Категорирование КИИ для вуза и научной организации в Нурсултан

Ректорат получил письмо от учредителя или профильного министерства с требованием организовать категорирование объектов критической информационной инфраструктуры. ИТ-отдел считает, что у университета «только учёба», научные стенды и лабораторные системы не критичны, а задача — избыточная бюрократия. На практике всё иначе: сфера «наука» прямо указана в пункте 8 статьи 2 Федерального закона № 187-ФЗ, и ряд информационных и автоматизированных систем вуза или НИИ может оказаться объектами КИИ.

В статье разберём, кто именно субъект КИИ среди образовательных и научных организаций, какие системы обычно подпадают под категорирование, как рассчитать показатели значимости с учётом постановления Правительства № 246 для сферы науки, в какие сроки передать сведения во ФСТЭК и чем рискует руководитель при игнорировании процедуры. На основе условного примера университета с научно-исследовательским институтом покажем, как выглядит комплект документов и во сколько обходится подготовка.

Является ли вуз или научная организация субъектом КИИ

По действующей редакции ст. 2 п. 8 187-ФЗ субъект КИИ — это российское юридическое лицо (включая государственные учреждения), которому на праве собственности, аренды или ином законном основании принадлежат информационные системы, информационно-телекоммуникационные сети или автоматизированные системы управления, функционирующие в сферах из перечня: здравоохранение, наука, транспорт, связь, энергетика, финансы, ТЭК, атомная энергия, оборонная, ракетно-космическая, горнодобывающая, металлургическая, химическая промышленность, госрегистрация прав на недвижимость. ИП с 01.09.2025 субъектами не являются.

Для вуза или научной организации ключевая сфера — «наука». По постановлению Правительства № 246 от 07.03.2026 субъектами в сфере науки названы государственные органы и государственные учреждения. Негосударственные вузы и частные научные центры под это постановление прямо не подпадают, однако формулировка 187-ФЗ шире: «российские юридические лица». По имеющимся данным, ФСТЭК этот вопрос отдельно не разъясняла, поэтому частному вузу с НИОКР целесообразно проверить свой статус по фактическим видам деятельности.

Как проверить статус субъекта:

• посмотреть коды ОКВЭД (например, 72.19 «научные исследования и разработки в области естественных и технических наук»);
• сверить лицензии на образовательную и научную деятельность, а также на работу со сведениями, составляющими гостайну, если есть;
• изучить устав и положение о структурных подразделениях: наличие НИИ, лабораторий, опытных производств, центров коллективного пользования;
• сопоставить фактические процессы: договоры на НИОКР, гранты, публикации, работу на оборонные или промышленные заказы.

Пограничные случаи отрасли:

Какие системы обычно становятся объектами КИИ в отрасли

Перечень типовых отраслевых объектов утверждён единым распоряжением Правительства РФ от 26.02.2026 № 360-р. Раздел II «Наука» включает системы, связанные с лабораторной автоматизацией, НИОКР, ЧПУ в исследованиях, PLM, испытательными и измерительными стендами, автоматизацией производства, анализом данных. Для вузов и научных организаций на практике также рассматривают инфраструктурные объекты: центры обработки данных, вычислительные кластеры, сети передачи данных, если они обеспечивают научные процессы.

Отраслевые особенности для науки приняты постановлением Правительства № 246 от 07.03.2026. Они уточняют применение показателей значимости, но не заменяют общий порядок категорирования по ПП 127.

Как присваивают категорию: показатели значимости для вузов и НИИ

Категорию присваивает постоянно действующая комиссия субъекта КИИ, рассматривая наихудшие сценарии целенаправленных атак. По постановлению Правительства № 127 от 08.02.2018 (ред. от 07.11.2025) объект получает категорию с наивысшим значением среди показателей. Если ни один показатель не превышает порог, категория не присваивается — это тоже результат, который фиксируется в акте и направляется во ФСТЭК.

Для сферы науки постановление № 246 вводит важные ограничения:

• показатель 1 (ущерб жизни и здоровью) применяется только при НИОКР с вредными веществами;
• показатель 7 (международные договоры) — только при НИОКР по международному договору.

На практике для университетов ключевыми чаще оказываются экономический показатель (№ 8 — снижение годового дохода организации) и социальный (№ 1) для объектов, связанных с вредными факторами. Порог III категории по показателю 1: ущерб жизни и здоровью от 1 до 50 человек; по показателю 8: снижение дохода от 1% до 10% (в среднем за 5 лет). Для бюджетных учреждений, не имеющих коммерческого дохода, экономический показатель часто не срабатывает, поэтому многие объекты получают статус «без категории».

«Без категории» не означает «нет обязанностей». Субъект КИИ всё равно оформляет акт и направляет сведения об отсутствии необходимости присвоения категории во ФСТЭК. Это прямо предусмотрено ч. 5 ст. 7 187-ФЗ.

Порядок и сроки категорирования

С 2024 года отменён максимальный срок категорирования (ранее 1 год) и отменена обязанность утверждать и направлять во ФСТЭК перечень объектов до категорирования. Теперь после решения комиссии сведения о результатах направляются в течение 10 рабочих дней.

