Нормативная база и документы субъекта КИИ
Что обязан иметь субъект критической информационной инфраструктуры — и как объём требований зависит от того, есть ли у вас значимые объекты. Учтены изменения 2025–2026 гг.
- Касается ли вас 187-ФЗ — и что делать первым
- Пошаговый маршрут, сроки и штрафы — простым языком
- Какие документы нужны — списком и с образцами
Проверка — до 4 вопросов, без регистрации · сразу к чек-листу
- 18 разделов памятки
- 34 разбора НПА
- каждый месяц — обзор изменений
- Учтены 187-ФЗ, ПП № 1762, ФСТЭК № 235 / 239, ФСБ № 547 / 548
Это про вас? Кто такой субъект КИИ
Прежде чем разбираться с документами — поймите, относится ли закон к вам. Субъект КИИ — это госорган, государственное учреждение или российское юридическое лицо, которому на праве собственности, аренды или ином законном основании принадлежат информационные системы, сети (ИТКС) или АСУ, работающие в одной из установленных законом сфер. С 01.09.2025 индивидуальные предприниматели из числа субъектов КИИ исключены (ФЗ № 58-ФЗ).
14 сфер, в которых возникает статус субъекта КИИ
Перечень закреплён в п. 8 ст. 2 187-ФЗ (сфера госрегистрации прав на недвижимость добавлена ФЗ № 312-ФЗ от 10.07.2023; действующая редакция — ФЗ № 58-ФЗ). Субъектами признаются также юрлица, обеспечивающие взаимодействие таких систем и сетей.
С чего начать — пошаговый маршрут
Если вы только разобрались, что относитесь к субъектам КИИ, — вот порядок действий. Сначала обязательное для всех (категорирование), затем дополнительный блок, если по итогам есть значимые объекты.
Понять статус и охват старт
Проверьте, относитесь ли вы к субъектам КИИ (см. раздел «Это про вас?»), и составьте предварительный список систем, обслуживающих вашу деятельность.
Раздел «Это про вас?» →Создать комиссию и выявить объекты первые недели
Издайте приказ о комиссии по категорированию и сопоставьте свои системы с перечнем типовых отраслевых объектов (№ 360-р). Утверждать перечень объектов и отправлять его в ФСТЭК больше не нужно — эту обязанность отменило ПП № 1281 (с 27.12.2024). Внутренний реестр объектов при этом полезно вести для себя.
Типовые объекты по отраслям →Категорировать и направить результаты без затягивания
Подготовьте материалы обоснования, проведите категорирование, оформите акты по каждому объекту. Общий срок «не более года» отменён вместе с перечнем, но если в вашей сфере утверждены отраслевые особенности — сверьтесь с ними. Сведения о результатах (в том числе «категория не присвоена») направьте в ФСТЭК — 10 рабочих дней после утверждения акта.
Как пройти категорирование →Закрыть требования Указа № 250 параллельно
Назначьте заместителя руководителя, ответственного за ИБ, и подразделение по ИБ, обеспечьте оценку защищённости. Это нужно независимо от наличия значимых объектов.
Что требует Указ № 250 →Если есть значимые объекты (ЗОКИИ) доп. блок
Создайте систему безопасности (№ 235), реализуйте меры защиты (№ 239) и модель угроз, направьте сведения в реестр ЗОКИИ (№ 227), подключитесь к ГосСОПКА и НКЦКИ (план реагирования — 90 дней, личный кабинет — № 548), выполните импортозамещение (№ 166, № 1912).
Что нужно для значимых объектов →Поддерживать в актуальном состоянии постоянно
Реагируйте на инциденты в сроки (3 часа для значимых, 24 — для остальных), пересматривайте категорию не реже раза в 5 лет (если отраслевые особенности не задают иной срок) и отслеживайте изменения нормативки — раздел «Изменения 2025–2026» и ежемесячный обзор «Новое в законах».
