Категорирование объектов КИИ 2026

Изменения в Федеральном законе от 26.07.2017 № 187 ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» (187-ФЗ)

и в постановлении Правительства Российской Федерации от 8 февраля 2018 г. № 127 «Об утверждении правил категорирования объектов критической информационной инфраструктуры Российской Федерации, а также перечня показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений» (ПП-127)

➜ Новшество: Перечень типовых отраслевых объектов КИИ, утвержденный Распоряжением Правительства от 26.02.2026 № 360-р (далее - Перечень)


Разберем некоторые вопросы, касающиеся текущих правил категорирования.

▶ БЫЛО
Раньше категорировались объекты КИИ, которые обеспечивали управленческие, технологические, производственные и иные процессы субъектов КИИ.

При категорировании надо было определить бизнес- и технологические процессы организации, выявить процессы, нарушение или прекращение которых могло привести к негативным последствиям, а затем сформировать перечень объектов КИИ, которые обрабатывали информацию для обеспечения процессов, осуществляли управление, контроль или мониторинг этих процессов.

▶ СТАЛО
Понятие критического процесса было исключено, и это значит, что определять и утверждать перечень критических процессов в организации теперь не нужно. Теперь категорируются объекты КИИ, которые соответствуют типам систем и сетей, включенным в перечни типовых отраслевых объектов КИИ и те системы, ущерб которым от компьютерного инцидента будет соответствовать одному из показателей, указанных в Постановлении Правительства № 127 (ПП-127).

Отраслевые регуляторы утвердили типовые процессы, выполняемые типовыми объектами КИИ, а также виды деятельности организаций, которые с точки зрения регуляторов являются наиболее критичными.

Дополнен список показателей и критериев значимости объектов КИИ и их пороговые значения.

1. Анализируются виды деятельности организации, лицензии, договоры (контракты).

2. Проводится инвентаризацию используемых в организации систем и сетей.

3. Проводится оценка объектов в соответствии с критериями ПП-127.

4. Сопоставляются выявленные информационные активы с перечнями типовых отраслевых объектов КИИ и формируется перечень объектов, подлежащих категорированию.

5. Присваивается категория значимости или принимается решение об отсутствии необходимости присвоения. При этом учитываются не только правила категорирования ПП-127, но и отраслевые особенности категорирования объектов КИИ для вашей сферы (отрасли).

6. Утверждается акт категорирования и сведения о результатах категорирования. При этом используют обновлённую форму сведений (в ред. Приказа ФСТЭК России от 11.07.2025 № 247) и направляют только сведения о категорировании во ФСТЭК России в течение 10 рабочих дней со дня утверждения акта. Акт категорирования — это внутренний документ организации и во ФСТЭК России не направляется.

Организация, которая не осуществляет деятельность ни в одной из сфер (областей), определенных в 187-ФЗ, не является субъектом КИИ. При этом необходимо учитывать не только открытые виды экономической деятельности, но и лицензии, заключенные договоры и контракты, которые могут содержать информацию о том, что организация, помимо видов деятельности, указанных в ЕГРЮЛ, ведет деятельность, например, в области гособоронзаказа. В частности, договоры на выполнение работ (или услуг), а также контракты на выполнение гособоронзаказов могут служить подтверждением такой деятельности.

Такая система является типовым объектом КИИ. При этом необходимо понимать, на каком основании система эксплуатируется вашей организацией, какие компоненты системы принадлежат владельцу, а какие — вашей организации. Как правило, система состоит из серверного (облачного) сегмента, на котором обрабатывается (хранится) информация, поступающая от программно-аппаратных комплексов, установленных на транспортных средствах: датчиков расхода топлива, мониторинга передвижения транспорта, температуры технологических жидкостей. При этом сервер принадлежит владельцу системы, а все, что установлено на транспортных средствах, принадлежит организации, эксплуатирующей систему (например, транспортная организация по перевозке грузов). Поэтому категорирование такой системы должен проводить владелец системы, а не ваша организация.

В случае, если организация проектирует объект КИИ, и он не соответствует типовым системам — его необходимо оценить. В случае, если последствия от компьютерного инцидента будут соответствовать минимальному значению как минимум одного из показателей ПП-127, то объекту КИИ необходимо присвоить одну из категорий значимости и направить результаты категорирования во ФСТЭК, а дополнительно — предложения о включении этого типа систем в Перечень.

Реализация требований ФЗ-187 и Постановления Правительства № 127 требует профессионального подхода, поэтому важно обратиться к экспертам в этой области. Они помогут интерпретировать требования Постановления Правительства № 127 и проведут работы по всем правилам.

Эксперты Infosecurity помогут провести обследование инфраструктуры, осуществить категорирование в любой сфере 187-ФЗ и подготовить полный пакет документов.