КиберосноваДокументы

187-ФЗ

КИИ: категорирование объектов и документы по 187-ФЗ

Шаблоны документов для субъектов КИИ: акт категорирования, сведения о результатах категорирования, план реагирования, модель угроз

Ранний доступ к конструкторуВсе шаблоны документов
КИИ

Что такое КИИ и 187-ФЗ

Критическая информационная инфраструктура (КИИ) — информационные системы, информационно-телекоммуникационные сети и автоматизированные системы управления, функционирующие в ключевых отраслях. Федеральный закон N 187-ФЗ устанавливает требования к безопасности КИИ, обязывая субъектов проводить категорирование и обеспечивать защиту.

Кто является субъектом КИИ?

Субъекты КИИ — государственные органы, государственные учреждения и российские юридические лица, которым принадлежат информационные системы, ИТКС или АСУ, работающие в одной из 14 сфер (ст. 2 п. 8 187-ФЗ), а также российские юрлица, которые обеспечивают взаимодействие таких систем. ИП субъектами КИИ не являются.

Сферы деятельности по 187-ФЗ:

  • Здравоохранение
  • Наука
  • Транспорт
  • Связь
  • Энергетика
  • Банки и финансы
  • ТЭК
  • Атомная энергия
  • Оборонная промышленность
  • Ракетно-космическая отрасль
  • Горнодобывающая промышленность
  • Металлургия
  • Химическая промышленность
  • Государственная регистрация прав на недвижимость

Как провести категорирование объектов КИИ?

Категорирование объектов КИИ проводят субъекты КИИ по ПП РФ № 127. Руководитель создаёт комиссию, которая выявляет объекты, соответствующие типовым отраслевым объектам КИИ, и определяет категорию значимости либо её отсутствие. Результаты оформляют актом; сведения о результатах категорирования направляют во ФСТЭК в течение 10 рабочих дней со дня утверждения акта (п. 11, 14, 16 и 17 ПП РФ № 127).

  1. Определите, относится ли организация к одной из 14 сфер деятельности

  2. Сформируйте комиссию по категорированию приказом руководителя

  3. Выявите объекты, которые соответствуют типовым отраслевым объектам КИИ из перечня для вашей сферы

  4. Проведите категорирование — присвойте категорию значимости (I, II, III) или отсутствие

  5. Оформите акт категорирования и направьте сведения во ФСТЭК в течение 10 рабочих дней со дня утверждения акта

Какие категории значимости у объектов КИИ?

Объектам КИИ присваивают одну из трёх категорий значимости: I — высшую, II или III. Категорию определяют по пяти группам критериев ПП № 127: социальной, политической, экономической, экологической значимости и значимости для обороны страны, безопасности государства и правопорядка.

Документы для субъекта КИИ

Штрафы и ответственность за нарушения в сфере КИИ

Ответственность за нарушения

  • Ч. 1 ст. 19.7.15 КоАП РФ — непредставление сведений о категорированииштраф 50 000–100 000 ₽
  • Ст. 274.1 УК РФ — неправомерное воздействие на КИИдо 10 лет лишения свободы
  • Ч. 2 ст. 19.7.15 КоАП РФ — непредставление сведений в ГосСОПКА или нарушение сроковштраф для юрлиц 100 000–500 000 ₽

Частые вопросы о КИИ

Кто является субъектом КИИ по 187-ФЗ?

Субъекты КИИ — государственные органы, государственные учреждения и российские юридические лица, которым принадлежат информационные системы, ИТКС или АСУ, работающие в одной из 14 сфер (ст. 2 п. 8 187-ФЗ), а также российские юрлица, которые обеспечивают взаимодействие таких систем. ИП субъектами КИИ не являются.

Какие штрафы за нарушения в сфере КИИ?

За непредставление сведений о категорировании объекта КИИ — штраф по ч. 1 ст. 19.7.15 КоАП — 50 000–100 000 ₽ для юрлиц, по ч. 2 (сведения в ГосСОПКА) — 100 000–500 000 ₽. За неправомерное воздействие на КИИ — уголовная ответственность по ст. 274.1 УК РФ: до 10 лет лишения свободы (если наступили тяжкие последствия). Непредставление информации в ГосСОПКА — ч. 2 ст. 19.7.15 КоАП; нарушение порядка информирования о компьютерных инцидентах на значимых объектах — ч. 2 ст. 13.12.1 КоАП.

Обязательно ли категорирование объектов КИИ?

Да. Все субъекты КИИ обязаны провести категорирование в соответствии с Постановлением Правительства РФ от 08.02.2018 №127. Категорирование проводится комиссией, результаты оформляются актом и направляются во ФСТЭК в течение 10 рабочих дней.

Сколько категорий значимости объектов КИИ?

Три категории значимости: I (высшая), II и III. Категорию определяют по показателям пяти групп критериев значимости из ПП № 127: социальная, политическая, экономическая, экологическая значимость и значимость для обороны страны, безопасности государства и правопорядка. Если объект не соответствует ни одному критерию — ему присваивается статус «без категории», но субъект всё равно обязан обеспечить безопасность.

В какой срок сообщать об инциденте в НКЦКИ?

Субъект КИИ сообщает о компьютерном инциденте в НКЦКИ не позднее 3 часов с момента его обнаружения, если инцидент произошёл на значимом объекте, и не позднее 24 часов — на остальных объектах КИИ (п. 3 Порядка, утверждённого приказом ФСБ России № 547). За нарушение порядка информирования об инцидентах на значимых объектах КИИ юрлицу грозит штраф по ч. 2 ст. 13.12.1 КоАП — от 100 000 до 500 000 ₽.

Какие документы нужны субъекту КИИ?

Основные документы: акт категорирования, сведения о результатах категорирования, модель угроз, план реагирования на инциденты. Для значимых объектов дополнительно: технический паспорт, организационно-распорядительные документы по безопасности (Приказ ФСТЭК №239), журнал учёта инцидентов, регламент взаимодействия с НКЦКИ.

Чем отличается КИИ от ИСПДн?

ИСПДн (152-ФЗ) защищает персональные данные граждан, КИИ (187-ФЗ) защищает критически важную инфраструктуру государства. Организация может быть одновременно оператором ПДн и субъектом КИИ — тогда нужны документы по обоим направлениям. Регуляторы тоже разные: Роскомнадзор (ПДн) и ФСТЭК+ФСБ (КИИ).

Полезные статьи

Подготовьте документы по КИИ

Акт категорирования, перечень объектов и модель угроз — модуль КИИ конструктора в раннем доступе

Ранний доступ к конструкторуВсе шаблоны документов