Сроки и периодичность →Главный принцип
У субъекта КИИ нет единого «утверждённого списка из 5 документов». Логика обратная: какие обязанности возникают по закону — такие документы и нужно иметь. Объём документации зависит от того, есть ли у вас значимые объекты КИИ.
Все субъекты КИИ
Категорирование: комиссия, обоснование, акт, направление сведений в ФСТЭК.
Документы уровня 1 →У кого есть значимые объекты
Дополнительно: система безопасности, меры защиты и взаимодействие с ГосСОПКА.
Документы уровня 2 →Значимые и незначимые объекты — в чём разница
Любой объект КИИ проходит категорирование. По его итогу объект попадает в одну из двух групп.
Значимый объект КИИ (ЗОКИИ) — присвоена категория
Категория присваивается, если последствия возможного компьютерного инцидента достигают пороговых значений хотя бы по одному показателю критериев значимости. Если показатели тянут на разные категории — присваивается высшая.
Незначимый объект КИИ — категория не присвоена
Объект прошёл категорирование, но не достиг порогов ни по одному критерию — статус «категория отсутствует». Это не освобождение от закона: объект остаётся объектом КИИ, просто без режима усиленной защиты для ЗОКИИ.
По каким критериям оценивают значимость
Чем отличаются обязанности
| Обязанность | Незначимый | Значимый (ЗОКИИ) |
|---|---|---|
| Категорирование | ✓ | ✓ |
| Сведения в ФСТЭК | ✓ | ✓ |
| Включение в реестр ЗОКИИ № 227/254 | — | ✓ |
| Система безопасности № 235 | — | ✓ |
| Меры защиты № 239 | — | ✓ |
| Модель угроз | — | ✓ |
| Подключение к ГосСОПКА, реагирование ФСБ 547/548 | —* | ✓ |
| Госконтроль / надзор ФСТЭК | ограниченно | ✓ |
* Обязанность уведомлять о компьютерных инцидентах в НКЦКИ распространяется на субъектов КИИ в целом; полноценный режим взаимодействия с ГосСОПКА и требования к средствам — для значимых объектов.
Подробно: Порядок категорирования, критерии значимости и документы →
Нормативная база
Закон и ответственность
Федеральные законы187-ФЗ от 26.07.2017 «О безопасности критической информационной инфраструктуры РФ» — базовый закон. Действует в редакции ФЗ № 58-ФЗ (с 01.09.2025): ИП исключены из субъектов, введены типовые отраслевые объекты, Правительство получило право устанавливать требования к ПО и оборудованию значимых объектов и сроки перехода на них.
УК РФ 274.1 — уголовная ответственность за неправомерное воздействие на КИИ (уточнена ФЗ № 76-ФЗ от 09.04.2026, с 20.04.2026).
КоАП 13.12.1 / 13.12.2, 19.7.15 — административная ответственность субъектов.
Категорирование — постановления Правительства
Правительство РФПП № 1762 (от 07.11.2025) — изменения в правила категорирования. Понятие «критических процессов» отодвинуто, точка входа — отраслевые перечни типовых объектов. Единый перечень утверждён № 360-р (26.02.2026, ред. 27.05.2026 — распоряжение № 1237-р) — по нему теперь и идентифицируют объекты.
ПП № 127 — правила категорирования и перечень показателей критериев значимости (применяются с учётом изменений № 1762). С 27.12.2024 (ПП № 1281) из правил исключены утверждение перечня объектов, его отправка в ФСТЭК и предельный срок категорирования в 1 год.
Отраслевые особенности категорирования утверждены постановлениями Правительства в 7 сферах: атомная энергия (ПП № 4 от 16.01.2026), финансовый рынок (ПП № 92 от 06.02.2026), наука (ПП № 246 от 07.03.2026), госрегистрация недвижимости (ПП № 303 от 23.03.2026), ракетно-космическая отрасль (ПП № 356 от 31.03.2026), связь (ПП № 402 от 13.04.2026, с 01.09.2026), оборонная промышленность (ПП № 796 от 27.06.2026). Они уточняют показатели значимости и могут задавать свои сроки пересмотра категории. Для остальных семи сфер особенности ещё готовятся.
