Вопрос «Мы субъект КИИ?» только кажется с первого взгляда простым, но на деле он тянет за собой ряд вопросов: как трактовать размытые формулировки закона, кто в компании должен взять на себя ответственность за категорирование и дальнейшие действия, не упустили ли какую-то мелочь, которая в итоге скажется на бизнесе и его процессах.
ОГЛАВЛЕНИЕ
Кто в списке
Федеральный закон № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» (или 187-ФЗ) касается вас, если вы госорган, госучреждение или российская компания, и владеете или используете на законном основании ИС, ИТС, АСУ ТП в одной из 14 сфер:
- транспорт и связь;
- энергетика и ТЭК;
- горно- и металлодобыча;
- химия, оборонка и ракетно-космическая отрасль;
- финансовый сектор и банки;
- здравоохранение, наука и даже регистрация прав на недвижимость.
З ШАГА ДО ВЕРДИКТА
Как за 3 шага понять, что вы субъект КИИ и вам пора действовать
- Создайте комиссию по категорированию
Для начала проведения работ сформируйте комиссию из числа специалистов по ИБ, ИТ, связи, ГОиЧС, гос.тайне, юристов. Утвердите Приказ «О создании комиссии по категорированию» и положение о комиссии, в котором необходимо указать функции и ответственность членов комиссии, основываясь на положениях Постановления Правительства № 127 «Об утверждении Правил категорирования объектов критической информационной инфраструктуры Российской Федерации (или ПП-127), а также перечня показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений» и 187-ФЗ.
2. Изучите комиссией имеющиеся документы
ОКВЭДы, устав, лицензии — это первое, на что посмотрит регулятор. Открытые виды деятельности в этих документах зачастую указаны шире, чем реальная деятельность. Уточните, входит ли организация в реестр предприятий оборонно-промышленного комплекса, изучите заключенные договоры и контракты: среди них могут быть документы, указывающие что организация, помимо указанных видов деятельности из ЕГРЮЛ, ведет деятельность, например, в области оборонки. Договоры о выполнении работ (услуг), контракты о выполнении гособоронзаказов будут этому подтверждением.
3. Составьте список всех ИС, АСУ, ИТС организации и сравните их с перечнем типовых отраслевых объектов КИИ
Правительство утвердило Перечень типовых отраслевых объектов КИИ (или - Перечень объектов КИИ). Это не просто список, а ключ к ответу на вопрос «Мы субъект КИИ?».
Перечень содержит типовые системы и сети для каждой из отраслей (сфер) 187-ФЗ, виды деятельности: признаки, по которым устанавливается наличие ИС, АСУ, ИТС, подлежащих категорированию.
Перечень содержит типовые системы и сети для каждой из отраслей (сфер) 187-ФЗ, виды деятельности: признаки, по которым устанавливается наличие ИС, АСУ, ИТС, подлежащих категорированию.
Пример неочевидной ситуации, когда вы являетесь субъектом КИИ
Допустим, вы проанализировали виды деятельности организации и не нашли совпадений с отраслями, указанными в 187-ФЗ. На первый взгляд кажется, что требования по КИИ вас не касаются.
Однако среди действующих договоров обнаружился контракт в рамках государственного оборонного заказа. Это повод проверить, относится ли деятельность организации к сфере оборонной промышленности.
Далее необходимо определить, какие ИС, АСУ и ИТС используются при исполнении такого контракта, и сопоставить их с типовыми отраслевыми объектами КИИ.
Если совпадения есть, организация является субъектом КИИ. В этом случае необходимо провести категорирование выявленных объектов и оценить их в соответствии с перечнем показателей критериев значимости, установленным Постановлением Правительства РФ № 127.
Однако среди действующих договоров обнаружился контракт в рамках государственного оборонного заказа. Это повод проверить, относится ли деятельность организации к сфере оборонной промышленности.
Далее необходимо определить, какие ИС, АСУ и ИТС используются при исполнении такого контракта, и сопоставить их с типовыми отраслевыми объектами КИИ.
Если совпадения есть, организация является субъектом КИИ. В этом случае необходимо провести категорирование выявленных объектов и оценить их в соответствии с перечнем показателей критериев значимости, установленным Постановлением Правительства РФ № 127.
Вывод
Самое опасное — откладывать эти работы на потом. Есть высокий риск получить требование от ФСТЭК или других регулирующих органов о предоставлении информации по категорированию в ограниченный срок, поэтому не ждите "писем счастья".
Мы поможем пройти этот путь без ошибок и траты внутреннего ресурса вашей команды. Вместо самостоятельного штудирования нормативки вы получите четкие выводы, необходимый пакет документов и дорожную карту о дальнейших шагах, если организация является субъектом КИИ.
Мы поможем пройти этот путь без ошибок и траты внутреннего ресурса вашей команды. Вместо самостоятельного штудирования нормативки вы получите четкие выводы, необходимый пакет документов и дорожную карту о дальнейших шагах, если организация является субъектом КИИ.
Получите консультацию эксперта. Наши специалисты свяжутся с Вами, чтобы ответить на возникшие вопросы. Оставить заявку >>>