Особенности отрасли, о которых забывают

• ✓ Сфера «наука» ≠ «образование». Вузу нужно разделять образовательные и научные системы: образовательный портал как таковой объектом КИИ не является, а система управления научными экспериментами — может быть.
• ✓ Оборудование коллективного пользования (центры коллективного пользования) часто управляется собственными АСУ или ИС, которые прямо подпадают под раздел II 360-р.
• ✓ Если вуз выполняет оборонные НИОКР или работает с гостайной, его системы могут относиться к сфере оборонной промышленности (раздел X 360-р), и тогда применяются особенности ПП 796 (включая повышенную периодичность пересмотра).
• ✓ Показатель 1 по ПП 246 применим только при НИОКР с вредными веществами. Многие вузы ошибочно считают, что любое научное оборудование даёт III категорию по социальному показателю, но без вредных факторов это не так.
• ✓ Запрет иностранного ПО на значимых объектах: с 01.01.2025 он действует для органов власти и заказчиков по 223-ФЗ; для остальных субъектов сроки перехода ещё не утверждены Правительством. Доверенные ПАК обязательны к 2030 году для значимых объектов.

Разбор на примере: университет с научно-исследовательским институтом

Как действовали:

• Запросили реестр ИТ-активов, устав, выписку ОКВЭД, сведения о научных проектах и договорах. Определили, что университет — государственное учреждение и субъект КИИ в сфере науки.
• Сопоставили системы с перечнем 360-р: вычислительный кластер (ИТКС), ЛИМС, ЧПУ в опытной лаборатории, ИС учёта НИОКР.
• Для ЧПУ рассчитали социальный показатель: нарушение работы оборудования при проведении эксперимента с вредными веществами может привести к ущербу жизни и здоровью до 5 человек, что соответствует III категории (от 1 до 50). ЛИМС и кластер не превысили порогов — без категории. ИС учёта НИОКР не подпала ни под один показатель.
• Оформили единый акт категорирования с решением комиссии, утвердили у руководителя университета.
• Сведения по форме ФСТЭК отправили в течение 10 рабочих дней. Для объекта III категории дальше потребуются меры защиты по приказам ФСТЭК и информирование ГосСОПКА.

Что будет, если не провести категорирование

Непредставление, нарушение сроков или недостоверность сведений о категорировании во ФСТЭК — административная ответственность по ст. 19.7.15 КоАП: штраф для должностных лиц от 10 до 50 тыс. ₽, для юридических — от 50 до 100 тыс. ₽. Повторное нарушение — для юрлиц от 100 до 200 тыс. ₽. Нарушение требований к обеспечению безопасности значимых объектов (ст. 13.12.1) — от 50 до 100 тыс. ₽ для юрлиц. С апреля 2026 года действует новая ст. 13.12.2 за нарушение правил эксплуатации средств КИИ или правил доступа: штраф для юрлиц 100–500 тыс. ₽.

Уголовная ответственность по ст. 274.1 УК: неправомерный доступ к объектам КИИ, повлёкший уничтожение, блокирование, модификацию или копирование информации, влечёт лишение свободы на срок до 6 лет, а при тяжких последствиях — до 10 лет.

ФСТЭК проводит плановые проверки (раз в 3 года после внесения в реестр) и внеплановые — при инцидентах или по требованию прокурора. Статистика ФСТЭК 2026 года: из выборки 700 объектов надлежащий уровень защиты зафиксирован лишь в 36% случаев, выявлено более 1200 нарушений, составлено 603 протокола, из них большинство — за непредставление или несвоевременное представление сведений. Для вуза последствия также репутационные: срыв грантов, приостановка участия в научных программах, претензии учредителя.

После категорирования: что обязательно для значимых и незначимых объектов

Все субъекты КИИ обязаны информировать НКЦКИ (ГосСОПКА) о компьютерных атаках и инцидентах: для значимых объектов — не позднее 3 часов, для иных объектов КИИ — не позднее 24 часов. Объекты без категории также относятся к «иным объектам КИИ».

Для значимых объектов дополнительно:

• создание системы безопасности по приказам ФСТЭК № 235 и № 239;
• использование доверенных ПАК (переход до 01.01.2030, запрет закупки недоверенных с 01.09.2024);
• разработка плана реагирования на инциденты в течение 90 календарных дней после включения в реестр;
• непрерывное взаимодействие с ГосСОПКА.

Модель угроз и организационные документы по информационной безопасности готовит наша команда. Внедрение сертифицированных СЗИ и аттестацию значимых объектов выполняет партнёр-лицензиат ФСТЭК.

Что мы подготовим и сколько это стоит

• Проверка, является ли организация субъектом КИИ (по ОКВЭД, лицензиям, уставу и фактическим видам деятельности) — с письменным заключением;
• Проект приказа о постоянно действующей комиссии;
• Инвентаризация ИС, ИТКС и АСУ, сопоставление с перечнем типовых отраслевых объектов (360-р) и отраслевыми особенностями;
• Расчёт показателей значимости по ПП 127 по наихудшему сценарию;
• Проект акта категорирования (единый на несколько объектов допускается);
• Сведения о результатах категорирования по форме ФСТЭК (приказ № 236 в ред. № 247), включая случай «без категории»;
• Сопровождение до принятия сведений ФСТЭК, правки по замечаниям — бесплатно.

Цена ниже рыночной объясняется отработанными типовыми решениями для вузов и НИИ, дистанционным форматом (опросник + консультация со специалистом по защите информации) и отсутствием лишних посредников. Точную стоимость называем после бесплатного опросника в течение рабочего дня.

Частые вопросы

Для проверки статуса субъекта КИИ и расчёта стоимости комплекта документов воспользуйтесь страницей услуги категорирования объектов КИИ. Если требуется модель угроз после получения категории, смотрите раздел по модели угроз ИБ. Также можно заполнить опросный лист — специалист вернётся с расчётом в течение рабочего дня.