ПП № 1912 (14.11.2023) — переход субъектов КИИ на доверенные программно-аппаратные комплексы (импортозамещение).
Приказы ФСТЭК
ФСТЭК России| Приказ | О чём | Кому актуален |
|---|---|---|
| № 236 + изм. № 247 от 11.07.2025 | Форма и порядок направления сведений о результатах категорирования | Всем субъектам |
| № 227 + изм. № 254 с 01.09.2025 | Ведение реестра значимых объектов | У кого есть ЗОКИИ |
| № 235 + изм. № 220 изм. с 01.03.2027 | Создание системы безопасности ЗОКИИ и её функционирование. С 01.03.2027 — расчёт показателя защищённости (Кзи) не реже раза в 6 месяцев и уровня зрелости (Узи) не реже раза в 3 года, результаты — в ФСТЭК за 5 рабочих дней | Только при ЗОКИИ |
| № 239 | Состав мер по обеспечению безопасности ЗОКИИ | Только при ЗОКИИ |
| № 117 + изм. № 137 с 01.03.2026; изм. с 01.09.2026 | Заменил приказ № 17 (защита информации в ГИС). Числовые метрики: показатель защищённости Кзи — раз в 6 месяцев, уровень зрелости Узи — раз в 2 года (с приказом № 137 вместо прежнего «Пзи»), отчёт в ФСТЭК; жёсткие сроки устранения уязвимостей | Если объект также ГИС / госорган |
Приказы ФСБ — ГосСОПКА и инциденты
ФСБ РоссииФСБ № 366 (24.07.2018) «О НКЦКИ» — утверждает Положение о НКЦКИ (изменено приказом ФСБ № 540 от 24.12.2025: НКЦКИ координирует аккредитованные центры ГосСОПКА).
ФСБ № 367 — состав и порядок предоставления информации в ГосСОПКА.
ФСБ № 547 / 546 (25.12.2025, с 30.01.2026) — порядок информирования об инцидентах и реагирования, обмен информацией об атаках. Заменили № 282 и № 368.
ФСБ № 297 (06.08.2026, с 01.09.2026) — отдельный порядок взаимодействия с ГосСОПКА для операторов ГИС, госорганов, ГУП и госучреждений.
Указы Президента и импортозамещение
Помимо 187-ФЗ на субъектов КИИ напрямую действуют два указа Президента и режим перехода на отечественные решения. Это часто упускают — а требования обязательны.
Указ № 250 — кадры и ответственность 01.05.2022
все субъекты КИИРаспространяется на закрытый перечень организаций — госорганы, госкорпорации, стратегические и системообразующие организации, а также всех субъектов КИИ (и со значимыми, и с незначимыми объектами). Ключевые обязанности:
- Издать приказы о зам. по ИБ и подразделении (по ПП № 1272)
- провести оценку защищённости лицензиатом ФСБ/ФСТЭК и устранить уязвимости
- вывести из эксплуатации недружественные СЗИ
- заключить регламент с НКЦКИ, завести личный кабинет и передать внешние («белые») IP-адреса и домены
- обеспечить ФСБ доступ для мониторинга.
Указ № 166 — запрет иностранного ПО 30.03.2022
значимые объектыС 1 января 2025 года госорганам и заказчикам запрещено использовать иностранное ПО на принадлежащих им значимых объектах КИИ. Редакцией № 214 (07.04.2025) добавлена оговорка: «если иное не установлено федеральным законом».
Отечественные аналоги ищут в Едином реестре российских программ для ЭВМ и баз данных (Минцифры). Требования к ПО для значимых объектов КИИ — включение в реестр, согласование закупок иностранного ПО, переход на отечественное — установлены ПП № 1478 (22.08.2022).
