Показатели значимости объектов КИИ по ПП № 127: как присвоить категорию в Нурсултан
Перед комиссией субъекта критической информационной инфраструктуры стоит задача рассчитать показатели значимости объекта. На практике путаница возникает уже на этапе выбора исходных данных: какие сценарии рассматривать, как трактовать пороги и как оформить решение о том, что категория не требуется. Ошибки на этом этапе приводят к возврату сведений ФСТЭК и повторной работе комиссии.
В статье разберём, как работают пять групп критериев по ПП РФ № 127, какие пороги соответствуют III категории, и как в Нурсултан корректно оформить результат, включая случай «без категории». Материал опирается на действующую редакцию Правил категорирования от 07.11.2025 и единый перечень типовых отраслевых объектов — распоряжение Правительства № 360-р.
Коротко
- Категорирование проводят по ПП РФ № 127 с учётом единого перечня типовых отраслевых объектов (распоряжение № 360-р) и отраслевых особенностей, если они приняты для вашей сферы.
- Оцениваются пять групп показателей: социальная, политическая, экономическая, экологическая и обеспечение обороны.
- Категория присваивается по наивысшему значению любого показателя; если пороги не превышены, категория не присваивается.
- Сведения о результатах (включая «без категории») направляются во ФСТЭК в течение 10 рабочих дней после утверждения акта.
- Пересмотр категории — не реже раза в 5 лет, если отраслевые особенности не устанавливают иной срок.
Пять групп критериев значимости
Показатели значимости, установленные перечнем к ПП РФ № 127, сгруппированы в пять направлений. Каждое из них комиссия обязана рассмотреть применительно к объекту.
Важно: если хотя бы по одному показателю достигается порог I категории, остальные показатели можно не рассчитывать — объекту сразу присваивается I категория. Во всех остальных случаях категория определяется по наивысшему значению достигнутого порога.
Показатели и пороги
Ниже — пороги III категории (низшей) по всем показателям из действующей редакции ПП № 127. Если хотя бы один из них достигнут, объект получает минимум III категорию. Если ни один не достигнут — категория не присваивается.
| № | Показатель | Порог III категории |
|---|---|---|
| 1 | Ущерб жизни и здоровью (человек) | ≥1 и ≤50 |
| 2 | Объекты жизнеобеспечения: территория / число людей | В пределах одного муниципального образования (от 2 тыс. человек) или внутригородской территории города федерального значения / ≥2 тыс. и <1000 тыс. человек |
| 3 | Транспорт: территория и люди без транспортных услуг / типы перевозок / категория ОТИ | Как показатель 2 / мультимодальные и интермодальные / ОТИ 3-й или 4-й категории |
| 4 | Связь: абоненты без услуг (тыс.) / уровень органа без связи | ≥3 и <1000 / орган государственной власти субъекта РФ |
| 5 | Госуслуга недоступна / % от регламентного времени | ≤24 и >12 часов / ≤30 |
| 6 | Нарушение работы госоргана (политическая) | Орган государственной власти субъекта РФ |
| 7 | Международные договоры | Межведомственный |
| 8 | Ущерб госкорпорации, ГУП, ОПК, стратегическому АО или предприятию (% снижения годового дохода) | ≥1 и ≤10 |
| 9 | Ущерб бюджету РФ (% прогнозного дохода федерального бюджета) | >0,0003 и ≤0,0006 |
| 10 | Переводы денег: среднедневные операции (млн) | ≤70 |
| 10(1)–10(7) | Финансовые показатели: ЦКА / ЦД / НПФ / страховщик / оператор обмена / МФК / БКИ | <1 трлн руб./день / <10 тыс. ISIN / ≥50 и <1000 млрд руб. / ≥100 и <1500 млрд руб. / ≥25 и <100 договоров / ≥100 и <1000 млрд руб. займов / ≥30 и <200 млн кредитных историй |
| 11 | Экология: территория и люди | Как показатель 2 |
| 12 | Пункт управления или ситуационный центр | Орган государственной власти субъекта РФ |
| 13 | ГОЗ: снижение объёма / рост времени / статус в кооперации | >0% и ≤10% / >0% и ≤10% / соисполнитель, субподрядчик |
| 14 | ИС обороны, безопасности, правопорядка: допустимое время недоступности (ч) | ≤4 и >2 |
Сноска к показателю 2: под объектами обеспечения жизнедеятельности понимаются объекты водо-, тепло-, газо- и электроснабжения населения.
