Правовая основа категорирования и роль регулятора
Категорирование объектов критической информационной инфраструктуры (КИИ) регламентируется Федеральным законом №187‑ФЗ от 26 июля 2017 года, который устанавливает обязанность владельцев и эксплуатантов определить категорию каждого объекта и назначить ответственных лиц. Результаты категорирования фиксируются в регистрационных и отчётных документах, в том числе в форме 236, используемой для отражения выводов и перечня приложений. Для оформления выводов и приложений можно заказать профессиональные услуги по категорированию объектов кии.
Положения 187‑ФЗ, применимые к КИИ
Закон определяет понятие КИИ, разграничивает права и обязанности владельцев и эксплуатантов, вводит три категории объектов по степени потенциального воздействия (I, II, III) и предписывает проведение оценки последствий при нарушениях функционирования. 187‑ФЗ закрепляет обязанность организации назначить ответственного за проведение категорирования и обеспечить ведение документации, подтверждающей принятую категорию.
Полномочия и требования ФСТЭК при категорировании
Федеральная служба по техническому и экспортному контролю (ФСТЭК) издаёт методические указания и проверочные критерии, которые конкретизируют требования закона к оценке рисков, перечню необходимых доказательств и оформлению результатов. Регулятор вправе запрашивать документы, проводить проверки соответствия и требовать доработки материалов при выявлении несоответствий.
Критерии и алгоритм категорирования объектов КИИ
Набор критериев и метрики оценки последствий
Критерии для отнесения объекта к конкретной категории базируются на оценке возможных экономических, социальных и оборонных последствий нарушения функционирования. Оценка включает количественные и качественные показатели: масштаб затронутых субъектов, продолжительность утраты сервисов, вероятность распространения последствий и уровень зависимости других критических систем. На основе этих параметров формируется матрица последствий, позволяющая присвоить одну из трёх категорий.
Пошаговый алгоритм и перечень обязательных документов
Алгоритм категорирования включает последовательность действий:
1. Идентификация функциональных границ объекта и подсистем.
2. Сбор исходных данных: архитектура, перечень сервисов, численность пользователей, межсистемные связи.
3. Оценка последствий по установленным метрикам и сопоставление с критериями категорий.
4. Принятие решения о категории и оформление протокола с обоснованием. Обязательными документами являются акт идентификации, отчёт об оценке последствий, ведомость ответственных лиц и подтверждающие технические документы, а также форма 236 с перечнем приложений.
Основания и порядок перекатегорирования
События и изменения, требующие перекатегорирования
Перекатегорирование проводится при изменении функционала объекта, масштабов его влияния, архитектуры информационных систем, появления новых межсистемных зависимостей или при корректировке оценки рисков. Инициатором может выступать владелец объекта, эксплуатант или регулятор по результатам проверки.
Алгоритм инициирования, согласования и фиксации изменений
Инициирование начинается с подготовки обоснования изменений и обновлённой оценки последствий. После внутренней проверки результаты направляются на согласование ответственному лицу и, при необходимости, в ФСТЭК. Финальное решение фиксируется в обновлённой форме 236 с указанием причин перекатегорирования, даты и подписей ответственных.
Форма 236 — структура, заполнение и оформление
Структурные блоки формы 236 и обязательные поля
Форма 236 предназначена для фиксации результатов категорирования и содержит блоки: идентификация объекта (наименование, уникальный идентификатор), принятая категория (I/II/III), обоснование (результаты оценки последствий), сведения об ответственном лице (ФИО, должность), список прилагаемых документов и дата утверждения. В поле обоснования указываются количественные параметры оценки и ссылки на методические источники.
Практические замечания по заполнению и сопроводительным приложениям
При заполнении важно сохранять согласованность данных между разделами: ссылки на приложения должны соответствовать номерам и датам. В качестве приложений рекомендуется прилагать диаграммы связей, таблицы оценки последствий и копии технических спецификаций, подтверждающих исходные данные. Недостаточная доказательная база обычно становится причиной замечаний при проверке.
Документация, доказательная база и ведение учёта
Какие документы собрать и как их хранить
Собираемая документация включает акты идентификации, отчёты по оценке рисков, схемы архитектуры, протоколы испытаний и журнал учёта изменений. Хранение должно обеспечивать целостность и доступность документов для проверок: используются систематизированные реестры с датами формирования и ответственными лицами.
Требования к журналам, протоколам и срокам хранения
Журналы и протоколы должны фиксировать хронологию действий, фамилии ответственных, ссылки на использованные источники и даты. Формат записей должен позволять верификацию и восстановление состояния на конкретную дату. При проверках ФСТЭК именно такие записи служат основной доказательной базой.
Контроль, проверки и ответственность при несоответствиях
Сценарии проверок ФСТЭК и порядок взаимодействия
Проверки могут быть плановыми и внеплановыми, включать запрос документов, инспекционные выезды и тестирование механизмов защиты. Взаимодействие предполагает предоставление запрошенной документации, обоснование принятых решений и поэтапное устранение замечаний в установленные регулятором сроки.
Риски, типичные нарушения и порядок их устранения
Типичные нарушения включают отсутствие обоснований при назначении категории, неполную документальную базу и несвоевременное перекатегорирование. Последствия — замечания по результатам проверки и требование доработок. Устранение нарушений проходит через корректировку оценок, дополнение приложений и повторную фиксацию результатов в форме 236.