Доверенные ПАК и оборудование
значимые объектыПП № 1912 (14.11.2023) задаёт порядок перехода субъектов КИИ на доверенные программно-аппаратные комплексы. С 01.09.2024 на значимых объектах применяются доверенные ПАК (кроме купленных раньше или не имеющих аналогов — по заключению Минпромторга), с 01.01.2030 — только доверенные. Сроки полного перехода значимых объектов на российское ПО по 58-ФЗ пока в проекте: Правительство поручило Минцифры и Минпромторгу подготовить акты до 15.12.2026.
Документы уровня 1 — нужны всем субъектам
- Приказ о создании комиссии по категорированию — с составом комиссии. Образец
- Внутренний перечень объектов КИИ (ИС / ИТКС / АСУ), сопоставленный с отраслевыми типовыми объектами, и обоснование принадлежности к вашей сфере. Образец
- Материалы обоснования категорирования — описание объекта, границ, зависимостей, оценка последствий инцидентов по критериям значимости.
- Акт категорирования по каждому объекту — результат работы комиссии. Образец
- Сведения, направленные в ФСТЭК по форме № 236/247, и подтверждение отправки. Образец
- Внутренний регламент категорирования — обновлённый под № 1762 (без терминологии «критических процессов»).
Документы уровня 2 — при наличии значимых объектов
Система безопасности № 235 / 239
5 документов- Документы по созданию и функционированию системы безопасности ЗОКИИ (№ 235): приказ о назначении ответственного / подразделения, положение о системе безопасности, распределение ролей. Образец
- Организационно-распорядительные документы (ОРД): политики, регламенты, инструкции — управление доступом, реагирование, обновления, антивирусная защита.
- Эксплуатационная документация на средства защиты и доказательства реализации мер (№ 239).
- Модель угроз безопасности информации для значимого объекта (актуализируется под отраслевые критерии). Образец
- Сведения для реестра ЗОКИИ (№ 227/254) — включая доменные имена и сетевые адреса, если объект подключён к интернету.
Инциденты и ГосСОПКА ФСБ 547 / 367
2 документаПодробно: Значимые объекты КИИ — что обязательно и какие документы →
ГосСОПКА и НКЦКИ
ГосСОПКА — государственная система обнаружения, предупреждения и ликвидации последствий компьютерных атак. Координирует её НКЦКИ (cert.gov.ru). Взаимодействие с ней — обязанность субъектов КИИ. В конце декабря 2025 ФСБ переиздала весь пакет правил — старые приказы заменены новыми.
Что обязан субъект
Новый пакет приказов ФСБ декабрь 2025
6 приказов| Приказ | О чём | Заменяет |
|---|---|---|
| № 539 от 23.12.2025 | Получение субъектами информации о способах атак и методах их предупреждения / обнаружения (через НКЦКИ, cert.gov.ru) | новое |
| № 546 от 25.12.2025 | Обмен информацией о компьютерных атаках и инцидентах — внутри РФ и с зарубежными организациями реагирования | № 368 |
| № 547 от 25.12.2025 | Информирование ФСБ об атаках / инцидентах + требования к реагированию и ликвидации последствий | № 282 |
| № 548 с 30.01.2026 | Непрерывное взаимодействие с ГосСОПКА: личный кабинет НКЦКИ, регламент взаимодействия | новое |
| № 553 от 26.12.2025 | Порядок и технические условия установки / эксплуатации средств ГосСОПКА | № 281 |
| № 554 от 26.12.2025 | Требования к средствам обнаружения / реагирования и поиска признаков атак (ППКА) | № 196 |
Приказы № 539, 546, 547 и 548 применяются с 30.01.2026. Отдельно обновлён порядок аккредитации центров ГосСОПКА (приказ ФСБ № 161 от 22.04.2026), а Положение о НКЦКИ дополнено приказом ФСБ № 540. Базовые акты — Указ Президента № 31с (15.01.2013, создание ГосСОПКА), ФСБ № 366 (Положение о НКЦКИ) и ФСБ № 367 (перечень информации) — сохраняются как фундамент. Для госучреждений, ГУП и операторов ГИС с 01.09.2026 действует ещё и приказ ФСБ № 297: инцидент в ГИС — в НКЦКИ не позднее 24 часов.
