За последние годы правила категорирования объектов КИИ заметно изменились: появился единый перечень типовых отраслевых объектов, добавились новые штрафы. Ниже — что нужно знать руководителю или специалисту, отвечающему за информационную безопасность.
Что такое категорирование объектов КИИ
Категорирование объекта КИИ — процедура установления соответствия объекта критической информационной инфраструктуры критериям значимости и показателям их значений, присвоение ему одной из категорий значимости и проверку сведений о результатах ее присвоения. Обязанность закреплена в Федеральном законе от 26.07.2017 № 187-ФЗ, а порядок задает постановление Правительства РФ от 08.02.2018 № 127.
| Коротко • Кого касается: госорганы, госучреждения и российские юрлица в сферах, указанных в законе, — если их системы входят в перечень типовых объектов. • Что оценивают: ущерб от сбоя по пяти критериям — социальному, политическому, экономическому, экологическому и оборонному. • Результат: I, II или III категория значимости либо решение, что категория не нужна. • Как часто: не реже раза в пять лет и после существенных изменений системы или правил. |
Объект КИИ — это информационная система, информационно-телекоммуникационная сеть или автоматизированная система управления (АСУ) организации, работающей в одной из сфер, перечисленных в законе. Категорирование показывает, какие из этих систем действительно критичны. Комиссия оценивает, что произойдёт при остановке или взломе объекта, и сверяет результат с пороговыми значениями.
Присвоенная категория определяет требования к защите объекта — организационные и технические меры, средства защиты информации.
Кому нужно проходить категорирование
Обязанность лежит на субъектах КИИ — государственных органах, государственных учреждениях и российских юридических лицах, у которых на праве собственности, аренды или ином законном основании есть информационные системы, сети или АСУ в одной из сфер:
- здравоохранение, наука, транспорт, связь, энергетика, топливно-энергетический комплекс, атомная энергетика, банковская сфера и финансовые рынки, оборонная, ракетно-космическая, горнодобывающая, металлургическая и химическая промышленность, государственная регистрация прав на недвижимость.
Принадлежность к отрасли — лишь первый шаг. С февраля 2026 года отправная точка — единый перечень типовых отраслевых объектов КИИ, около 400 позиций (распоряжение Правительства РФ от 26.02.2026 № 360-р). Если тип вашей системы в нём есть, её нужно категорировать.
Что изменилось в 2025–2026 годах
• Индивидуальные предприниматели больше не субъекты КИИ. Исключены с 1 сентября 2025 года (Федеральный закон от 07.04.2025 № 58-ФЗ).
• Обновлен порядок категорирования. Постановление Правительства РФ от 07.11.2025 № 1762 изменило ПП № 127: этап определения «критических процессов» убрали, а показатели теперь считают с учетом отраслевых особенностей.
• Появился единый перечень типовых объектов — распоряжение № 360-р от 26.02.2026. Он заменяет самостоятельный поиск объектов.
• Добавлена ответственность за нарушение правил эксплуатации объектов КИИ — новая ст. 13.12.2 КоАП РФ, действует с 20 апреля 2026 года.
Критерии и категории значимости
Комиссия оценивает возможный ущерб по пяти критериям:
• Социальной значимости — вред жизни и здоровью людей, нарушение обеспечения жизнедеятельности населения, работы транспорта, связи, сбои в оказании государственных услуг;
• Политической значимости — последствия для государственного управления и выполнения международных обязательств;
• Экономической значимости — прямые и косвенные финансовые потери, нарушение проведения финансовых операций;
• Экологической значимости — масштаб воздействия на окружающую среду;
• Оборонной значимости — влияние на обороноспособность, безопасность государства и правопорядок.
Значимость определяется по масштабу возможных негативных последствий, которые могут наступить при прекращении или нарушении работы объекта. Установлены следующие категории значимости:
| Категория значимости | Последствия при нарушении работы объекта |
|---|---|
| Первая | Самые тяжелые: угроза безопасности государства, жизни и здоровью людей, серьезный ущерб экономике страны. |
| Вторая | Значительные, но ограниченные по масштабу нарушения важных процессов. |
| Третья | Ограниченное воздействие без серьёзных последствий для государства. |
| Без категории | Ни один показатель не достиг порогового значения. |
Итоговая категория объекта присваивается по наихудшему (высшему) показателю. Если хотя бы один параметр соответствует первой категории, весь объект получает первую категорию.
