Когда актуально

Особенно актуально, если:

• нет уверенности, относится ли организация к субъектам критической информационной инфраструктуры и какие её информационные системы могут быть объектами КИИ;
• перечень объектов КИИ ещё не сформирован с учётом применимых отраслевых особенностей категорирования;
• комиссия по категорированию не создана, либо нет ресурса и экспертизы для проведения анализа по показателям критериев значимости;
• категория объекта присваивалась давно, менялись показатели значимости, состав систем или процессы, — и по общему правилу требуется пересмотр не реже одного раза в 5 лет, если отраслевыми особенностями не установлен иной срок;
• ФСТЭК России вернула материалы категорирования с замечаниями, и нужно их доработать и направить повторно.

Что даёт эта услуга руководителю. Задача этой услуги — получить обоснованное решение о категории значимости, подготовленное к проверке регулятора, и не начинать проектирование или закупку средств защиты вслепую, до того как понятен реальный нормативный статус объекта.

С чего обычно начинают

Не уверены, субъект вы КИИ или нет? Начинаем с анализа видов деятельности организации и её информационных систем на соответствие признакам субъекта КИИ, установленным 187-ФЗ.

Не знаете, с чего начать формирование перечня объектов? Начинаем с выявления информационных систем и объектов, соответствующих перечням типовых отраслевых объектов КИИ, и с учётом отраслевых особенностей категорирования, применимых для вашей сферы деятельности.

Опасаетесь, что категория будет присвоена неправильно? Категорию присваивает комиссия по категорированию, созданная субъектом КИИ, на основании анализа показателей критериев значимости — мы готовим расчёты и обоснование, но не подменяем собой решение комиссии.

Что важно учитывать. Категорирование — не формальность и не разовая бумага: решение комиссии оформляется актом, который утверждает руководитель субъекта КИИ, а сведения о результатах — включая случаи отсутствия необходимости присвоения категории — в любом случае направляются во ФСТЭК России и проверяются регулятором.

Как это соотносится с соседними услугами

Категорирование, документация, проектирование и внедрение — взаимосвязанные элементы обеспечения безопасности значимого объекта КИИ.

Разница по существу: категорирование определяет статус объекта и задаёт нормативные исходные данные для дальнейших работ; документация закрепляет организационную часть системы безопасности; проектирование определяет состав технических и организационных мер; внедрение реализует и поддерживает техническую часть. Для создаваемых объектов категория может определяться уже при формировании требований к объекту и уточняться в ходе проектирования — категорирование и проектирование в этом случае могут идти взаимосвязанно, а не строго последовательно.

Из чего складывается категорирование объектов КИИ

Определение статуса субъекта КИИ. Анализ видов деятельности и информационных систем организации на соответствие признакам субъекта критической информационной инфраструктуры, установленным 187-ФЗ.

Формирование перечня объектов. Выявление информационных систем, информационно-телекоммуникационных сетей и автоматизированных систем управления, соответствующих перечням типовых отраслевых объектов КИИ, с учётом применимых отраслевых особенностей категорирования. Порядок утверждения перечня и взаимодействия с профильными органами определяется требованиями, применимыми к конкретному субъекту.

Создание комиссии по категорированию. Подготовка материалов для формирования постоянно действующей комиссии, создаваемой решением руководителя субъекта КИИ, с участием профильных специалистов организации.

Анализ по показателям критериев значимости. Оценка объектов по показателям социальной, политической, экономической, экологической значимости и значимости для обеспечения обороны страны, безопасности государства и правопорядка, установленным приложением к правилам категорирования; выявление объектов, соответствующих типовым отраслевым объектам КИИ.

Подготовка акта категорирования. Оформление решения комиссии — присвоение одной из категорий значимости либо вывод об отсутствии необходимости присвоения категории — актом, который утверждает руководитель субъекта КИИ, в сроки, определяемые действующими правилами и применимыми отраслевыми особенностями категорирования.

Подготовка сведений для ФСТЭК России и сопровождение их направления. Оформление сведений о результатах категорирования по форме приказа ФСТЭК России №236 в действующей редакции и сопровождение их направления субъектом КИИ во ФСТЭК России в установленные сроки — независимо от того, присвоена категория или установлено отсутствие такой необходимости. По общему правилу сведения направляются в течение 10 рабочих дней после утверждения акта категорирования; для вновь создаваемых объектов действует специальный порядок, предусмотренный пунктом 18 правил категорирования: часть сведений направляется в течение 10 рабочих дней после утверждения требований к создаваемому объекту, а остальная часть — в течение 10 рабочих дней после ввода объекта в эксплуатацию.