Средства ГосСОПКА — что нужно технически
Как подготовить три таблицы первичной инвентаризации (сведения об организации, IP-адреса, домены) для регламента с НКЦКИ — в бесплатной пошаговой инструкции.
Подробно: Обязанности, сроки, новые приказы ФСБ и документы для НКЦКИ →
Сроки и дедлайны
Памятка отвечает не только «что», но и «когда». Самое жёсткое — сроки по инцидентам: для значимого объекта это часы.
Сроки реагирования на инцидент
Отдельно: план реагирования — в течение 90 дней после включения в реестр ЗОКИИ; копия плана в НКЦКИ — 7 дней. Для банков инцидент дублируется в Банк России.
Категорирование
ФСТЭК| Действие | Срок |
|---|---|
| Направить в ФСТЭК сведения о результатах (акт) | 10 рабочих дней после утверждения акта |
| Направить в ФСТЭК изменившиеся сведения об объекте | 20 рабочих дней со дня изменения |
| Пересмотр присвоенной категории | не реже 1 раза в 5 лет, если отраслевые особенности не задают иной срок, + при изменениях |
| Утвердить перечень объектов и направить его в ФСТЭК; уложиться в 1 год | отменено с 27.12.2024 (ПП № 1281) |
Инциденты и реагирование ФСБ № 547 / 548
НКЦКИ| Действие | Срок |
|---|---|
| Уведомить НКЦКИ об инциденте на значимом объекте | 3 часа с момента обнаружения |
| Уведомить НКЦКИ об инциденте на ином объекте КИИ | 24 часа с момента обнаружения |
| Ответить НКЦКИ о мерах по предупреждению готовящейся атаки (непрерывное взаимодействие) | 24 часа после получения сведений |
| Разработать план реагирования (после включения в реестр ЗОКИИ) | 90 дней |
| Направить копию плана реагирования в НКЦКИ | 7 календарных дней после утверждения |
| Сообщить в НКЦКИ о результатах реагирования | 48 часов после завершения мероприятий |
Ответственность и штрафы
ФСТЭК при проверках находит нарушения почти у каждой проверенной организации. Ответственность — административная и уголовная.
Административная — КоАП
штрафы| Статья / нарушение | Должностные лица | Юридические лица |
|---|---|---|
| 19.7.15 Непредставление, нарушение сроков или недостоверные сведения о категорировании | 10–50 тыс. ₽ | 50–100 тыс. ₽ |
| 13.12.1 Несоблюдение требований к безопасности ЗОКИИ | 10–50 тыс. ₽ | 50–100 тыс. ₽ |
| 13.12.1 ч. 2–3: нарушение порядка информирования об атаках на значимые объекты, обмена информацией об инцидентах | 10–50 тыс. ₽ | 100–500 тыс. ₽ |
| 19.7.15 ч. 2: непредставление информации в ГосСОПКА или нарушение порядка и сроков — по остальным объектам КИИ | 10–50 тыс. ₽ | 100–500 тыс. ₽ |
| 13.12.2 Нарушение правил эксплуатации объектов КИИ / доступа (новая — с 20.04.2026, ФЗ № 77-ФЗ; гражданам — 5–10 тыс. ₽) | 10–50 тыс. ₽ | 100–500 тыс. ₽ |
Уголовная — УК РФ
лишение свободы274.1 Неправомерное воздействие на КИИ — вплоть до лишения свободы до 10 лет при тяжёлых последствиях. С 20.04.2026 (ФЗ № 76-ФЗ) составы уточнены, а от ответственности по ч. 3 может освободить активное содействие раскрытию и сохранение следов воздействия — поэтому сохранение следов стоит закрепить в регламенте реагирования.
