Акт категорирования объекта КИИ

Статья 2 закона 187-ФЗ относит к субъектам КИИ государственные органы и учреждения, а также российские юридические лица и индивидуальных предпринимателей, которым на праве собственности, аренды или ином законном основании принадлежат информационные системы, сети или автоматизированные системы управления в определённых сферах: здравоохранение, наука, транспорт, связь, энергетика, банковская и финансовая сфера, топливно-энергетический комплекс, атомная энергия, оборонная и ракетно-космическая промышленность, горнодобывающая, металлургическая и химическая промышленность.

Для клиентов BN Legal — образовательных проектов, онлайн-школ, малого и среднего бизнеса вне перечисленных сфер — субъектом КИИ, как правило, быть не приходится. Обычная онлайн-школа, даже с большой базой учеников и сложной ИТ-инфраструктурой, не подпадает под действие 187-ФЗ, если не оказывает услуги связи или не работает в одной из указанных отраслей.

Проверить свой статус стоит отдельно, если организация оказывает, например, услуги телемедицины, работает с образовательными учреждениями в сфере критической инфраструктуры или предоставляет инфраструктурные ИТ-услуги банкам и энергетическим компаниям — в этих случаях грань может быть неочевидной.

Категорирование — процедура оценки объектов КИИ субъекта на предмет того, какой ущерб причинит нарушение или прекращение их функционирования. Обязанность проводить категорирование установлена ст. 7 закона 187-ФЗ. Результат оформляется актом, который субъект утверждает самостоятельно и направляет сведения в уполномоченный федеральный орган.

Смысл процедуры — не бюрократическая формальность, а основа для дальнейшей работы: от присвоенной категории значимости зависит объём требований к защите объекта, включая организационные и технические меры безопасности, которые впоследствии придётся выполнять.

Перед категорированием субъект КИИ формирует перечень объектов, подлежащих оценке, — это отдельный шаг, предшествующий самому акту. Без актуального перечня комиссия не сможет определить, какие именно системы и сети нужно анализировать, поэтому оба документа готовятся последовательно и должны быть согласованы между собой по составу объектов.

Закон 187-ФЗ предусматривает три категории значимости — первую, вторую и третью, где первая соответствует наивысшей значимости объекта, а третья — наименьшей. Если ни один из установленных показателей критериев значимости не достигается, объекту категория не присваивается, но сама процедура оценки всё равно должна быть проведена и задокументирована.

Показатели значимости учитывают несколько групп последствий: социальные (угроза жизни и здоровью людей), политические, экономические, экологические, а также последствия для обороноспособности и правопорядка. Конкретные пороговые значения показателей устанавливаются подзаконными актами и рассчитываются индивидуально под масштаб деятельности организации.

Акт категорирования фиксирует ход и итог оценки объектов КИИ.

Акт подписывается членами комиссии по категорированию, утверждается руководителем организации и хранится вместе с материалами, на основании которых проводилась оценка, — они могут понадобиться при последующей проверке регулятором.

Организация, подпадающая под определение субъекта КИИ по сфере деятельности, обязана провести процедуру категорирования даже в том случае, если по её итогам ни один объект не получает категорию значимости. Отсутствие категории — это тоже результат, который фиксируется актом и сведения о котором направляются регулятору в установленном порядке.

Разница между «мы не субъект КИИ» и «мы субъект КИИ, но объекты некатегорируемые» имеет значение: во втором случае процедуру всё равно нужно провести и задокументировать, иначе организация формально не выполнила требование закона. Определить, какая ситуация применима к конкретному бизнесу, стоит на старте, до того как встанет вопрос о проверке.

Отсутствие категории значимости не освобождает субъекта КИИ от базовых обязанностей по защите информации — например, от требований по обеспечению безопасности, применимых ко всем объектам КИИ независимо от присвоенной категории. Полное освобождение от требований 187-ФЗ возможно только тогда, когда организация вообще не относится к субъектам КИИ по сфере деятельности.