Категорирование КИИ для госучреждения в Нурсултан: органы власти, бюджетные учреждения, ГИС

Учредитель прислал письмо «обеспечить категорирование объектов КИИ в срок», а у вас нет понимания, какие именно системы подпадают под 187-ФЗ. В штате нет специалиста по информационной безопасности, который мог бы взять на себя комиссию, и непонятно, можно ли вообще не проводить эту работу.

Разберём, как определить, является ли ваша организация субъектом критической информационной инфраструктуры, какие системы обычно становятся объектами КИИ в госсекторе, и что сделать, чтобы ФСТЭК приняла сведения без замечаний. Статья построена на нормах 187-ФЗ, ПП № 127 и едином перечне типовых отраслевых объектов (распоряжение № 360-р).

Является ли государственный орган или учреждение субъектом КИИ

Ключевой критерий — не «мы бюджетники», а «наши системы функционируют в одной из сфер, перечисленных в п. 8 ст. 2 187-ФЗ». Сам по себе орган власти или казённое учреждение без отраслевых информационных систем субъектом КИИ не становится. Но как только появляется ИС, которая обслуживает здравоохранение, транспорт, связь, государственную регистрацию недвижимости или другую сферу из списка, организация обязана оценить свои объекты.

Проверить статус субъекта можно по трём источникам:

• Устав и фактические виды деятельности — есть ли оказание услуг в сферах ст. 2. Например, больница — здравоохранение, управление транспортом — транспорт, многофункциональный центр может участвовать в госуслугах, но это косвенный признак.
• ОКВЭД — вспомогательный инструмент: перечень 360-р привязывает типовые объекты к видам деятельности, но фактическая эксплуатация системы важнее кода.
• Реестр информационных систем организации — что реально внедрено и эксплуатируется: ГИС, МИС, диспетчерские, биллинг, АСУ ТП.

Если организация не ведёт деятельность в сферах КИИ, но является госорганом, у неё всё равно есть обязанность по ГосСОПКА с 01.09.2025 (ст. 9 ч. 4 187-ФЗ): сообщать об атаках и инцидентах, взаимодействовать с НКЦКИ. Это отдельный режим, не связанный с категорированием.

Какие системы обычно становятся объектами КИИ в отрасли

Перечень типовых отраслевых объектов КИИ утверждён распоряжением Правительства РФ от 26.02.2026 № 360-р. Это единый документ на 397 позиций, разбитый по 14 сферам ст. 2. Для госсектора важно, что почти в каждом разделе есть позиции «ИС органов исполнительной власти и подведомственных организаций, обеспечивающие выполнение функций в сфере…». Отраслевые особенности категорирования для госсектора как отдельной сферы не приняты, поэтому категорирование идёт по общему порядку ПП № 127 и перечню 360-р.

Ниже — типовые процессы и примеры систем, которые мы регулярно видим в государственных и бюджетных организациях.

ГИС — отдельный режим защиты по приказу ФСТЭК № 117 (с 01.03.2026 заменил приказ № 17), но если ГИС одновременно попадает в сферы КИИ, она категорируется и по 187-ФЗ. Двойной статус не отменяет ни одну из обязанностей.

Как присваивают категорию: показатели значимости для государственных органов и учреждений

Категорию (I, II или III) присваивает комиссия субъекта КИИ на основе показателей значимости из ПП № 127. Для госучреждений чаще всего срабатывают социальные и политические показатели, реже — экономические. Приведём пороги III категории (низшей) по наиболее распространённым для госсектора позициям:

• Показатель 1 — ущерб жизни и здоровью: от 1 до 50 человек пострадавших.
• Показатель 2а — нарушение жизнеобеспечения населения: в пределах одного муниципального образования (от 2 тыс. жителей).
• Показатель 5а — недоступность государственной услуги: от 12 до 24 часов сверх регламентного времени (показатель 5б — до 30% от регламентного времени).
• Показатель 6 — нарушение работы органа государственной власти субъекта РФ (политический ущерб).
• Показатель 12 — пункт управления или ситуационный центр органа государственной власти субъекта РФ.

Важно: если объект не достигает ни одного порога, категория не присваивается. Это тоже результат категорирования, который необходимо оформить актом и направить сведения во ФСТЭК. Отсутствие категории не освобождает от обязанности подать сведения и от обязанности сообщать об инцидентах в ГосСОПКА.

Порядок и сроки категорирования

Если вы определили, что организация — субъект КИИ, нужно пройти процедуру по ПП № 127. Максимальный срок категорирования нормативно не установлен (ранее действовавший 1 год отменён), но во ФСТЭК сведения подаются в течение 10 рабочих дней после утверждения акта. Ниже — типовые шаги.

Пересмотр категорий — не реже одного раза в 5 лет или внепланово при изменении показателей, отраслевых особенностей, реорганизации.

Особенности отрасли, о которых забывают

• ✓ Субъект КИИ определяется не статусом госоргана, а сферой деятельности и принадлежностью систем. Если вы только госучреждение без отраслевых ИС в сферах ст. 2, вы можете не быть субъектом.
• ✓ ГИС и КИИ пересекаются: одна и та же система может иметь два режима защиты. Не выбирайте «что-то одно» — оценивайте по обоим требованиям.
• ✓ Указ № 166: с 01.01.2025 органам власти и заказчикам по 223-ФЗ запрещено использовать иностранное ПО на принадлежащих им значимых объектах КИИ. Для остальных субъектов сроки перехода на российское ПО пока не утверждены.
• ✓ С 01.09.2025 госорганы и госучреждения обязаны взаимодействовать с ГосСОПКА и сообщать об инцидентах независимо от того, есть ли у них объекты КИИ (ст. 9 ч. 4 187-ФЗ). Это отдельная обязанность.
• ✓ Перечни критических процессов и перечни объектов, подлежащих категорированию, отменены (ПП № 1281 и ПП № 1762). Не тратьте время на эти этапы — стартуйте с инвентаризации и сопоставления с 360-р.