Сопровождение при доработке материалов. Если ФСТЭК России в ходе проверки направляет замечания к материалам категорирования, помогаем доработать их и подготовить повторное направление сведений.

Эти элементы не заменяют друг друга: без определения статуса субъекта КИИ нельзя корректно сформировать перечень объектов; без анализа по показателям значимости невозможно обоснованно присвоить категорию или сделать вывод об её отсутствии; без направления сведений во ФСТЭК России категорирование не считается завершённым, даже если акт уже утверждён внутри организации.

Важно понимать границы этого механизма: комиссия по категорированию и решение о присвоении категории — ответственность субъекта КИИ, а не подрядчика. Мы готовим расчёты, обоснование и документы, на основе которых комиссия принимает решение, и оформляем материалы для направления во ФСТЭК России, но окончательное решение утверждает руководитель субъекта КИИ.

Как мы проводим категорирование

Определяем статус и предварительный перечень. Анализируем деятельность организации и её информационные системы на соответствие признакам субъекта КИИ и потенциальным объектам категорирования.

Помогаем сформировать перечень объектов. С учётом перечней типовых отраслевых объектов КИИ и применимых отраслевых особенностей категорирования для вашей сферы деятельности.

Готовим материалы для комиссии. Анализ угроз и уязвимостей, расчёты по показателям критериев значимости, обоснование выводов по каждому объекту.

Сопровождаем работу комиссии. Предоставляем материалы и разъяснения, необходимые для принятия обоснованного решения о категории.

Готовим сведения для ФСТЭК России. По утверждённой форме, с соблюдением установленных сроков, и сопровождаем их направление субъектом КИИ.

Сопровождаем при необходимости доработки. Если регулятор возвращает материалы с замечаниями — дорабатываем их и сопровождаем повторное направление субъектом КИИ.

Что вы получаете

• Определённый статус организации как субъекта КИИ и предварительный перечень объектов
• Сформированный с учётом применимых отраслевых особенностей перечень объектов КИИ
• Расчёты и обоснование по показателям критериев значимости для комиссии по категорированию
• Акт категорирования, утверждённый руководителем субъекта КИИ
• Подготовленные по установленной форме сведения о результатах категорирования и сопровождение их направления во ФСТЭК России

Особенности и ограничения

• Категорию присваивает комиссия по категорированию, созданная субъектом КИИ, а утверждает руководитель субъекта КИИ — эта услуга не подменяет собой это решение.
• Даже вывод об отсутствии необходимости присвоения категории значимости подлежит направлению во ФСТЭК России — категорирование не сводится только к случаям присвоения категории.
• Сроки проведения категорирования определяются действующими правилами и применимыми отраслевыми особенностями — единого универсального срока для всех субъектов и отраслей нет; при большом числе объектов или сложной архитектуре сроки стоит планировать заранее.
• ФСТЭК России проверяет направленные сведения и при выявлении нарушений порядка категорирования, неправильном присвоении категории, необоснованном неприсвоении категории либо представлении неполных или недостоверных сведений вправе вернуть их с мотивированным обоснованием для устранения недостатков и повторного направления.
• Категория значимости не установлена навсегда: по общему правилу пересмотр проводится не реже одного раза в 5 лет, если отраслевыми особенностями не установлен иной срок, а также при иных предусмотренных законодательством основаниях — в том числе при изменении значимого объекта, влияющем на его соответствие применимым критериям значимости и отраслевым особенностям категорирования.

Эскалация при критической находке

Порядок согласуется на установочной сессии и фиксируется в договоре:

• назначенные представители заказчика, ответственные за решения комиссии по категорированию и утверждение материалов;
• порядок уведомления заказчика, если в ходе анализа выявляется объект с признаками значимости, требующий приоритетного внимания;
• порядок действий, если ответственный представитель заказчика недоступен;
• порядок действий при получении замечаний ФСТЭК России к направленным материалам.

Границы ответственности фиксируем заранее. Анализ, расчёты, подготовка материалов для комиссии и оформление документов для ФСТЭК России входят в услугу. Решения комиссии по категорированию и их утверждение — решение и действие субъекта КИИ.

Метрики

Показатели согласуем на старте, чтобы результат можно было оценивать по понятным и измеримым критериям.