Как считать: исходные данные и допущения
Пункт 10 ПП № 127 определяет исходные данные для расчёта. Это сведения об объекте, состав обрабатываемой информации, декларации промышленной безопасности ОПО и ГТС, паспорт безопасности объекта ТЭК, взаимосвязи объектов, данные об угрозах и статистика инцидентов, а также перечни типовых отраслевых объектов. Если для вашей сферы утверждены отраслевые особенности категорирования, они также применяются.
Ключевое требование — рассматривать наихудшие сценарии целенаправленных атак. Под ними понимается прекращение функционирования объекта или нарушение заданных параметров проектного либо штатного режима. Нельзя брать средние или «наиболее вероятные» значения.
Комиссия обязана зафиксировать выбранные исходные данные и допущения, чтобы расчёт был проверяемым. Если по одному показателю сразу достигается I категория, остальные можно не считать — объект получает I категорию. Если порог III категории не достигнут ни по одному показателю, категория не присваивается.
Пример расчёта на условном объекте
Возьмём условную медицинскую организацию в Нурсултан с медицинской информационной системой (МИС). Комиссия рассматривает наихудший сценарий: в результате атаки МИС перестаёт работать, лабораторные исследования останавливаются, мониторинг пациентов в реанимации нарушается. По оценке комиссии, возможен вред здоровью от 5 до 10 человек. Это соответствует показателю 1 (ущерб жизни и здоровью ≥1 и ≤50) — объект получает III категорию.
Дополнительно проверяют показатель 5 (госуслуги). Допустим, МИС используется для записи на приём к врачу, регламентное время оказания услуги — 12 часов. Если простой составляет до 24 часов, то превышение регламентного времени менее 30%, и порог III категории по этому показателю не достигается. Остальные показатели не применимы.
Итог: объекту присваивается III категория. Это условный пример — в реальности исходные данные и пороги зависят от конкретного объекта и отрасли.
Без категории — тоже результат
Если ни один показатель не достиг порога III категории, категория не присваивается. Однако это не освобождает субъекта КИИ от обязанностей. Комиссия оформляет акт с решением об отсутствии необходимости присвоения категории, а сведения о результатах категорирования направляются во ФСТЭК по форме, утверждённой приказом ФСТЭК № 236 (в редакции приказа № 247 от 11.07.2025).
Срок направления сведений — 10 рабочих дней со дня утверждения акта руководителем субъекта. Даже если объект «без категории», субъект обязан информировать НКЦКИ об инцидентах в течение 24 часов с момента их обнаружения (для незначимых объектов КИИ). Непредставление сведений о категорировании грозит штрафом по ст. 19.7.15 КоАП РФ.
Пересмотр категории
По общему правилу категория пересматривается не реже одного раза в 5 лет. Внеплановый пересмотр проводится при изменении показателей значимости, отраслевых особенностей, по решению ФСТЭК по итогам проверки, при изменении объекта или реорганизации субъекта.
Отраслевые особенности могут устанавливать более частый пересмотр. Например, для оборонной промышленности (постановление Правительства № 796 от 27.06.2026) предусмотрено: для объектов без категории — ежегодно, для III категории — раз в 2 года, для II — раз в 3 года, для I — раз в 5 лет.
Типовые ошибки
- ✗ Ориентироваться на отменённый этап утверждения перечня критических процессов.
Как правильно: Понятие «критических процессов» исключено постановлением Правительства № 1762 от 07.11.2025. Сегодня отправная точка — сопоставление систем с перечнем типовых отраслевых объектов (распоряжение № 360-р). - ✗ Считать, что «без категории» значит ничего не отправлять.
Как правильно: Сведения об отсутствии необходимости присвоения категории направляются во ФСТЭК в общем порядке. За непредставление — штраф по ст. 19.7.15 КоАП. - ✗ Рассчитывать показатели по «среднему» сценарию.
