Категорирование объектов КИИ: правила, порядок и изменения
Категорирование объектов критической информационной инфраструктуры (КИИ) https://sertifikat.bz/kategorirovanie_obektov_kii— это обязательная процедура, в ходе которой субъект КИИ определяет степень значимости своих информационных систем, сетей и автоматизированных систем управления . От результата категорирования напрямую зависит объём требований по защите информации: чем выше категория, тем строже меры безопасности . В 2025–2026 годах порядок категорирования претерпел кардинальные изменения, и подходы, работавшие ещё год назад, сегодня уже неактуальны.
Что такое категорирование объектов КИИ
Категорирование — это процесс установления соответствия объекта КИИ критериям значимости и присвоение ему одной из трёх категорий: первой, второй или третьей . Если объект не соответствует ни одному из критериев, категория не присваивается . Значимым объект становится только после того, как ему присвоена категория и он включён в реестр значимых объектов, который ведёт ФСТЭК России .
Кто обязан проводить категорирование
Субъектами КИИ признаются российские юридические лица и государственные органы, осуществляющие деятельность в установленных законом сферах и владеющие на законном основании информационными системами, сетями или АСУ . С 1 сентября 2025 года индивидуальные предприниматели из числа субъектов КИИ исключены — соответствующую правку внёс Федеральный закон от 07.04.2025 № 58-ФЗ .
Ключевые сферы, в которых деятельность организации делает её субъектом КИИ, остаются прежними: здравоохранение, наука, транспорт, связь, энергетика, банковская сфера и иные сферы финансового рынка, топливно-энергетический комплекс, атомная энергия, оборонная, ракетно-космическая, горнодобывающая, металлургическая и химическая промышленность .
Как изменился порядок категорирования в 2025–2026 годах
До ноября 2025 года категорирование выстраивалось вокруг так называемых «критических процессов»: комиссия анализировала, нарушение каких процессов ведёт к негативным последствиям, и уже затем определяла объекты, которые эти процессы обеспечивают . Этот подход описан в большинстве статей и инструкций, но на сегодняшний день он полностью утратил силу.
Постановление Правительства РФ от 07.11.2025 № 1762 исключило выявление критических процессов из обязанностей комиссии по категорированию . Новая логика выглядит следующим образом:
- Сопоставление с типовыми отраслевыми перечнями. Система сначала проверяется на соответствие перечням типовых отраслевых объектов КИИ, утверждённым распоряжением Правительства РФ от 26.02.2026 № 360-р .
- Оценка последствий. Только после сопоставления с перечнем проводится оценка масштаба возможных последствий компьютерных инцидентов по критериям значимости .
- Учёт отраслевых особенностей. Установление соответствия критериям осуществляется с учётом отраслевых особенностей категорирования .
Критерии значимости объектов КИИ
Критерии значимости закреплены в статье 7 Федерального закона № 187-ФЗ и включают пять основных направлений оценки :
- Социальная значимость — оценка возможного ущерба жизни и здоровью людей, нарушения функционирования объектов жизнеобеспечения, транспортной инфраструктуры, сетей связи, а также времени отсутствия доступа к госуслугам.
- Политическая значимость — оценка возможного ущерба интересам Российской Федерации во внутренней и внешней политике.
- Экономическая значимость — оценка возможного прямого и косвенного ущерба субъектам КИИ и бюджетам бюджетной системы РФ.
- Экологическая значимость — оценка уровня воздействия на окружающую среду.
- Значимость для обороны и безопасности — оценка влияния на обороноспособность, безопасность государства и правопорядок.
Постановление № 1762 дополнило критерии новыми показателями: нарушения функционирования объектов транспорта (грузового и пассажирского), нарушения работы сетей связи, сбои в работе госорганов, нарушения в сфере кредитования (включая микрозаймы), снижение показателей государственного оборонного заказа .
Этапы процедуры категорирования
В соответствии с Правилами категорирования (Постановление № 127 в актуальной редакции), процедура включает следующие этапы :
| Этап | Содержание |
|---|---|
| Создание комиссии | Субъект КИИ создаёт постоянно действующую комиссию по категорированию |
| Выявление объектов | Выявление ИС, ИТС и АСУ, соответствующих типовым отраслевым объектам КИИ |
| Оценка значимости | Оценка масштаба возможных последствий по показателям критериев значимости |
| Присвоение категории | Присвоение одной из категорий (первая, вторая, третья) либо решение об отсутствии необходимости присвоения |
| Оформление акта | Составление акта категорирования с указанием всех сведений об объекте |
| Направление сведений | Направление сведений в ФСТЭК России в течение 10 рабочих дней |
С 1 сентября 2025 года действует новая форма направления сведений о результатах категорирования, утверждённая приказом ФСТЭК России от 21 августа 2025 года . В неё добавлены два новых пункта: наименование типового отраслевого объекта КИИ, которому соответствует объект субъекта, а также доменное имя и внешний сетевой адрес информационного ресурса .
Особенности для создаваемых объектов
Для объектов, которые только проектируются или создаются, предусмотрен особый порядок. На этапе проектирования объект КИИ категорируется, и сведения направляются в ФСТЭК России. После ввода объекта в эксплуатацию сведения пересматриваются, дополняются по всем пунктам формы, заново оцениваются применимость показателей критериев значимости и рассчитанные по ним значения, после чего сведения направляются повторно .
Если субъект КИИ создаёт новый объект и понимает, что он подпадает под критерии значимости, но такого объекта нет в перечне типовых отраслевых объектов, необходимо провести категорирование и направить предложение о добавлении такого объекта в соответствующий перечень .
Периодичность пересмотра категорий
Установленные категории значимости подлежат пересмотру. Для объектов, в отношении которых принято решение об отсутствии необходимости присвоения категории, пересмотр проводится не реже одного раза в год. Для третьей категории — раз в два года, для второй — раз в три года, для первой — раз в пять лет .
Отраслевые особенности: примеры
Отраслевые особенности категорирования утверждаются отдельными постановлениями Правительства для каждой сферы. На сегодняшний день приняты особенности для атомной энергетики (Постановление № 4 от 16.01.2026) и оборонно-промышленного комплекса .
Для атомной отрасли конкретизированы все пять критериев значимости: социальный (ущерб жизни и здоровью, нарушение жизнеобеспечения), политический (прекращение деятельности госоргана, нарушение международных договоров), экономический (снижение доходов субъекта КИИ и выплат в федеральный бюджет), экологический (вредные воздействия, включая радиационные инциденты) и оборонный (снижение объёмов ГОЗ) .
Для ОПК признаками значимости выступают: использование объекта в поставках по гособоронзаказу, контроль качества с участием военных представительств Минобороны, а также обеспечение функционирования опасного производства, имеющего декларацию промышленной безопасности .
Категорирование объектов КИИ — это процедура, которая требует от субъектов не только формального исполнения, но и глубокого понимания новых правил. Изменения 2025–2026 годов сместили фокус с анализа критических процессов на сопоставление с типовыми отраслевыми перечнями, а также ввели новые показатели и ужесточили требования к отчётности. Для успешного прохождения категорирования необходимо своевременно обновить внутренние документы, создать комиссию и направить сведения по новой форме в ФСТЭК России.