293 Халатность — только для должностных лиц госорганов, государственных и муниципальных учреждений, госкорпораций; руководителей коммерческих организаций по ней не привлекают.
КИИ, ГИС и персональные данные — как не делать тройную работу
Один и тот же объект часто подпадает сразу под три режима: значимый объект КИИ, государственная информационная система и информационная система персональных данных. Требования во многом пересекаются — это можно использовать, чтобы не готовить три отдельных комплекта документов.
| Режим | Ключевые акты | Что специфично только для него |
|---|---|---|
| КИИ / ЗОКИИ | № 239, 187-ФЗ | Категорирование, реестр ЗОКИИ, взаимодействие с ГосСОПКА |
| ГИС / ИС госоргана | ФСТЭК № 117 (с 01.03.2026, изм. № 137), ФСБ № 297 (с 01.09.2026) | Обязательная аттестация системы, Кзи и Узи с отчётом в ФСТЭК, взаимодействие с ГосСОПКА по линии ГИС |
| ПДн (ИСПДн) | 152-ФЗ, ПП № 1119, ФСТЭК № 21 | Согласия, уведомление Роскомнадзора |
Что можно сделать один раз на все режимы
экономияЧто остаётся отдельным
Что изменилось в 2025–2026
Что и когда вступает в силу
Сужен круг субъектов · ФЗ № 58-ФЗ
С 01.09.2025 индивидуальные предприниматели исключены из субъектов КИИ. Закон ввёл типовые отраслевые объекты и дал Правительству право задавать требования к ПО и оборудованию значимых объектов.
Новая логика категорирования · ПП № 1762
Ищем не «процессы», а системы, попадающие под отраслевые типовые перечни. Точка входа — перечень типовых объектов.
Утверждён перечень типовых объектов · № 360-р
Распоряжением Правительства от 26.02.2026 № 360-р утверждён единый перечень типовых отраслевых объектов КИИ (≈400 позиций, 14 сфер). Ранее категорированные объекты, возможно, придётся пересмотреть.
Отраслевые особенности — в 7 сферах · 2026
Утверждены для атомной энергии, финансового рынка, науки, госрегистрации недвижимости, ракетно-космической отрасли, связи (с 01.09.2026) и ОПК. В них свои показатели значимости и сроки пересмотра категории — например, в ОПК незначимые объекты пересматривают ежегодно. Для остальных сфер особенности готовятся.
Невыявление объекта — отдельное нарушение
Если объект из перечня не выявлен, это самостоятельное нарушение с санкциями.
Домены и сетевые адреса обязательны
В сведениях об объекте, если он подключён к интернету.
Приказ № 117 · с 01.03.2026
Для ГИС / госорганов — числовые метрики защищённости и жёсткие сроки закрытия уязвимостей. С 01.09.2026 (приказ № 137) — показатель Кзи раз в 6 месяцев и уровень зрелости Узи раз в 2 года с отчётом в ФСТЭК. Если объект одновременно ЗОКИИ и ГИС — регламенты пишут сразу под оба требования.
Метрики и для значимых объектов КИИ · ФСТЭК № 220
С 01.03.2027 владельцы ЗОКИИ считают показатель защищённости (Кзи) не реже раза в 6 месяцев и уровень зрелости (Узи) не реже раза в 3 года, а результаты направляют в ФСТЭК за 5 рабочих дней. Если показатель ниже нормы — руководителю докладывают за 3 дня.
Новый пакет ФСБ по ГосСОПКА · декабрь 2025
Приказы № 539, 546, 547, 548, 553, 554 переиздают правила взаимодействия с НКЦКИ. Закреплено непрерывное взаимодействие через личный кабинет (№ 548, с 30.01.2026). С 01.09.2026 госучреждения, ГУП и операторы ГИС взаимодействуют с ГосСОПКА ещё и по приказу ФСБ № 297.
