Категорирование КИИ для операторов связи и интернет-провайдеров в Нурсултан

Региональный интернет-провайдер с лицензией на услуги связи получает уведомление от ФСТЭК или запрос от отраслевого регулятора. Руководитель открывает 187-ФЗ: компания владеет сетью передачи данных, биллингом и системой мониторинга. Формально она — субъект критической информационной инфраструктуры. Но что именно категорировать, по каким показателям и в какой срок — непонятно. В Нурсултан таких организаций много, и вопросы почти всегда одни и те же.

Ниже разберём, как оператору связи или провайдеру понять, является ли он субъектом КИИ, какие системы обычно попадают в перечень, как присвоить категорию и что будет, если не провести категорирование. Материал опирается на действующие редакции: 187-ФЗ, правила категорирования ПП РФ № 127, перечень типовых объектов 360-р и отраслевые особенности связи ПП РФ № 402.

Является ли оператор связи, интернет-провайдер или ЦОД субъектом КИИ

Критерий субъекта закреплён в п. 8 ст. 2 187-ФЗ. Дословно:

Субъекты КИИ — государственные органы, государственные учреждения и российские юридические лица, которым на праве собственности, аренды или ином законном основании принадлежат информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления, функционирующие в сфере связи, а также российские юридические лица, которые обеспечивают взаимодействие указанных систем или сетей.

Для практического вывода достаточно проверить три группы сведений: лицензии Роскомнадзора, фактический вид деятельности по ОКВЭД и наличие собственных или арендованных ИС/ИТКС/АСУ, которые участвуют в оказании услуг связи. Наличие лицензии на услуги связи — сильный признак, но оценивать нужно не только формальный код ОКВЭД, а реальные процессы: предоставление доступа в интернет, передача голоса, вещание, управление сетью, биллинг.

Пограничные случаи в отрасли:

Мы проверяем статус по ОКВЭД, лицензиям, уставу и фактическим видам деятельности. При заказе категорирования письменное заключение «субъект или нет» — бесплатно.

Какие системы обычно становятся объектами КИИ в отрасли

По действующему порядку категорированию подлежат системы, которые соответствуют типовым объектам из единого перечня — распоряжение Правительства РФ № 360-р от 26.02.2026. Для связи это раздел IV. Для сферы связи с 01.09.2026 утверждены отраслевые особенности по ПП РФ № 402, поэтому категорирование идёт по общему правилу ПП № 127 с учётом этих особенностей.

Ниже — типовой набор систем, которые на практике рассматривают у операторов связи и провайдеров.

Фактический перечень всегда зависит от схемы сети и бизнес-процессов. Не все перечисленные системы автоматически получают категорию — сначала их сопоставляют с типовыми объектами 360-р, затем считают показатели значимости.

Как присваивают категорию: показатели значимости для операторов связи

Для сферы связи отраслевые особенности ПП РФ № 402 сужают набор применяемых показателей. Для всех операторов связи применяются:

• Показатель 4а — число абонентов, которые останутся без услуг связи. Порог III категории: от 3 тыс. до 999 999 абонентов (≥3 и <1000 тыс.).
• Показатель 9 — ущерб бюджету РФ. Для небольших частных операторов на практике редко достигает порога III категории, но формально применяется.

Показатель 4б (уровень органа власти, оставшегося без связи) применяется только к операторам, которые оказывают услуги связи по госконтрактам. Если таких контрактов нет, показатель 4б не используется.

Ключевой вывод для большинства провайдеров: категорию чаще всего определяет показатель 4а. Если оператор имеет от 3 тыс. абонентов, включая юридических лиц, как минимум один объект обычно получает III категорию. Если объект не достигает ни одного порога, комиссия фиксирует, что присвоение категории не требуется. Но это тоже результат, который нужно оформить актом и направить во ФСТЭК сведения об отсутствии необходимости присвоения категории.

Порядок и сроки категорирования

Пересмотр категорий — не реже раза в 5 лет, если отраслевые особенности не устанавливают иной срок. Для сферы связи сокращённых сроков пересмотра не установлено, действует общее правило.

Особенности отрасли, о которых забывают

• ✓ Лицензия на услуги связи — сильный признак субъекта. Даже одна лицензия на телематические услуги при наличии сети доступа и биллинга обычно делает компанию субъектом КИИ.
• ✓ СОРМ и ТСПУ — отдельные режимы. Их требования не заменяют категорирование КИИ и не отменяют его.
• ✓ Показатели считаются по числу абонентов, включая юридических лиц. Если не учитывать корпоративных абонентов, можно занизить категорию.
• ✓ Показатель 4б применяется только при контрактах связи с госорганами. Обычному провайдеру без госконтрактов он не нужен.
• ✓ У подведомственных операторов и операторов универсального обслуживания в комиссию по категорированию должны входить представители Минцифры и Роскомнадзора. Для остальных это не обязательно.

