Мы субъект КИИ? Как понять за 3 шага

Федеральный закон № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» (или 187-ФЗ) касается вас, если вы госорган, госучреждение или российская компания, и владеете или используете на законном основании ИС, ИТС, АСУ ТП в одной из 14 сфер:

• транспорт и связь;
• энергетика и ТЭК;
• горно- и металлодобыча;
• химия, оборонка и ракетно-космическая отрасль;
• финансовый сектор и банки;
• здравоохранение, наука и даже регистрация прав на недвижимость.

Для начала проведения работ сформируйте комиссию из числа специалистов по ИБ, ИТ, связи, ГОиЧС, гос.тайне, юристов. Утвердите Приказ «О создании комиссии по категорированию» и положение о комиссии, в котором необходимо указать функции и ответственность членов комиссии, основываясь на положениях Постановления Правительства № 127 «Об утверждении Правил категорирования объектов критической информационной инфраструктуры Российской Федерации (или ПП-127), а также перечня показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений» и 187-ФЗ.

ОКВЭДы, устав, лицензии — это первое, на что посмотрит регулятор. Открытые виды деятельности в этих документах зачастую указаны шире, чем реальная деятельность. Уточните, входит ли организация в реестр предприятий оборонно-промышленного комплекса, изучите заключенные договоры и контракты: среди них могут быть документы, указывающие что организация, помимо указанных видов деятельности из ЕГРЮЛ, ведет деятельность, например, в области оборонки. Договоры о выполнении работ (услуг), контракты о выполнении гособоронзаказов будут этому подтверждением.

Правительство утвердило Перечень типовых отраслевых объектов КИИ (или - Перечень объектов КИИ). Это не просто список, а ключ к ответу на вопрос «Мы субъект КИИ?».

Перечень содержит типовые системы и сети для каждой из отраслей (сфер) 187-ФЗ, виды деятельности: признаки, по которым устанавливается наличие ИС, АСУ, ИТС, подлежащих категорированию.

Допустим, вы проанализировали виды деятельности организации и не нашли совпадений с отраслями, указанными в 187-ФЗ. На первый взгляд кажется, что требования по КИИ вас не касаются.

Однако среди действующих договоров обнаружился контракт в рамках государственного оборонного заказа. Это повод проверить, относится ли деятельность организации к сфере оборонной промышленности.

Далее необходимо определить, какие ИС, АСУ и ИТС используются при исполнении такого контракта, и сопоставить их с типовыми отраслевыми объектами КИИ.

Если совпадения есть, организация является субъектом КИИ. В этом случае необходимо провести категорирование выявленных объектов и оценить их в соответствии с перечнем показателей критериев значимости, установленным Постановлением Правительства РФ № 127.

Самое опасное — откладывать эти работы на потом. Есть высокий риск получить требование от ФСТЭК или других регулирующих органов о предоставлении информации по категорированию в ограниченный срок, поэтому не ждите "писем счастья".

Мы поможем пройти этот путь без ошибок и траты внутреннего ресурса вашей команды. Вместо самостоятельного штудирования нормативки вы получите четкие выводы, необходимый пакет документов и дорожную карту о дальнейших шагах, если организация является субъектом КИИ.

Узнайте больше об услуге Категорирование объектов КИИ