Категорирование
объектов КИИ

Кому необходимо категорирование объектов КИИ

Процедура обязательна для госорганов, коммерческих и иных организаций, которым на законном основании принадлежат ИС, АСУ или ТС в ключевых отраслях: например, в здравоохранении, связи, банковской и других сферах, перечисленных в п. 8 ст. 2 ФЗ №187. ИП больше не считаются субъектами КИИ.

Если ваша организация ведет деятельность в одной из этих сфер и владеет соответствующими системами, нужно пройти категорирование (оценку). Игнорирование процедуры грозит штрафами для юридических лиц до 500 тысяч рублей, а при тяжких последствиях возможна уголовная ответственность по статье 274.1 УК РФ.

Изменения в категорировании КИИ в 2026 году

С 1 сентября 2025 года вступили в силу масштабные поправки в ФЗ от 26.07.2017 №187-ФЗ, которые касаются категорирования объектов критической информационной инфраструктуры.

• Поменялась логика отнесения систем к объектам КИИ: раньше решение принимал сам субъект на основе анализа критических процессов, теперь система сначала сопоставляется с перечнем типовых объектов.
• Распоряжением Правительства № 360-р от 26 февраля 2026 года утвержден перечень типовых объектов по отраслям. В него вошли биллинговые системы операторов связи, платформы мониторинга сетей, ERP-системы и другие.
• Для отдельных отраслей разными Постановлениями Правительства РФ утверждены особенности категорирования по 187-ФЗ.

С 1 марта 2026 года действует Приказ ФСТЭК № 117. Он перевел защиту на риск-ориентированную модель: набор мер теперь определяется архитектурой конкретной системы и реальными угрозами для нее, а не формальной таблицей классов.

Что является объектом КИИ

Объект КИИ — это конкретная система, принадлежащая субъекту КИИ на праве собственности, аренды или ином законном основании.
К объектам КИИ относятся:

Документы на сайте

• ИС, включая ERP и CRM, медицинские и биллинговые системы;
• ИТС;
• АСУ технологическими процессами, например системы управления турбинами или прокатными станами.

Пример:
Металлургический комбинат владеет двумя системами, которые подпадают под перечень типовых объектов. Первая — ERP-система, где ведутся закупки, финансы и кадры. Вторая — АСУ ТП, управляющая прокатным станом в реальном времени. Обе относятся к объектам КИИ, но оцениваются отдельно: у них разные критические процессы, архитектура и последствия сбоя. Комиссия описывает каждую систему как самостоятельный объект и присваивает категорию по результатам собственного расчета.

Как определить, какие объекты необходимо категорировать

Шаг 1. Проверьте, относится ли организация к субъектам КИИ.
Шаг 2. Выявите информационные системы, сети и АСУ, которые соответствуют типовым объектам из перечня, утвержденного Постановлением Правительства РФ № 360-р.
Шаг 3. Оцените возможные последствия от компьютерных инцидентов по показателям критериев значимости из Постановления Правительства РФ № 127.
Шаг 4. Проведите категорирование.

Какие категории значимости существуют

По результатам процедуры объекту присваивается одна из трех категорий либо фиксируется отсутствие необходимости присвоения.

• Первая — высшая. Нарушение работы объекта ведет к максимально неблагоприятным последствиям для государства, жизни и здоровья людей или экономики.
• Вторая — средняя. Последствия значительные, но ограничены по масштабу.
• Третья — базовая. Воздействие на критические процессы ограниченное, серьезных последствий для государства не возникает.

Пример:
Региональный оператор связи эксплуатирует биллинговую систему, которая обслуживает 180 тысяч абонентов. Комиссия оценила последствия возможного сбоя. По социальному критерию нарушение затронуло бы более 2 тысяч человек в пределах одного муниципального образования. По экономическому — прекращение расчетов с абонентами привело бы к снижению доходов компании в пределах 1–10% от среднегодового объема. Ни один показатель не вышел за границы второй категории, и объекту присвоили именно ее. Это означает повышенный уровень защиты, подключение к ГосСОПКА и применение сертифицированных средств защиты.

