (от 13.04.2026 № 402, действует с 1 сентября 2026 года), оборонная промышленность (от 27.06.2026 № 796). Отраслевые особенности могут задавать свои сроки пересмотра и уточнять показатели, поэтому перед оценкой критериев в акте проверьте, есть ли постановление для вашей сферы.

Практическое следствие для акта: в разделе «Основания» после ПП-127 указывать редакцию (в ред. постановления № 1762), отраслевое постановление своей сферы и распоряжение № 360-р, а в разделе о пересмотре — конкретный срок, установленный отраслевыми особенностями, если он отличается от пяти лет.

Типичные ошибки при оформлении акта категорирования

Неполная оценка по критериям

Самая частая ошибка: комиссия оценивает только «релевантные» показатели, пропуская те, которые считает неприменимыми. ПП-127 требует оценки по всем 14 показателям. Если показатель неприменим — укажите «неприменимо» с обоснованием, но не пропускайте.

Неправильно: в акте для банковской ИС оценены только показатели 8 и 9, остальные ячейки пусты.

Правильно: все 14 показателей заполнены. Для неприменимых указано: «Показатель 1 (ущерб жизни и здоровью) — неприменимо. Обоснование: сбой АБС не создаёт прямой угрозы жизни и здоровью граждан».

Занижение категории значимости

Субъекты занижают категорию, чтобы снизить затраты на средства защиты по приказу ФСТЭК № 239. ФСТЭК проверяет адекватность: если энергетическая компания присвоила подстанции, обеспечивающей город, категорию 3 вместо 2 — сведения будут возвращены.

Рекомендация: при оценке используйте принцип «наихудший реалистичный сценарий». Не оптимистичный, не пессимистичный, а реалистичный с учётом максимальных последствий.

Отсутствие обоснования решения

Акт содержит итоговую категорию, но не объясняет, как комиссия пришла к этому решению. Для каждого показателя необходимо обоснование: почему выбрано именно такое значение, на каких данных оно основано.

Неправильно: «Показатель 8 — до 1 часа».

Правильно: «Показатель 8 — до 1 часа. Обоснование: согласно SLA с провайдером хостинга, время восстановления не превышает 40 минут. Резервный ЦОД обеспечивает автоматическое переключение в течение 15 минут. План восстановления утверждён приказом от 01.02.2026 № 12, тестируется ежеквартально».

Ошибки в описании объекта

• Наименование объекта не соответствует тому, что указано в перечне объектов КИИ (направленном во ФСТЭК ранее).
• Неправильно определена сфера деятельности.
• Не указаны обеспечиваемые процессы (без них невозможно обосновать оценку критериев).

Нарушение сроков направления сведений

Акт утверждён, но сведения во ФСТЭК направлены с нарушением 10-дневного срока. Это само по себе является основанием для административного штрафа по ст. 19.7.15 КоАП.

Автоматизированный расчёт критериев в SGRC-системе исключает типичные ошибки оценки — система содержит все пороговые значения ПП-127, не позволяет пропустить показатели и формирует обоснования автоматически. Модуль категорирования КИИ в КиберОснова контролирует сроки и уведомляет о необходимости направления сведений.

Автоматическое формирование актов категорирования

Как SGRC-система генерирует документы

SGRC-платформа автоматизирует формирование актов категорирования:

1. Карточка объекта КИИ — данные из модуля инвентаризации (наименование, тип, размещение, функции) автоматически подставляются в акт.
2. Калькулятор критериев — ввод параметров (число пользователей, зона обслуживания, время восстановления), автоматический расчёт значений по всем 14 показателям.
3. Контроль полноты — система не позволяет сформировать акт, если хотя бы один показатель не оценён.
4. Генерация обоснований — на основе введённых данных формируются текстовые обоснования для каждого показателя.
5. Формирование акта — документ генерируется по шаблону, соответствующему требованиям ПП-127.
6. Формирование сведений — одновременно генерируются сведения о результатах по форме ФСТЭК № 236.

КиберОснова: от инвентаризации до акта

Платформа КиберОснова обеспечивает полный цикл:

• Инвентаризация — реестр всех ИС, ИТКС и АСУ с карточками, связями, процессами.
• Перечень объектов КИИ — формируется из реестра, экспортируется для направления во ФСТЭК.
• Оценка критериев — калькулятор с пороговыми значениями, контроль полноты, автоматическое определение категории.
• Акт категорирования — генерируется автоматически, включая таблицу оценки с обоснованиями.
• Протокол заседания — шаблон с предзаполненными данными.
• Сведения для ФСТЭК — по форме № 236, готовые к направлению.
• Контроль сроков — уведомления о дедлайнах (30 дней на перечень, 1 год на категорирование, 10 дней на сведения).

Связь с модулем документов ИБ обеспечивает хранение, версионирование и контроль актуальности всех документов по КИИ в единой системе.

Запросите демо платформы КиберОснова и посмотрите, как автоматически формируется весь пакет документов для категорирования КИИ — от инвентаризации до акта и сведений для ФСТЭК.

Смотрите также: Категорирование КИИ — КиберОснова | Категорирование КИИ: инструкция | Инвентаризация активов | Документы ИБ | Модель угроз