Как правильно: ПП № 127 прямо требует рассматривать наихудшие сценарии целенаправленных атак, а не усреднённые значения. - ✗ Использовать приказ ФСТЭК № 239 как методику категорирования.
Как правильно: Показатели значимости и порядок расчёта установлены ПП № 127 и отраслевыми особенностями. Приказ № 239 содержит требования к мерам защиты значимых объектов, а не методику присвоения категорий. - ✗ Забывать про новые пороги для МФК и БКИ, введённые ПП № 1762.
Как правильно: Проверьте актуальную редакцию ПП № 127: пороги для микрофинансовых компаний (от 100 млрд руб. займов в год) и бюро кредитных историй (от 30 млн кредитных историй) уточнены в 2025 году.
Чем поможет МелданаСБ
МелданаСБ готовит документы по категорированию объектов КИИ дистанционно по всей России. Состав работ включает:
- Проверку, является ли организация субъектом КИИ: по ОКВЭД, лицензиям, уставу и фактическим видам деятельности. Если субъект не определяется — письменное заключение, и до оплаты вы узнаете, нужно ли категорирование.
- Проект приказа о постоянно действующей комиссии по категорированию.
- Инвентаризацию ИС, ИТКС и АСУ, сопоставление их с перечнем типовых отраслевых объектов (распоряжение № 360-р) и отраслевыми особенностями (если приняты для вашей сферы).
- Расчёт показателей значимости по ПП № 127 по наихудшему сценарию на основе собранных исходных данных.
- Проект акта категорирования (допускается единый акт на несколько объектов).
- Подготовку сведений о результатах категорирования по форме ФСТЭК (приказ № 236 в ред. № 247), в том числе об отсутствии необходимости присвоения категории.
- Сопровождение до внесения в реестр / принятия сведений ФСТЭК — правки по замечаниям бесплатно.
Аттестацию, поставку и внедрение сертифицированных средств защиты на значимых объектах, а также лицензируемые работы выполняет партнёр-лицензиат ФСТЭК. Причина доступной цены — отработанные типовые решения и дистанционный формат; документы готовит специалист по защите информации, а не автоматизированный сервис.
| Вариант | Рынок | МелданаСБ | Срок |
|---|---|---|---|
| Категорирование + сведения ФСТЭК | 80–300 тыс. ₽ | от 29 900 ₽ | 7–10 раб. дней (до 5 объектов) |
| Модель угроз ИБ | 20–50 тыс. ₽ | от 12 900 ₽ | по опроснику |
| Категорирование + модель угроз | 100–350 тыс. ₽ | от 39 900 ₽ | по опроснику |
✓ Проверим, является ли ваша организация субъектом КИИ, — бесплатно при заказе категорирования
✓ Рассчитаем показатели значимости по наихудшему сценарию
✓ Оформим акт и сведения по форме ФСТЭК
Заказать категорирование КИИЧастые вопросы
Что значит «без категории»?
Что такое худший сценарий?
Кто считает ущерб?
Можно ли занизить показатели?
Как часто пересматривать категорию?
Если вам нужно подготовить не только категорирование, но и сопутствующие документы по информационной безопасности, обратите внимание на модель угроз ИБ и организационные документы по ИБ. Подробнее об услуге категорирования — на странице услуги.
Категорирование КИИ по отраслям
- Здравоохранение: клиники, больницы, лаборатории
- Наука и образование: вузы, НИИ
- Госорганы, учреждения, ГИС
- Железнодорожный транспорт и метро
- Авиация и аэропорты
- Морской, речной, автотранспорт и логистика
- Связь: операторы, провайдеры, ЦОД
- Электроэнергетика: генерация, сети, сбыт
- ТЭК: нефть, газ, АЗС, нефтебазы
- ЖКХ: водоканалы, теплоснабжение
- Металлургия
- Химическая промышленность
- Горнодобывающая промышленность
- Оборонная промышленность
- Банки и кредитные организации
- Финансовый рынок: страховщики, МФО, брокеры, НПФ
Пошаговое руководство