Новая ст. 13.12.2 КоАП · с 20.04.2026
Отдельная административная ответственность за нарушение правил эксплуатации объектов КИИ и порядка доступа к ним: должностные лица 10–50 тыс ₽, юрлица 100–500 тыс ₽, граждане 5–10 тыс ₽ (ФЗ № 77-ФЗ от 09.04.2026). Это административный аналог ч. 3 ст. 274.1 УК: применяется, когда нет состава ст. 13.12.1 или преступления.
Вторая волна работы уже идёт
Там, где отраслевые особенности утверждены, — пересмотр категорий, актов и моделей угроз; в остальных сферах — готовиться к тому же. Впереди — сроки перехода значимых объектов на российское ПО (проект) и метрики Кзи / Узи с 01.03.2027.
Что меняется дальше — каждый месяц простым языком в разделе «Новое в законах».
Быстрый чек-лист
Отмечайте по мере готовности — прогресс считается автоматически.
Отметки хранятся только в этом браузере — на сервер ничего не уходит.
Все субъекты
Дополнительно при ЗОКИИ
Практический совет
Держите документацию в двух папках — так проще проходить проверки и поддерживать актуальность.
Категорирование
Для всех субъектов: приказ о комиссии, обоснование, акты, сведения в ФСТЭК.
Что положить в папку →Значимый объект
При подтверждённой значимости: № 235 / 239 + № 547 / 548 / 367.
Что положить в папку →Частые вопросы
Систему обслуживает подрядчик / ИТ на аутсорсе — кто субъект КИИ?
Субъектом остаётся владелец (правообладатель) системы — тот, кому она принадлежит на законном основании. Передача обслуживания подрядчику не делает аутсорсера субъектом и не снимает обязанностей с владельца: ответственность за безопасность объекта остаётся на вас (п. 8 ст. 2 187-ФЗ).
Система размещена в арендованном облаке или ЦОД — чей это объект?
Субъект КИИ — владелец информации и системы (заказчик), а не облачный провайдер. Провайдер не становится субъектом по факту аренды, но обязан обеспечить уровень защищённости площадки, требуемый для категории объекта. На практике зоны ответственности закрепляются договором: вы отвечаете за выполнение требований к объекту в целом, провайдер — за защищённость предоставляемой инфраструктуры (№ 239).
У нас нет значимых объектов — нужно ли вообще что-то делать?
Да. Категорирование обязательно для всех субъектов, а его результат — в том числе вывод «категория не присвоена» — нужно направить во ФСТЭК. Дополнительно действуют обязанности по Указу № 250 (ответственный за ИБ, подразделение по ИБ) и обязанность уведомлять НКЦКИ о компьютерных инцидентах (ст. 9 187-ФЗ).
Можно ли не проводить категорирование, если мы и так уверены, что незначимы?
Нет. Категорирование обязательно независимо от ожидаемого результата. Непредставление во ФСТЭК сведений о результатах (включая «категория не присвоена») или нарушение сроков — самостоятельное правонарушение по ч. 1 ст. 19.7.15 КоАП: должностные лица 10–50 тыс ₽, юрлица 50–100 тыс ₽.
«Мы точно не субъект КИИ» — насколько это безопасная позиция?
Рискованная. После перехода на отраслевые перечни типовых объектов (№ 1762) невыявление объекта, который должен был быть учтён, рассматривается как нарушение. Если организация работает в одной из 14 сфер (см. раздел «Это про вас?») — статус субъекта нужно проверять предметно, а не «по ощущению».
Сокращения и термины
Термины, подчёркнутые в тексте пунктиром, раскрываются подсказкой — наведите курсор или нажмите.
- КИИ
- Критическая информационная инфраструктура.
- ЗОКИИ
- Значимый объект КИИ — объект с присвоенной категорией К1–К3.
- Категорирование
- Оценка объекта по критериям значимости и присвоение категории.
- ФСТЭК
- Федеральная служба по техническому и экспортному контролю.
- ФСБ
- Федеральная служба безопасности.