• своевременность подготовки предусмотренных применимыми отраслевыми требованиями материалов и направления сведений о результатах категорирования во ФСТЭК России;
• доля материалов категорирования, принятых ФСТЭК России без замечаний с первого направления;
• полнота обоснования по каждому объекту относительно показателей критериев значимости;
• своевременность завершения категорирования относительно сроков, применимых для конкретного субъекта и отрасли.

Чего мы не используем как показатель эффективности. Присвоение объекту максимально возможной категории значимости само по себе: цель категорирования — обоснованное и защищаемое решение, а не наивысшая формальная категория.

Конфиденциальность

Категорирование подразумевает доступ к сведениям об архитектуре, процессах и потенциальных уязвимостях объектов организации — чувствительной информации, разглашение которой может создать риск для заказчика. Порядок фиксируется до начала работ: NDA, защищённые каналы передачи данных и отчётности, ограничение доступа внутри команды, согласованное место обработки и хранения материалов, ограниченный срок хранения с возвратом или уничтожением по окончании работ.

Регуляторный контекст

Категорирование объектов критической информационной инфраструктуры регулируется 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» и Правилами категорирования объектов критической информационной инфраструктуры Российской Федерации, утверждёнными постановлением Правительства РФ от 08.02.2018 №127 в действующей редакции. Правила устанавливают перечень показателей критериев значимости объектов КИИ и их значения, применяемые для присвоения одной из категорий значимости. С 1 сентября 2025 года вступили в силу изменения 187-ФЗ, закрепившие использование перечней типовых отраслевых объектов и отраслевых особенностей категорирования; соответствующие изменения правил категорирования (постановление №127) в этой части вступили в силу 16 ноября 2025 года. Правительство РФ утвердило единый перечень типовых отраслевых объектов распоряжением №360-р от 26.02.2026, а для ряда сфер — включая финансы, науку, атомную энергию и оборонно-промышленный комплекс, а с 1 сентября 2026 года также связь — утверждены и действуют отраслевые особенности категорирования.

Категорирование проводит постоянно действующая комиссия, создаваемая решением руководителя субъекта КИИ; в её состав включаются, в том числе, руководитель субъекта КИИ или уполномоченное им лицо, специалисты по профильной деятельности организации и по информационным технологиям и связи, специалисты по эксплуатации основного технологического оборудования и промышленной безопасности, работники, на которых возложены функции обеспечения безопасности, а при определённых характеристиках объекта — также работники подразделения по защите государственной тайны и работники, уполномоченные на решение задач в области гражданской обороны и защиты от чрезвычайных ситуаций; конкретный состав определяется применимыми правилами и характеристиками объекта. После изменений, внесённых в правила категорирования с 2024 по 2025 год, из функций комиссии исключено выявление критических процессов как самостоятельного основания для перечня объектов; вместо этого одной из функций комиссии является выявление информационных систем, информационно-телекоммуникационных сетей и автоматизированных систем управления, соответствующих типовым объектам, включённым в перечни типовых отраслевых объектов КИИ.

Пункт 15 правил категорирования, ранее устанавливавший общий порядок согласования перечня объектов и универсальный максимальный срок категорирования в 1 год со дня утверждения перечня, признан утратившим силу с 27 сентября 2024 года. Порядок формирования и утверждения перечня объектов, а также сроки проведения категорирования на сегодняшний день определяются действующими правилами в совокупности с отраслевыми особенностями категорирования, применимыми к конкретному субъекту и отрасли, — единого универсального порядка и срока для всех субъектов КИИ действующая редакция правил не устанавливает. Решение комиссии оформляется актом категорирования, который утверждает руководитель субъекта КИИ.

Сведения о результатах категорирования — присвоении одной из категорий значимости либо об отсутствии необходимости присвоения такой категории — направляются во ФСТЭК России субъектом КИИ по форме, утверждённой приказом ФСТЭК России №236 от 22.12.2017 в редакции приказа ФСТЭК России №247 от 11.07.2025. По общему правилу (пункт 17 правил категорирования) сведения направляются в течение 10 рабочих дней после утверждения акта категорирования; для вновь создаваемых объектов КИИ пункт 18 правил устанавливает специальный порядок — часть сведений направляется в течение 10 рабочих дней после утверждения требований к создаваемому объекту, а остальная часть — в течение 10 рабочих дней после ввода объекта в эксплуатацию. Требование о направлении сведений действует независимо от того, присвоена объекту категория значимости или установлено отсутствие такой необходимости. ФСТЭК России рассматривает представленные материалы в тридцатидневный срок и при нарушении порядка категорирования, неправильном присвоении категории, необоснованном неприсвоении категории либо представлении неполных или недостоверных сведений вправе вернуть их с мотивированным обоснованием для устранения недостатков и повторного направления.