Разбор на примере: региональный интернет-провайдер на 40 тыс. абонентов

Как шла работа:

• Запросили лицензии, схему сети, перечень ИС/ИТКС, сведения об абонентах: физические лица и корпоративные абоненты суммарно 40 тыс.
• Сопоставили системы с разделом IV 360-р. Сеть доступа и биллинг прямо соответствуют типовым объектам. OSS и граничный маршрутизатор — тоже. Остальные системы, например внутренний портал, в перечень не попали.
• По наихудшему сценарию рассчитали показатели. Для сети доступа прекращение услуг затронуло 40 тыс. абонентов, что даёт III категорию. Для OSS и пограничного маршрутизатора пороги не достигнуты: объекты не приводят к прекращению услуг у абонентов в масштабе, превышающем порог.
• Составили единый акт категорирования: один объект III категории, три без категории. Руководитель утвердил акт.
• Во ФСТЭК направили сведения по форме приложения № 1 к приказу ФСТЭК № 236 в редакции приказа № 247: наименование объекта, типовой отраслевой объект, показатели, категория, доменные имена и сетевые адреса для объектов, взаимодействующих с интернетом.

После включения значимого объекта в реестр начнут действовать требования к безопасности значимых объектов: система безопасности по приказу ФСТЭК № 235, меры по приказу № 239, информирование об инцидентах в течение 3 часов, непрерывное взаимодействие с ГосСОПКА. Также с 01.09.2024 на значимых объектах нельзя использовать недоверенные ПАК, приобретённые с этой даты, а к 31.12.2029 нужно достичь 100% доверенных ПАК по ПП № 1912.

Что будет, если не провести категорирование

ФСТЭК вправе направить субъекту требование о представлении сведений. Непредставление, нарушение сроков или недостоверные сведения о категорировании — административная ответственность по ч. 1 ст. 19.7.15 КоАП РФ:

• должностные лица — 10–50 тыс. ₽;
• юрлица — 50–100 тыс. ₽.

Повторное нарушение (ч. 3 ст. 19.7.15) — для должностных лиц 50–100 тыс. ₽, для юрлиц 100–200 тыс. ₽. Также действует ст. 13.12.1 КоАП за нарушение требований к безопасности значимых объектов: от 50 тыс. до 500 тыс. ₽ в зависимости от состава. С 20.04.2026 введена ст. 13.12.2 КоАП за нарушение правил эксплуатации средств и систем КИИ: юрлицам 100–500 тыс. ₽.

Если нарушение привело к уничтожению, блокированию, модификации или копированию информации, возможна уголовная ответственность по ст. 274.1 УК РФ — вплоть до лишения свободы на срок до 10 лет при тяжких последствиях.

Кроме штрафов, ФСТЭК проводит плановые проверки раз в 3 года после внесения объекта в реестр и внеплановые при инциденте или неисполнении предписания. Отраслевые регуляторы вправе мониторить достоверность сведений, в том числе выездом на объекты, и сообщать о нарушениях во ФСТЭК.

После категорирования: что обязательно для значимых и незначимых объектов

Для всех субъектов КИИ, независимо от того, есть ли значимый объект:

• Информировать ФСБ об инцидентах: для значимых объектов — не позднее 3 часов, для иных объектов КИИ — не позднее 24 часов (приказ ФСБ № 547 от 25.12.2025).
• Получать и хранить сведения о категорировании, своевременно направлять изменения во ФСТЭК.

Для значимых объектов дополнительно:

• Создать систему безопасности по приказу ФСТЭК № 235 и выполнять меры по приказу № 239.
• Обеспечить непрерывное взаимодействие с ГосСОПКА.
• Применять доверенные ПАК по ПП № 1912: с 01.09.2024 запрещены недоверенные ПАК, приобретённые с этой даты, к 31.12.2029 — 100%.
• Разработать план реагирования в течение 90 дней после включения в реестр и направить копию в НКЦКИ в течение 7 дней после утверждения.

По модели угроз и организационным документам по ИБ даём методическое сопровождение: документ готовит ваш специалист по нашему шаблону, мы консультируем и проверяем — модель угроз ИБ от 12 900 ₽. Внедрение сертифицированных СЗИ и аттестацию выполняем через партнёра-лицензиата ФСТЭК.

Что мы подготовим и сколько это стоит

• Проверка, является ли организация субъектом КИИ, с письменным заключением — бесплатно при заказе категорирования.
• Проект приказа о постоянно действующей комиссии по категорированию.
• Инвентаризация ИС, ИТКС и АСУ с сопоставлением с перечнем 360-р и отраслевыми особенностями ПП № 402.
• Расчёт показателей значимости по ПП № 127 по наихудшему сценарию с исходными данными.
• Проект акта категорирования — единый на несколько объектов.
• Сведения по форме ФСТЭК (приказ № 236 в ред. № 247), включая сведения об отсутствии необходимости присвоения категории.
• Сопровождение до принятия сведений ФСТЭК: правки по замечаниям бесплатно.

Мы не закладываем в цену выезды на объект и переписывание документов с нуля под каждый случай. Работаем дистанционно: опросник DOCX + перечень систем + сведения о процессах, при необходимости созвон с ИТ-службой. Используем отработанные типовые решения под отрасль связи и форму ФСТЭК. Документы готовит специалист по защите информации, а не менеджер.

Частые вопросы

Сомневаетесь, касается ли это вашей организации в Нурсултан? Закажите проверку статуса субъекта — она бесплатна при заказе категорирования. Посмотрите также раздел документов по информационной безопасности, модель угроз ИБ или страницу услуги категорирования КИИ.