Категорирование объектов КИИ: значимый объект и инструкция по 187-ФЗ

Категорирование объектов критической информационной инфраструктуры — обязательная процедура для всех субъектов КИИ, установленная Федеральным законом 187-ФЗ и детализированная в Постановлении Правительства РФ № 127. Процедура определяет, какие информационные системы, сети и АСУ организации являются объектами КИИ, и присваивает каждому из них категорию значимости (1, 2, 3) или фиксирует отсутствие категории. От результатов категорирования зависит объём обязательных мер защиты, требования к персоналу и средствам защиты информации.

Значимый объект КИИ — по ст. 2 п. 3 187-ФЗ это объект критической информационной инфраструктуры, которому присвоена одна из категорий значимости и который включён в реестр значимых объектов КИИ, ведущийся ФСТЭК. Категорий три — первая (высшая), вторая и третья. Именно на значимые объекты распространяются требования приказа ФСТЭК № 239; объект, оставшийся без категории, называют незначимым: он остаётся объектом КИИ, и обязанности субъекта (направить сведения во ФСТЭК, сообщать об инцидентах в ГосСОПКА) с него не снимаются. Какие объекты являются значимыми, решает не регулятор, а сама комиссия субъекта — по критериям Постановления Правительства № 127. Эта процедура и есть категорирование, разобранное ниже по этапам; определение термина — в глоссарии.

В этой инструкции разберём полный цикл категорирования: от создания комиссии до направления сведений во ФСТЭК. Для каждого этапа приведём нормативные ссылки, сроки, практические рекомендации и типичные ошибки. Покажем, как SGRC-платформа ведёт документы по шаблонам и проводит аудит ИБ по чек-листам.

Что такое категорирование объектов КИИ и зачем оно нужно

Определения: субъект КИИ, объект КИИ, значимый объект

Прежде чем разбирать процедуру, уточним терминологию:

• Субъект КИИ — государственный орган, учреждение, юридическое лицо (ИП исключены с 01.09.2025 законом № 58-ФЗ), которому принадлежат информационные системы, сети или АСУ, функционирующие в одной из 14 сфер, определённых 187-ФЗ.
• Объект КИИ — информационная система (ИС), информационно-телекоммуникационная сеть (ИТКС) или автоматизированная система управления (АСУ), принадлежащая субъекту КИИ.
• Значимый объект КИИ — объект КИИ, которому присвоена одна из трёх категорий значимости (1, 2 или 3). На значимые объекты распространяются требования приказа ФСТЭК № 239 по обеспечению безопасности.
• Незначимый объект КИИ — объект КИИ, которому по результатам оценки категория не присвоена. Он остаётся объектом КИИ, но на него не распространяются требования приказа № 239.

Нормативная база: 187-ФЗ, ПП №127, приказы ФСТЭК

Категорирование регулируется следующими нормативными актами:

Все нормативные акты неоднократно актуализировались — при работе используйте действующие редакции.

Ответственность за непроведение категорирования

Непроведение категорирования или нарушение его порядка влечёт:

• Административная ответственность (ст. 19.7.15 КоАП РФ): штраф для должностных лиц — от 10 000 до 50 000 руб., для юридических лиц — от 50 000 до 100 000 руб.
• Предписание ФСТЭК об устранении нарушений с конкретными сроками.
• Уголовная ответственность (ст. 274.1 УК РФ) — в случае инцидента на некатегорированном объекте, повлёкшего тяжкие последствия: до 10 лет лишения свободы.

ФСТЭК активно проводит проверки: по данным регулятора, к 2025 году проверено более 85% субъектов КИИ в критичных отраслях. Отсутствие результатов категорирования — одно из наиболее частых нарушений.

Кто является субъектом КИИ: сферы деятельности

Полный перечень 14 сфер по 187-ФЗ

Субъектами КИИ являются организации, функционирующие в следующих сферах:

1. Здравоохранение
2. Наука
3. Транспорт
4. Связь
5. Энергетика
6. Банковская сфера и иные сферы финансового рынка
7. Топливно-энергетический комплекс
8. Атомная энергия
9. Оборонная промышленность
10. Ракетно-космическая промышленность
11. Горнодобывающая промышленность
12. Металлургическая промышленность
13. Химическая промышленность
14. Государственная регистрация прав на недвижимое имущество и сделок с ним (добавлена позднее)

Как определить, является ли организация субъектом КИИ

Для определения статуса субъекта КИИ ответьте на два вопроса:

1. Относится ли деятельность организации к одной из 14 сфер? Проверьте коды ОКВЭД — если хотя бы один код попадает в перечисленные сферы, организация потенциально является субъектом КИИ.
2. Принадлежат ли организации ИС, ИТКС или АСУ, обеспечивающие процессы в этих сферах? Не любая система является объектом КИИ — только та, которая обеспечивает процессы в рамках деятельности субъекта в соответствующей сфере.