Cookie и аналитические инструменты

Сайт собирает cookie-файлы и данные аналитики — это тоже персональные данные. В ходе правового аудита сайта проверяется:

• есть ли cookie-баннер;
• может ли пользователь отказаться от аналитических cookie;
• перечислены ли в политике все подключенные сервисы аналитики.

Как проходит категорирование объектов КИИ

Для проведения категорирования объектов КИИ нужно пройти несколько этапов.
Шаг 1. Руководитель подписывает приказ о создании комиссии, которая будет работать на постоянной основе. В нее входят сотрудники из IT, службы ИБ, профильных производственных отделов и юрист.
Шаг 2. Комиссия просматривает все системы компании и отбирает те, что совпадают с типовыми объектами КИИ из перечня.
Шаг 3. Каждый объект описывается подробно: из чего состоит, как устроен, с чем связан и где проходят его границы.
Шаг 4. Комиссия оценивает, к чему приведет сбой каждой системы, и сопоставляет последствия с критериями значимости. Учитываются особенности отрасли.
Шаг 5. По итогам оценки объекту присваивается категория либо фиксируется, что присваивать ее не нужно.
Шаг 6. Составляется акт. Его подписывают все члены комиссии, а утверждает руководитель организации.
Шаг 7. Сведения о результатах направляются в территориальное управление ФСТЭК. На это отводится 10 р/д с даты утверждения акта.

Как проходит работа с «Роском Онлайн»

Мы предоставляем услугу категорирования КИИ от начала до конца: от анализа отрасли и систем до направления сведений в ФСТЭК. Вам не нужно разбираться в методике и собирать комиссию самостоятельно.

Работа строится в несколько этапов.

1. Анализ. Мы проверяем, относится ли организация к субъектам КИИ, выявляем информационные системы, сети и АСУ, сопоставляем их с типовыми объектами из Постановления Правительства РФ № 360-р. В итоге оформляем перечень объектов, которые подлежат оценке.
2. Подготовка комиссии. Помогаем оформить организационно-распорядительные документы и собрать исходные данные по каждой системе.
3. Оценка значимости. Рассчитываем последствия инцидентов по каждому критерию с учетом отраслевых особенностей. Определяем категорию для каждого объекта или фиксируем, что присвоение не требуется.
4. Оформление документов. Готовим акт категорирования объектов КИИ по ФЗ №187-ФЗ, протоколы комиссии, сведения для ФСТЭК. Проверяем, чтобы данные не расходились с реальными процессами.
5. Направление сведений. Мы самостоятельно направляем документы во ФСТЭК и сопровождаем до принятия.

Такая схема подходит и компаниям с одним объектом, и организациям с распределенной инфраструктурой и несколькими площадками. Закажите категорирование объектов КИИ под ключ, и мы возьмем на себя весь процесс: от анализа ваших систем до направления сведений в ФСТЭК и разработки эффективной защиты в соответствии с Приказом ФСТЭК №117.

Ответы на вопросы

Что такое категорирование объектов КИИ?
Это процедура определения значимости объекта для государства, экономики и общества. По результатам объект получает одну из трех категорий либо решение об отсутствии необходимости присвоения.

Кто обязан проводить категорирование КИИ?
Госрганы и юрлица в РФ, владеющие системами в ключевых отраслях.

Как понять, является ли организация субъектом КИИ?
Сверьте сферу фактической деятельности с перечнем отраслей из ФЗ №187 и проверьте, попадают ли ваши системы под типовые объекты из Распоряжения Правительства РФ № 360-р.

Какие категории значимости КИИ существуют?
Три категории — от высшей до базовой. Либо принимается решение об отсутствии необходимости присвоения категории.

Кто присваивает категорию объекту КИИ?
Комиссия, которая проводит процедуру.