Субъект КИИ не реже одного раза в 5 лет осуществляет пересмотр установленной категории значимости в порядке, предусмотренном для категорирования, если иной срок не установлен отраслевыми особенностями категорирования для конкретной отрасли, а также в случаях, предусмотренных частью 12 статьи 7 187-ФЗ, — в частности, при изменении значимого объекта, влияющем на его соответствие применимым критериям значимости и отраслевым особенностям категорирования. При изменении категории значимости обновлённые сведения также направляются во ФСТЭК России. Присвоение объекту категории значимости влечёт применение к нему требований приказов ФСТЭК России №235 и №239 в отношении создания и функционирования системы безопасности значимого объекта.

Порядок работы, сроки, стоимость и приёмка

Как начинается работа: бесплатная первичная оценка (до 30 минут, без подключения к инфраструктуре) → определение статуса субъекта КИИ и предварительного перечня объектов → договор и NDA → формирование перечня объектов с учётом применимых отраслевых особенностей → анализ по показателям критериев значимости → подготовка материалов для комиссии и оформление акта → подготовка сведений и сопровождение их направления во ФСТЭК России → сопровождение при доработке материалов, если потребуется.

Объём услуги определяется числом и сложностью потенциальных объектов КИИ, отраслью деятельности организации, наличием ранее проведённого категорирования (первичное или пересмотр) и составом требуемого взаимодействия с отраслевым регулятором. В договоре фиксируются состав работ, критерии приёмки и порядок действий при получении замечаний ФСТЭК России.

Ориентировочные сроки: определение статуса и формирование перечня объектов — 2–4 недели; анализ по показателям значимости и подготовка акта — от 4 до 12 недель в зависимости от числа объектов и применимых отраслевых особенностей категорирования; направление сведений во ФСТЭК России — в установленные нормативные сроки: по общему правилу до 10 рабочих дней после утверждения акта, для вновь создаваемых объектов — специальный двухэтапный порядок пункта 18 правил категорирования. Точные сроки формирования и утверждения перечня, а также общая продолжительность категорирования зависят от отраслевых особенностей, применимых к конкретному субъекту.

Стоимость зависит от числа и сложности объектов, отрасли деятельности, необходимости согласования с отраслевым регулятором и от того, проводится ли первичное категорирование или пересмотр. Фиксируется до начала работ.

Почему IST

• В сфере информационной безопасности с 2011 года
• Более 80 специалистов; офисы в Самаре, Оренбурге и Нижнем Новгороде, представительство в Москве
• Лицензии ФСТЭК и ФСБ
• Готовим обоснованные материалы, которые снижают риск возврата с замечаниями от ФСТЭК России
• Не завышаем и не занижаем категорию — цель обоснованное решение, подготовленное к проверке регулятором, а не формальный результат
• Полный цикл: от категорирования до документации, проектирования, внедрения и последующего технического сопровождения

Частые вопросы

Как понять, является ли наша организация субъектом КИИ? Нужно проверить, относится ли деятельность организации и её информационные системы к отраслям и признакам, установленным 187-ФЗ. Мы можем провести этот анализ на первичной оценке.

Что если категория не присваивается ни одному нашему объекту? Это тоже результат категорирования, который в любом случае оформляется актом и направляется во ФСТЭК России — вывод об отсутствии необходимости присвоения категории не освобождает от процедуры.

Кто в итоге принимает решение о категории? Комиссия по категорированию, созданная субъектом КИИ, а утверждает решение руководитель субъекта КИИ. Мы готовим обоснование и материалы, но не подменяем это решение.

Что будет, если ФСТЭК России не согласится с присвоенной категорией? Регулятор рассматривает материалы в течение 30 дней и вправе вернуть их с замечаниями. Мы помогаем доработать материалы и сопровождаем их повторное направление субъектом КИИ.

Нужно ли регулярно возвращаться к категорированию, если оно уже проведено? Да. По общему правилу пересмотр категории значимости проводится не реже одного раза в 5 лет, если отраслевыми особенностями не установлен иной срок, а также при изменении значимого объекта, влияющем на его соответствие применимым критериям значимости и отраслевым особенностям категорирования.