Пример: больница — субъект КИИ (сфера «здравоохранение»). Её медицинская информационная система (МИС) — объект КИИ. А вот система бухгалтерского учёта больницы — вопрос дискуссионный (зависит от того, обеспечивает ли она критические процессы в сфере здравоохранения).

Типичные заблуждения

«ИП и малый бизнес не являются субъектами КИИ». Для ИП с 1 сентября 2025 года это верно: закон № 58-ФЗ исключил индивидуальных предпринимателей из субъектов КИИ (п. 8 ст. 2 187-ФЗ). Для юридических лиц размер значения не имеет: аптечная сеть (ООО) с информационной системой учёта лекарственных средств — субъект КИИ в сфере здравоохранения.

«У нас нет АСУ ТП, значит, мы не субъекты КИИ». Неверно. Объектами КИИ являются не только АСУ ТП, но и информационные системы, и сети. ERP-система энергетической компании — объект КИИ.

«Если мы не значимый объект, нам ничего не нужно делать». Неверно. Даже если по результатам категорирования ни одному объекту не присвоена категория, субъект КИИ обязан: провести категорирование, направить результаты во ФСТЭК, информировать ГосСОПКА об инцидентах.

Этап 1 — Создание комиссии по категорированию

Состав комиссии: кто должен входить

Согласно ПП-127, в состав комиссии по категорированию включаются:

• Руководитель или заместитель руководителя субъекта КИИ (председатель комиссии).
• Работники структурного подразделения по ИБ (или ответственные за обеспечение безопасности).
• Работники подразделения ИТ — знают архитектуру ИС, сетей и АСУ.
• Работники подразделений, эксплуатирующих объекты КИИ — понимают бизнес-процессы.
• Представители территориального органа ФСТЭК (по согласованию) — необязательно, но рекомендуется для крупных субъектов.

Для крупных организаций с десятками объектов КИИ рекомендуется создавать рабочие группы по направлениям (ИТ, АСУ ТП, ИБ), результаты которых выносятся на комиссию.

Приказ о создании комиссии (структура документа)

Приказ о создании комиссии включает:

1. Основание — ссылка на 187-ФЗ и ПП-127.
2. Состав комиссии — поимённо, с указанием должностей и ролей (председатель, секретарь, члены).
3. Задачи комиссии — определение объектов КИИ, оценка по критериям значимости, присвоение категорий.
4. Сроки — начало и окончание работ по категорированию.
5. Ответственный за организацию работ.

Полномочия и ответственность членов комиссии

Комиссия уполномочена:

• запрашивать у структурных подразделений информацию об ИС, ИТКС и АСУ;
• привлекать экспертов (в том числе внешних консультантов);
• определять перечень объектов КИИ;
• оценивать объекты по критериям значимости;
• принимать решение о присвоении (или неприсвоении) категории значимости.

Решения комиссии оформляются протоколом и утверждаются актом категорирования.

Этап 2 — Выявление объектов КИИ

Инвентаризация ИС, ИТКС и АСУ

Первый рабочий этап — полная инвентаризация информационных систем, сетей и автоматизированных систем управления, принадлежащих организации. Для каждого объекта фиксируется:

• наименование;
• тип (ИС, ИТКС, АСУ);
• назначение и функции;
• обеспечиваемые процессы;
• размещение (адреса площадок);
• взаимодействие с другими системами;
• ответственный за эксплуатацию.

Инвентаризация ИС — первый и самый трудоёмкий шаг. В модуле инвентаризации КиберОснова активы вносят вручную, загружают из таблиц или импортируют из KSC и Zabbix, а по ним ведут карточки объектов КИИ.

Определение процессов, обеспечиваемых объектами

Для каждой ИС, ИТКС и АСУ определите, какие управленческие, технологические, производственные, финансово-экономические или иные процессы она обеспечивает. Это критически важно, потому что:

• объектом КИИ является только та система, которая обеспечивает процессы в сферах по 187-ФЗ;
• оценка критериев значимости проводится в привязке к этим процессам (какие последствия наступят, если процесс будет нарушен).

Пример: МИС больницы обеспечивает процесс оказания медицинской помощи (сфера «здравоохранение»). Если МИС выйдет из строя, врачи не смогут получить данные о назначениях и аллергиях — прямой риск для жизни и здоровья пациентов.

Список выявленных объектов

По результатам инвентаризации комиссия выявляет объекты КИИ, которые соответствуют типовым объектам из перечней типовых отраслевых объектов КИИ (пп. «а» п. 14 ПП №127). Их удобно свести в рабочий список: по нему комиссия оценивает значимость и готовит акт категорирования.

