Правительство РФ утвердило единый перечень типовых отраслевых объектов КИИ

В числе объектов теперь официально фигурируют не только традиционные инфраструктуры вроде энергетики и ТЭК, но и медицинские и фармацевтические информационные системы, а также государственные ГИС, что подчёркивает расширение КИИ в сторону цифровых сервисов здравоохранения и социальной сферы.

Это нормативное решение имеет глубокие последствия для компаний и органов власти, чьи системы вошли в перечень, — как с точки зрения регуляторики, так и практического управления ИБ-рисками.

Включение объекта в перечень КИИ означает, что на него распространяются особые требования законодательства об информационной безопасности. Среди них — обязательная оценка защищённости, регулярные аудит и контроль, а также повышение уровня устойчивости к угрозам (особенно к атакующим воздействиям и сбоям). Это не только операционная, но и стратегическая обязанность для собственников инфраструктур.

С точки зрения ИБ это означает, что простой эксплуатационный подход («защитили периметр и забыли») больше не подходит. Защитные меры должны быть процессно-ориентированы, постоянны и системно интегрированы в архитектуру объекта.

1. Требования к указанию типов объектов

В соответствии с действующими нормативными предписаниями, с момента утверждения типового перечня объектов критической информационной инфраструктуры (далее — КИИ), субъекты КИИ обязаны указывать в направляемых сведениях по форме 236 приказа ссылку на соответствующий тип объекта из данного перечня.

В случае отсутствия прямого соответствия объекта позициям типового перечня, однако при наличии признаков его критической важности, субъект КИИ руководствуется положениями пункта 22 Постановления Правительства РФ № 127 (далее — ПП127). Указанная норма обязывает субъекта направить во ФСТЭК России предложение о расширении типового перечня. Данная процедура предполагает наличие элемента экспертной оценки соответствия объекта критериям значимости.

2. Отраслевые особенности категорирования

Ожидается утверждение отраслевых особенностей категорирования, что повлечет за собой модификацию существующего регуляторного процесса.

Для ряда отраслей данные изменения могут не существенным образом повлиять на текущую практику.

Для иных сфер, согласно анализу предварительных проектов нормативных актов, прогнозируется значительный пересмотр методологии оценки показателей и присвоения категорий значимости.

Также зафиксированы изменения в перечнях кодов ОКВЭД для отдельных отраслей. В ходе проведения повторного категорирования субъектам рекомендуется осуществить ревизию перечня критических бизнес-процессов и обеспечивающих их информационных систем (ИС) и автоматизированных систем управления (АСУ). Не исключена необходимость включения дополнительных объектов в реестр значимых объектов КИИ.

3. Алгоритм действий субъектов КИИ

На основании вышеизложенного, субъектам надлежит выполнить следующие действия:

1. Актуализация сведений (п. 1.8): утверждение типового перечня не влечет обязательного повторного категорирования, однако требует внесения дополнений в пункт 1.8 ранее направленных во ФСТЭК сведений.

2. Обновление данных по объектам: субъектам, прошедшим процедуру категорирования до вступления в силу изменений в ПП127 (до 16 ноября 2025 г.), необходимо обновить сведения об объектах КИИ.

3. Повторное категорирование: после официального утверждения отраслевых особенностей всем субъектам потребуется провести повторную процедуру категорирования в соответствии с пунктом 21 ПП127.

4. Статус проектов нормативных актов

Следует принимать во внимание, что опубликованные проекты отраслевых особенностей содержат положения, требующие доработки. В связи с этим, финальные редакции нормативных актов могут существенно отличаться от текущих проектов.

Обеспечение высокого качества категорирования – одна из основных задач любого субъекта КИИ, выполнение которой гарантирует надежность и эффективность функционирования объектов критичной инфраструктуры.

Запишитесь на консультацию по Информационной безопасности — и давайте сделаем ваш бизнес надежным и безопасным.

Переходите на сайт агентства — там вас ждут кейсы, которые уже работают, и стратегии, которые выстроят ваш путь к росту.