Как проходит категорирование
Процедура категорирования включает несколько основных этапов:
- Выявление объектов. Определение систем, сетей и АСУ организации, подпадающих под перечень типовых объектов.
- Создание комиссии. Назначение комиссии приказом, комиссия оценивает значимость объектов и принимает решения.
- Описание объектов. Уточнение границ, состава и функций системы, ее роли в важных для организации процессах.
- Оценка последствий. Расчет возможного ущерба по критериям с учетом отраслевых особенностей.
- Присвоение категории. Сравнение показателей с пороговыми значениями и принятие решения: I, II, III категория или объект незначимый.
- Оформление результатов. Составление акта категорирования и протокола заседания комиссии.
- Направление сведений во ФСТЭК России в установленном порядке.
| Что получает заказчик по итогам работ: • Акт категорирования, подписанный комиссией — юридически значимый документ. • Комплект ОРД — регламенты, инструкции, положения для внутреннего использования. • Форма №236 — готовая к отправке во ФСТЭК, с пояснениями. • Гарантия соответствия — если ФСТЭК вернет документы — доработаем за свой счёт. |
Когда проводить или пересматривать категорирование
Категорирование нужно, если выполняется хотя бы одно условие:
• Система подпадает под перечень типовых объектов — и раньше ее не категорировали.
• Систему существенно изменили: заменили программное обеспечение, перестроили архитектуру, расширили масштаб.
• Изменились правила. Если категорирование проводили по прежним правилам, проверьте, что его результаты соответствуют обновленному порядку и перечню.
• Пришёл плановый срок: пересмотр — не реже одного раза в пять лет, даже если ничего не менялось.
Если подходит хотя бы одно условие, лучше проверить статус организации заранее, не дожидаясь проверки ФСТЭК.
Что грозит за нарушения
Для юридических лиц предусмотрены штрафы по КоАП РФ:
• за непредставление, несвоевременное или недостоверное представление сведений о результатах категорирования — от 50 до 100 тысяч рублей (ст. 19.7.15);
• за нарушение требований к безопасности значимых объектов — от 50 до 500 тысяч рублей в зависимости от состава нарушения (ст. 13.12.1);
• за нарушение правил эксплуатации объектов КИИ — до 500 тысяч рублей (ст. 13.12.2).
Кроме штрафов, отсутствие категорирования оставляет без защиты действительно важные системы: организация не знает, что нужно защищать в первую очередь, и распределяет бюджет на кибербезопасность вслепую.
| Не уверены, подлежит ли ваша организация категорированию? Оставьте заявку — бесплатно посмотрим на вашу инфраструктуру, расскажем о реальных рисках и сроках. А дальше возьмем на себя категорирование под ключ: от приказа о комиссии до подачи сведений во ФСТЭК. Получить консультацию → |
Частые вопросы
Что такое категорирование объектов КИИ?
Это обязательная оценка того, насколько тяжелыми будут последствия, если информационная система, сеть или АСУ организации выйдет из строя. По итогам объекту присваивают I, II или III категорию значимости либо подтверждают, что категория ему не нужна.
Кто обязан проходить категорирование?
Государственные органы, государственные учреждения и юридические лица, у которых есть информационные системы, сети или АСУ в сферах, названных в законе: здравоохранение, транспорт, связь, энергетика, банки и другие. Категорировать нужно системы, которые входят в перечень типовых отраслевых объектов КИИ.
Нужно ли категорирование индивидуальным предпринимателям?
Нет. С 1 сентября 2025 года индивидуальные предприниматели не являются субъектами КИИ.
Сколько существует категорий значимости?
Три: первая, вторая и третья. Первая — самые тяжёлые возможные последствия. Если показатели не достигают пороговых значений, категория не присваивается.
Как часто нужно пересматривать категорию?
Не реже одного раза в пять лет. Раньше — если систему существенно изменили или обновились правила категорирования.
Что грозит за отсутствие категорирования?
Штрафы по КоАП РФ: за непредставление или недостоверные сведения о результатах категорирования (ст. 19.7.15) юридическим лицам грозит от 50 до 100 тысяч рублей, за нарушение требований к безопасности значимых объектов — до 500 тысяч рублей.