Проверка на КИИ: попадает ли организация под 187-ФЗ

КИИ и 187-ФЗ: что важно знать

Кто такой субъект КИИ

Субъект критической информационной инфраструктуры по ст. 2 187-ФЗ: госорган, госучреждение или российское юрлицо, которому принадлежат информационные системы, информационно-телекоммуникационные сети или автоматизированные системы управления, работающие в одной из перечисленных в законе сфер. Это здравоохранение, наука, транспорт, связь, энергетика, банковская сфера и иные сферы финансового рынка, топливно-энергетический комплекс, атомная энергия, оборонная, ракетно-космическая, горнодобывающая, металлургическая и химическая промышленность.

Важная деталь: субъектом организация становится не по решению ФСТЭК, а по факту. Если у клиники есть медицинская информационная система, а у банка автоматизированная банковская система, закон уже относится к ним. Дальше организация сама проводит категорирование и решает, есть ли у неё значимые объекты.

Что изменилось с 1 сентября 2025 года

Федеральный закон № 58-ФЗ от 07.04.2025 исключил индивидуальных предпринимателей из числа субъектов КИИ. Категорирование теперь опирается на отраслевые перечни типовых объектов, которые утверждает Правительство. На значимых объектах закреплена обязанность использовать программное обеспечение из реестра российского ПО, а в ГосСОПКА сообщают не только об инцидентах, но и о компьютерных атаках.

Как проходит категорирование

Порядок задаёт постановление Правительства № 127. Организация создаёт комиссию, выявляет процессы и системы, без которых они остановятся, и утверждает перечень объектов, подлежащих категорированию. Перечень направляют во ФСТЭК России в течение 10 рабочих дней после утверждения. На само категорирование отводится не больше года.

По каждому объекту комиссия оценивает возможный ущерб по показателям значимости: социальным, политическим, экономическим, экологическим и оборонным. Объекту присваивают одну из трёх категорий значимости или решают, что категория не нужна. Сведения о результатах направляют во ФСТЭК в течение 10 рабочих дней после утверждения акта, категорию пересматривают не реже раза в пять лет.

Значимый объект: что меняется

Для значимых объектов действуют требования к системе безопасности и мерам защиты по приказам ФСТЭК № 235 и № 239. С 2025 года на них запрещено использовать иностранное ПО (Указ № 166), а переход на доверенные программно-аппаратные комплексы по постановлению № 1912 должен завершиться до 1 января 2030 года. Это самая затратная часть: инвентаризация, замена ПО и оборудования, миграция данных и обучение людей.

Подрядчики субъектов КИИ

ИТ-компании, которые разрабатывают и обслуживают системы банков, клиник, операторов связи и заводов, сами субъектами обычно не становятся. Но требования приходят к ним через договор: российский стек и наличие продукта в реестре, порядок доступа к системам заказчика, сроки сообщения об инцидентах. Уголовная ответственность по ст. 274.1 УК РФ распространяется на любого, кто нарушил правила эксплуатации и причинил вред, в том числе на подрядчика.

Ответственность

Нарушение требований к защите значимых объектов и порядка информирования об инцидентах наказывается по ст. 13.12.1 КоАП РФ, непредставление сведений о категорировании по ст. 19.7.15 КоАП РФ. Неправомерное воздействие на КИИ и нарушение правил эксплуатации с причинением вреда влекут уголовную ответственность по ст. 274.1 УК РФ. Суммы штрафов в проверке не показываем, пока справочник не подписан юристом: они зависят от части статьи и редакции.

Как пользоваться результатом

Проверка не заменяет работу комиссии и не является юридическим заключением. Её задача в том, чтобы быстро понять, касается ли вас закон, с чего начать и сколько это примерно займёт. Отчёт DOCX содержит все ваши ответы и выводы с причинами, его удобно взять на первое заседание комиссии или отправить юристу и специалисту по ИБ для сверки.