Типовая структура списка:

Перечень во ФСТЭК больше не направляют

С 2024 года утверждать перечень объектов КИИ и направлять его во ФСТЭК не нужно: ПП №1281 от 19.09.2024 исключил эти положения из ПП №127 (пп. «г» п. 5 и п. 15). Во ФСТЭК направляют сведения о результатах категорирования — в течение 10 рабочих дней со дня утверждения акта (п. 17 ПП №127).

Этап 3 — Оценка по критериям значимости

14 показателей критериев значимости (ПП №127)

ПП-127 устанавливает 14 показателей критериев значимости, сгруппированных в пять категорий. Для каждого объекта КИИ комиссия оценивает все 14 показателей — пропуск любого является основанием для возврата сведений ФСТЭК.

Социальная значимость

Политическая значимость

Экономическая значимость

Экологическая значимость

Значимость для обороны и безопасности

Методика оценки с примерами

Оценка проводится по принципу «наихудший реалистичный сценарий»: комиссия определяет, какие последствия наступят при реализации наихудшего, но реалистичного инцидента ИБ на данном объекте.

Пример для МИС больницы на 500 коек:

• Показатель 1 (жизнь и здоровье): при отказе МИС на 6+ часов врачи не получат данные о назначениях, аллергиях, результатах анализов — возможен вред здоровью десятков пациентов. Оценка: 50–500 человек (категория 2).
• Показатель 8 (прекращение деятельности): больница не прекратит работу полностью, но значительная часть процессов будет нарушена. Оценка: нарушение на 1–6 часов.
• Показатели 5–7, 10–14: неприменимы (больница — не госорган, не оборонное предприятие).

Итоговая категория определяется по наивысшему показателю — в данном примере категория 2.

Этап 4 — Присвоение категории значимости

Категория 1 (высшая): пороговые значения

Категория 1 присваивается, если хотя бы по одному показателю достигнуто наивысшее пороговое значение:

• Ущерб жизни и здоровью: более 500 человек
• Прекращение обеспечения жизнедеятельности: в пределах субъекта РФ и более
• Экономический ущерб субъекту КИИ: более 1% валового регионального продукта
• Прекращение деятельности субъекта: более 6 часов

Категория 2: пороговые значения

• Ущерб жизни и здоровью: от 50 до 500 человек
• Прекращение обеспечения жизнедеятельности: в пределах муниципального образования
• Экономический ущерб субъекту КИИ: определяется пороговыми значениями ПП-127
• Прекращение деятельности субъекта: от 1 до 6 часов

Категория 3 (низшая): пороговые значения

• Ущерб жизни и здоровью: менее 50 человек
• Прекращение обеспечения жизнедеятельности: в пределах одного объекта
• Экономический ущерб субъекту КИИ: минимальные пороговые значения ПП-127
• Прекращение деятельности субъекта: до 1 часа

Объект без категории: когда значимость не присвоена

Если ни один показатель критериев значимости не превышает минимальных пороговых значений категории 3, объект признаётся незначимым — категория не присваивается.

Важно: отсутствие категории не означает, что объект не является объектом КИИ. Субъект по-прежнему обязан:

• направить сведения о результатах категорирования во ФСТЭК;
• информировать ГосСОПКА (НКЦКИ) об инцидентах;
• пересматривать категорию при изменении условий.

Таблица пороговых значений (сводная)

Категорию в КиберОснове не рассчитывают автоматически: значения показателей и обоснования вносит комиссия, сверяясь с пороговыми значениями ПП-127. В модуле категорирования КИИ объекты, задачи комиссии и документы ведут в одной системе.

Этап 5 — Оформление акта категорирования

Структура акта категорирования

Акт категорирования — документ, утверждаемый руководителем субъекта КИИ, фиксирующий результаты работы комиссии. Подробное руководство по оформлению акта, включая образец и примеры заполнения, приведено в статье Акт категорирования объекта КИИ.

Типовой акт включает:

1. Наименование субъекта КИИ, реквизиты (ИНН, ОГРН, адрес).
2. Сведения о комиссии (ссылка на приказ, состав).
3. Наименование и описание объекта КИИ.
4. Сфера деятельности, к которой относится объект.
5. Обеспечиваемые критические процессы.
6. Оценка по каждому из 14 показателей критериев значимости (с обоснованием).
7. Решение о присвоении (или неприсвоении) категории.
8. Подписи всех членов комиссии.

Обязательные сведения

Особое внимание — оценке по критериям. Для каждого из 14 показателей необходимо:

• указать значение показателя (числовое или качественное);
• дать обоснование выбранного значения;
• указать, превышает ли значение пороговое для соответствующей категории.

Пропуск оценки хотя бы по одному показателю — основание для возврата ФСТЭК.

