Проведение категорирования объектов КИИ

Категорирование объектов КИИ — это обязательная процедура, в ходе которой определяют значимость объекта критической информационной инфраструктуры для государства, экономики и общества. По результатам объект получает категорию (1-я, 2-я, 3-я или «не подлежит категорированию»). От категории зависит, какие меры защиты нужно внедрить, какие отчеты готовить и какие проверки проходить.

Если у вас есть ИТ-системы в сферах энергетики, транспорта, банковского дела, финансов, связи, здравоохранения, науки, оборонной промышленности и ряде других — вы являетесь субъектом КИИ и обязаны провести категорирование критической информационной инфраструктуры.

С 1 сентября 2025 года вступили в силу масштабные поправки в 187-ФЗ: теперь Правительство РФ уполномочено утверждать перечни типовых отраслевых объектов КИИ, а понятие «критический процесс» исключается из процедуры категорирования. Это расширяет круг организаций, которые признаются субъектами КИИ.

Кроме того, в 2026 году ФСТЭК перешла к фазе активных проверок. Уже в прошедшем году было возбуждено более 400 административных дел за несоблюдение процедуры категорирования, и количество контрольных мероприятий продолжает расти. Штрафы для юридических лиц достигают 500 тыс. рублей, а при инцидентах на объектах КИИ для должностных лиц предусмотрена уголовная ответственность по ст. 274.1 УК РФ.

Федеральный закон № 187-ФЗ обязывает проводить категорирование объектов КИИ и утверждать результаты в ФСТЭК. За невыполнение предусмотрена административная ответственность по ст. 13.12.1 и 19.7.15 КоАП РФ (штрафы до 500 тыс. руб. для юрлиц) и уголовная ответственность по ст. 274.1 УК РФ (до 10 лет лишения свободы для должностных лиц при инцидентах).

В 2026 году контроль со стороны ФСТЭК и прокуратуры ужесточился. С 1 января 2025 года запрещено использование зарубежного ПО на значимых объектах КИИ, а к 2030 году необходимо завершить переход на отечественные решения. С 1 марта 2026 года вступил в силу ФЗ № 325-ФЗ, который вводит дополнительные ограничения для иностранных компаний. При отсутствии акта категорирования вы не сможете подтвердить выполнение базовых требований.

Без категорирования невозможно выстроить систему защиты: неясно, какие меры нужны, какой уровень угроз учитывать. Любая проверка может закончиться штрафом, блокировкой или остановкой процессов. Категорирование КИИ по актуальным требованиям ФСТЭК — первый обязательный шаг к легальной эксплуатации объекта и построению эффективной системы кибербезопасности.

— Акт категорирования объекта КИИ — официальный документ, утвержденный руководителем организации.

— Протоколы обследования — описание объекта, функций, информационных потоков, возможных последствий нарушения работы.

— Рассчитанные показатели значимости — определение категории (1-я, 2-я, 3-я или отсутствие категории).

— Рекомендации по защите объекта — что именно необходимо внедрить в зависимости от установленной категории.

— Методические материалы для последующих проверок и внедрения СЗИ.

В результате у вас будет полный комплект документов, который признается ФСТЭК и другими надзорными органами. Это позволит легально эксплуатировать объект и пройти все необходимые проверки. Проведение категорирования объектов КИИ (критической информационной инфраструктуры) завершается передачей пакета, готового к направлению в ФСТЭК.

01

Подготовка и обследование. Изучаем объект: назначение, функции, архитектуру, информационные потоки. Собираем исходные данные и определяем границы объекта КИИ. С учетом изменений законодательства проверяем соответствие типовым перечням отраслевых объектов КИИ.

02

Анализ значимости. Оцениваем возможные последствия инцидентов (ущерб экономике, безопасности государства, обществу). Рассчитываем показатели значимости по методике ФСТЭК (ПП № 127) с учетом 12 критериев. На этом этапе выполняется категорирование объектов КИИ по требованиям ФСТЭК.

03

Определение категории. Определяем категорию значимости (1, 2, 3 или отсутствие категории). Документируем выводы, готовим проект акта категорирования.

04

Утверждение документов. Готовим полный пакет документов. Помогаем утвердить акт категорирования у руководителя и подготовиться к направлению сведений в ФСТЭК.

05

Консультация и сопровождение. Даем рекомендации по дальнейшему внедрению мер защиты, интеграции с ГосСОПКА и плану импортозамещения. При необходимости сопровождаем объект при проверках ФСТЭК. Проведение профессионального категорирования объектов КИИ занимает от 15 до 30 рабочих дней в зависимости от сложности объекта.

— Вы эксплуатируете информационные системы в сферах, перечисленных в 187-ФЗ.

— Планируете внедрять средства защиты информации.

Таких ситуаций несколько:

— Готовитесь к проверке ФСТЭК или аудиту безопасности.

— Хотите минимизировать юридические и финансовые риски.

— Участвуете в тендерах или партнерских проектах, где требуется акт категорирования.

— Проводите модернизацию инфраструктуры или переход на отечественное ПО.

Если вам требуются профессиональные услуги по категорированию КИИ — лучше провести процедуру заблаговременно, до начала контрольных мероприятий.

Стоимость категорирования объектов КИИ зависит от количества объектов и их сложности, отрасли и категории субъекта, наличия действующей документации и СЗИ, необходимости выезда на объект. Мы гарантируем прозрачное ценообразование и фиксированные сроки. Оставьте заявку — и мы подготовим персональное предложение с точным расчётом.

01

Работаем по методикам ФСТЭК, полностью соответствующим актуальному законодательству.

02

Реализовали более 100 проектов по категорированию объектов КИИ.

03

Готовим документы, которые принимаются надзорными органами без доработок.

04

Консультируем на каждом этапе — от сбора данных до утверждения акта.

05

Учитываем поправки в 187-ФЗ (ФЗ № 58-ФЗ, № 325-ФЗ), требования к импортозамещению и интеграции с ГосСОПКА.

Мы проведем обследование, оформим акт категорирования, дадим рекомендации и поможем пройти проверку ФСТЭК. Категорирование КИИ — это не формальность, а фундамент кибербезопасности и юридической защищенности вашей организации.