- НКЦКИ
- Национальный координационный центр по компьютерным инцидентам (cert.gov.ru).
- ГосСОПКА
- Государственная система обнаружения, предупреждения и ликвидации последствий компьютерных атак.
- ГИС
- Государственная информационная система.
- ПДн
- Персональные данные (152-ФЗ).
- ОРД
- Организационно-распорядительные документы.
- ПАК
- Программно-аппаратный комплекс.
- ИС / ИТКС / АСУ
- Информационная система / информационно-телекоммуникационная сеть / автоматизированная система управления.
- Модель угроз
- Документ с описанием актуальных угроз безопасности объекта.
- SIEM
- Сбор и корреляция событий безопасности.
- СОВ / СОА
- Средства обнаружения вторжений / атак (IDS / IPS).
- IRP / SOAR
- Управление инцидентами и автоматизация реагирования.
- ППКА
- Средства поиска признаков компьютерных атак.
- КоАП / УК РФ
- Кодекс об административных правонарушениях / Уголовный кодекс.
- ФинЦЕРТ
- Центр реагирования на компьютерные атаки в финансовой сфере Банка России.
Источники и разборы по каждому НПА
По каждому акту — отдельная страница простым языком: о чём он, кого касается, что требует. Перед применением сверяйтесь с действующей редакцией по официальному источнику.
| Акт | О чём коротко | Разбор |
|---|---|---|
| 187-ФЗ | Базовый закон о безопасности КИИ | открыть → |
| УК РФ 274.1 | Уголовная ответственность за воздействие на КИИ | открыть → |
| КоАП 13.12.1 | Нарушение требований к безопасности ЗОКИИ | открыть → |
| КоАП 13.12.2 | Нарушение правил эксплуатации объектов КИИ (с 2026) | открыть → |
| КоАП 19.7.15 | Сведения о категорировании во ФСТЭК | открыть → |
| ФЗ № 58-ФЗ | Поправки 2025: круг субъектов, типовые объекты, ПО и ПАК | открыть → |
| ПП № 127 | Правила категорирования и критерии значимости | открыть → |
| ПП № 1762 | Новая логика категорирования (отраслевые перечни) | открыть → |
| № 360-р | Перечень типовых отраслевых объектов КИИ (26.02.2026) | открыть → |
| ПП № 1912 | Переход на доверенные ПАК | открыть → |
| ПП № 1478 | Требования к ПО на значимых объектах | открыть → |
| ФСТЭК № 235 | Создание системы безопасности ЗОКИИ | открыть → |
| ФСТЭК № 239 | Меры по обеспечению безопасности ЗОКИИ | открыть → |
| ФСТЭК № 236 | Форма сведений о категорировании (+ изм. № 247) | открыть → |
| ФСТЭК № 227 | Реестр значимых объектов (+ изм. № 254) | открыть → |
| ФСТЭК № 117 | Защита ГИС с 2026 (заменил № 17) | открыть → |
| Методика ФСТЭК 25.11.2025 | Анализ защищённости ИС (поиск уязвимостей) | открыть → |
| ФСБ № 547 | Информирование об инцидентах и реагирование | открыть → |
| ФСБ № 548 | Непрерывное взаимодействие через ЛК НКЦКИ | открыть → |
| ФСБ № 366 / 367 | НКЦКИ и перечень информации для ГосСОПКА | открыть → |
| Указ № 250 | Кадры и ответственность за ИБ | открыть → |
| ПП № 1272 | Типовые положения о зам. по ИБ и подразделении | открыть → |
| Указ № 166 | Запрет иностранного ПО на ЗОКИИ (+ № 214) | открыть → |
| Указ № 31с | Создание ГосСОПКА | открыть → |
Полный список приказов ФСБ нового пакета (№ 539, 546, 547, 548, 553, 554) и заменённых ими актов разобран на странице ФСБ № 547 и в разделе «ГосСОПКА и НКЦКИ».