Согласование и утверждение акта

Акт подписывается всеми членами комиссии и утверждается руководителем субъекта КИИ. При несогласии отдельных членов комиссии с решением — оформляется особое мнение, прикладываемое к акту.

Этап 6 — Направление сведений во ФСТЭК

Форма направления сведений

Сведения о результатах категорирования направляются во ФСТЭК по форме, утверждённой приказом ФСТЭК № 236. Форма содержит выжимку из акта категорирования:

• сведения о субъекте и объекте КИИ;
• категория значимости (или информация об отсутствии категории);
• основные параметры объекта.

Сроки и порядок направления

• 10 рабочих дней с момента утверждения акта — срок направления сведений во ФСТЭК.
• Сведения направляются в печатном виде по почте или нарочным.
• Направляются сведения по каждому объекту КИИ, включая незначимые.

Проверка ФСТЭК: что могут вернуть на доработку

ФСТЭК проверяет полученные сведения в течение 30 дней. Основания для возврата на доработку:

• Нарушен порядок категорирования (не создана комиссия, не утверждён перечень).
• Оценка проведена не по всем 14 показателям.
• Присвоенная категория не соответствует пороговым значениям ПП-127.
• Сведения представлены не в полном объёме.
• Выявлено занижение категории значимости.

При возврате субъект обязан устранить замечания в 10 рабочих дней и повторно направить сведения.

Внесение в реестр значимых объектов КИИ

Если присвоена категория значимости (1, 2 или 3), ФСТЭК вносит объект в реестр значимых объектов КИИ. После внесения в реестр на объект распространяются требования приказа ФСТЭК № 239 по обеспечению безопасности, включая:

• разработку модели угроз;
• создание системы безопасности;
• применение сертифицированных средств защиты информации;
• мониторинг и реагирование на инциденты;
• периодическую проверку соответствия.

Типичные ошибки при категорировании КИИ

Занижение категории значимости

Самая распространённая ошибка. Субъекты занижают категорию, чтобы снизить затраты на средства защиты (чем выше категория, тем строже требования по приказу ФСТЭК № 239). ФСТЭК активно проверяет адекватность оценки и возвращает сведения с заниженной категорией на пересмотр.

Пример: энергетическая компания присвоила АСУ ТП электроподстанции категорию 3, хотя отключение подстанции оставит без электричества муниципальное образование (пороговое значение категории 2).

Неполный перечень объектов

Субъект включает в перечень только «очевидные» объекты (АСУ ТП, основные ИС) и «забывает» про вспомогательные (сети передачи данных, системы мониторинга, системы резервного копирования). При проверке ФСТЭК укажет на неполноту.

Ошибки в оценке критериев

• Оценка не по всем 14 показателям.
• Отсутствие обоснования выбранных значений.
• Некорректная оценка масштаба последствий (занижение числа потенциально пострадавших, занижение времени простоя).

Нарушение сроков

Категорирование КИИ в КиберОснове

Инвентаризация активов в SGRC-системе

Ручная инвентаризация десятков и сотен информационных систем — процесс, занимающий недели. В КиберОснове реестр активов ведут в одной системе: данные вносят вручную, загружают из таблиц или импортируют из KSC и Zabbix.

• Единый реестр ИС, ИТКС и АСУ с карточками объектов.
• Связи между объектами (какие системы взаимодействуют, какие процессы обеспечивают).

Оценка показателей значимости

Оценку проводит комиссия по категорированию, автоматического расчёта категории в КиберОснове нет:

• значения по каждому показателю сравнивают с пороговыми из ПП-127;
• по каждому показателю записывают обоснование, в том числе если показатель неприменим.

Документы по категорированию в КиберОснове

В КиберОснове документы по категорированию готовят по шаблонам и хранят с версиями и ознакомлением:

1. Приказ о создании комиссии — по шаблону.
2. Список выявленных объектов КИИ — на основе данных инвентаризации.
3. Акт категорирования — по шаблону, с обоснованием по каждому показателю, которое записывает комиссия.
4. Протокол заседания комиссии — фиксация хода обсуждения и решений.
5. Сведения о результатах категорирования — по шаблону формы ФСТЭК № 236.

Сроки работ — подготовку акта, направление сведений во ФСТЭК — ведут задачами ИБ с ответственным и сроком.

Связь с модулем БДУ ФСТЭК обеспечивает анализ угроз для значимых объектов КИИ — следующий обязательный шаг после категорирования. Для анализа актуальных угроз используйте реестр БДУ ФСТЭК.

Запросите демо платформы КиберОснова и посмотрите, как вести категорирование КИИ в одной системе — от инвентаризации до акта.

Смотрите также: Категорирование КИИ — КиберОснова | Акт категорирования КИИ | Модель угроз | Инвентаризация активов | БДУ ФСТЭК