Разбор на примере: подведомственный региональный ИТ-центр

Как проводили работу:

• Запросили у ИТ-службы реестр всех информационных систем и описали их назначение, владельцев процессов, взаимосвязи.
• Сопоставили с перечнем 360-р: ГИС здравоохранения попала в раздел I «Здравоохранение»; ИС управления светофорами — в раздел III «Транспорт»; ЦОД, обеспечивающий госуслуги, — как ИТКС; система-112 — в раздел IV «Связь».
• Рассчитали показатели значимости по наихудшему сценарию. Для ГИС здравоохранения: при прекращении работы запись к врачу будет недоступна более 24 часов (показатель 5а — III категория), также потенциальная задержка медпомощи может привести к вреду здоровью (показатель 1 — III категория). Присвоили III категорию. Остальные системы не достигли порогов (например, светофоры на двух перекрёстках — последствия локальны, ЦОД не приводит к недоступности госуслуг >12 часов) — оформили как «без категории».
• Составили единый акт категорирования, утвердили у руководителя и направили сведения во ФСТЭК по форме приказа № 236.
• После включения в реестр значимых объектов (III категории) начали подготовку к выполнению требований: модель угроз, организационные документы, выбор доверенных ПАК, подключение к ГосСОПКА.

Что будет, если не провести категорирование

Ответственность за непредставление сведений о категорировании во ФСТЭК — ст. 19.7.15 КоАП: для должностных лиц 10–50 тыс. ₽, для юрлиц 50–100 тыс. ₽. При повторном нарушении — для должностных лиц 50–100 тыс. ₽, для юрлиц 100–200 тыс. ₽. Нарушение требований к безопасности значимых объектов — ст. 13.12.1 КоАП: должностные лица 10–50 тыс. ₽, юрлица 50–100 тыс. ₽. Если произойдёт атака и повлечёт уничтожение или блокирование информации, возможна уголовная ответственность по ст. 274.1 УК (до 6 лет лишения свободы в зависимости от части).

ФСТЭК проводит плановые проверки раз в 3 года с момента внесения объекта в реестр. Внеплановые — после инцидентов, по предписаниям и поручениям. По данным ФСТЭК на начало 2026 года, из 603 составленных протоколов 492 — за непредставление или несвоевременное представление сведений о категорировании. Это самый частый состав.

После категорирования: что обязательно для значимых и незначимых объектов

Для всех субъектов КИИ действует обязанность сообщать об инцидентах в НКЦКИ: для значимых объектов — не позднее 3 часов с момента обнаружения, для иных объектов КИИ — не позднее 24 часов (приказ ФСБ № 547 от 25.12.2025). Для госорганов и госучреждений эта обязанность распространяется также на системы, не являющиеся объектами КИИ.

Для значимых объектов (I, II, III категории) применяются требования по обеспечению безопасности (приказы ФСТЭК № 239, № 235), обязанность использовать доверенные ПАК (ПП № 1912), а для госорганов — запрет иностранного ПО с 01.01.2025 по Указу № 166. Для незначимых объектов обязательных требований по внедрению СЗИ нет, но рекомендуется модель угроз и базовые организационные меры.

По модели угроз и организационным документам по ИБ даём методическое сопровождение: документ готовит ваш специалист по нашему шаблону, мы консультируем и проверяем. Внедрение сертифицированных средств защиты и аттестация значимых объектов выполняются через партнёра-лицензиата ФСТЭК.

Что мы подготовим и сколько это стоит

Работаем дистанционно по всей России. Вы присылаете опросник (DOCX) и перечень информационных систем, при необходимости проводим созвон с вашей ИТ-службой.

• Проверка, является ли организация субъектом КИИ (по ОКВЭД, лицензиям, уставу, фактическим видам деятельности) — бесплатно при заказе категорирования, с письменным заключением.
• Проект приказа о постоянно действующей комиссии.
• Инвентаризация ИС, ИТКС, АСУ и сопоставление с перечнем 360-р.
• Расчёт показателей значимости по ПП № 127 по наихудшему сценарию с исходными данными.
• Проект акта категорирования (допускается единый на несколько объектов).
• Сведения о результатах категорирования по форме ФСТЭК (приказ № 236 в ред. № 247), включая случаи «без категории».
• Сопровождение до внесения в реестр: правки по замечаниям ФСТЭК — бесплатно.

Цена ниже рыночной за счёт отработанных типовых решений и дистанционного формата: документы готовит специалист по защите информации, а не несколько подрядчиков. Пакет для несложных объектов собран из готовых шаблонов с адаптацией под ваши системы и процессы.

Частые вопросы

Чтобы не ошибиться с отнесением систем к объектам КИИ, используйте услугу категорирования — мы проверим статус субъекта, поможем с перечнем и актами. Типовые формы и нормативная база — в разделе документов по информационной безопасности. Для общего понимания процесса также доступны расчёты и декларации.