Категорирование КИИ в авиации в : аэропорты, авиакомпании, ТО

Региональный аэропорт или авиакомпания проходит плановую проверку, и выясняется: сведения о категорировании объектов критической информационной инфраструктуры (КИИ) во ФСТЭК не направлялись. Или приходит запрос от регулятора, а ответить по существу нечем — нет ни акта, ни перечня систем. Ситуация для авиационной отрасли в типичная: транспорт прямо назван в 187-ФЗ, а значит, большинство эксплуатантов и обслуживающих организаций обязаны провести категорирование.

Ниже разберём, кто именно субъект КИИ, какие системы аэропорта, авиакомпании или цеха ТО обычно попадают в перечень, как присваивают категорию по показателям значимости, какие сроки и что будет, если ничего не делать.

Является ли аэропорт, авиакомпания или организация ТО субъектом КИИ

Критерий субъекта КИИ — не профиль по ОКВЭД и не факт владения воздушными судами. Субъектом признаётся российское юридическое лицо, которому на праве собственности, аренды или ином законном основании принадлежат информационные системы, информационно-телекоммуникационные сети или автоматизированные системы управления, функционирующие в сфере транспорта (п. 8 ст. 2 187-ФЗ). ИП с 01.09.2025 субъектами КИИ не являются.

Как проверить применимость к вашей организации:

• Запросите ОКВЭД: основные и дополнительные виды деятельности, связанные с авиаперевозками, аэропортовой деятельностью, ТО и ремонтом ВС.
• Проверьте лицензии (перевозки, ТО) и устав: фактическая деятельность должна подтверждаться документами.
• Составьте перечень ИС, АСУ, сетей, которые обеспечивают технологические процессы: регистрация, досмотр, управление воздушным движением, планирование полётов, метео, светосигнальное оборудование.

Пограничные случаи в отрасли:

Если сомневаетесь, закажите письменную проверку статуса — мы проведём её бесплатно при заказе категорирования.

Какие системы обычно становятся объектами КИИ в отрасли

Распоряжение Правительства от 26.02.2026 № 360-р утвердило единый перечень типовых отраслевых объектов КИИ. Для авиации в разделе «Транспорт» указаны, в частности, системы управления аэропортом, оформления авиаперевозок, УВД, планирования использования воздушного пространства, авиасвязи, метео, светосигнального оборудования, радионавигации, а также интроскопы и ТСОТБ. Отраслевых особенностей категорирования для транспорта на 10.10.2026 нет, поэтому применяем общий порядок ПП РФ № 127 и перечень 360-р.

Каждую систему нужно сопоставить с перечнем 360-р. Если система соответствует типовому объекту, её категорируют. Если нет — но по масштабу последствий она значима, субъект присваивает категорию и направляет во ФСТЭК предложение дополнить перечень (п. 22 ПП № 127).

Как присваивают категорию: показатели значимости для аэропортов и авиакомпаний

Категорию (I, II или III) присваивают по наихудшему сценарию целенаправленной атаки — прекращению или нарушению функционирования объекта. Для авиации из показателей ПП № 127 наиболее часто применяются:

• Показатель 3г — категория объекта транспортной инфраструктуры (ОТИ) по 16-ФЗ. Если ОТИ имеет 3-ю или 4-ю категорию, связанная система получает III категорию КИИ.
• Показатели 3а/3б — территория и количество людей, оставшихся без транспортных услуг. III категория: в пределах одного муниципального образования от 2 тыс. человек либо от 2 тыс. до 1 млн человек.
• Показатель 1 — вред жизни и здоровью: III категория от 1 до 50 человек (актуально при авариях с прекращением обслуживания).
• Экономический ущерб (показатель 8/9) — для частных компаний обычно по снижению годового дохода: III категория от 1% до 10%.
• Политическая значимость (показатель 6/12) — если нарушение затронет работу органов власти субъекта РФ.

Если ни по одному показателю порог не превышен, категория не присваивается. Это тоже результат: его оформляют актом, а сведения об отсутствии необходимости присвоения категории направляют во ФСТЭК.

Порядок и сроки категорирования

Ранее существовавший этап утверждения перечня объектов и его направления во ФСТЭК отменён (ПП № 1281). Сейчас сразу подаются сведения о результатах категорирования.

Особенности отрасли, о которых забывают

• ✓ Транспортная безопасность по 16-ФЗ — отдельный режим, но категория ОТИ напрямую влияет на категорию КИИ через показатель 3г. Проверьте свидетельство об аккредитации и категорию ОТИ.
• ✓ Иностранное ПО (SITA, Amadeus, системы DCS) на значимых объектах: прямого запрета для частных организаций пока нет, но с 01.09.2024 нельзя приобретать недоверенные ПАК, а к 2030 году требуется переход на доверенные (ПП № 1912). Госзаказчикам запрещено с 01.01.2025 (Указ № 166).
• ✓ Сеть аэропорта общая с арендаторами: системы, принадлежащие хендлинговым компаниям, операторам ТЗК, магазинам, могут быть самостоятельными объектами КИИ. Инвентаризацию нужно проводить по каждой организации.
• ✓ Метеооборудование и светосигнальное оборудование часто выпадают из учёта, но они прямо названы в 360-р.
• ✓ Для всех субъектов КИИ — обязанность информировать ГосСОПКА об инцидентах: значимые объекты — 3 часа, иные — 24 часа (приказ ФСБ № 547).

Разбор на примере: региональный аэропорт

Как шла работа:

• Запросили у аэропорта перечень ИС и АСУ, сведения о категории ОТИ, ОКВЭД, штатное расписание и схему сети.
• Сопоставили системы с перечнем 360-р. АСУ аэропорта (AODB) совпала с типовым объектом «управление аэропортом»; системы метео, ТЗК и видеонаблюдения не подошли под типовые позиции.
• Для АСУ аэропорта рассчитали показатель 3г: ОТИ имеет 3-ю категорию, значит, системе присваивается III категория КИИ. Остальные системы не превысили пороги по показателям 3а/3б (менее 2 тыс. человек без услуг) и экономическому ущербу (менее 1% годового дохода).
• Оформили единый акт категорирования: 1 объект значимый (III категория), 3 — без категории. Направили сведения по форме ФСТЭК во ФСТЭК в течение 10 рабочих дней.
• После включения в реестр для значимого объекта запустили выполнение требований: информирование о инцидентах за 3 часа, план реагирования, доверенные ПАК.

Что будет, если не провести категорирование

За непредставление или нарушение сроков сведений о категорировании во ФСТЭК — штраф по ст. 19.7.15 КоАП: для юрлиц 50–100 тыс. ₽, при повторном нарушении 100–200 тыс. ₽. За нарушения требований к безопасности значимых объектов — ст. 13.12.1 КоАП (50–100 тыс. ₽), за нарушение правил эксплуатации — ст. 13.12.2 КоАП (100–500 тыс. ₽). Если деяние повлекло уничтожение, блокирование или модификацию информации на объекте КИИ, возможна уголовная ответственность по ст. 274.1 УК РФ.

ФСТЭК проводит плановые проверки раз в 3 года после включения объекта в реестр, внеплановые — при инцидентах, истечении срока предписания или по поручению. Кроме того, отраслевой регулятор (Минтранс) вправе мониторить достоверность сведений и сообщать о выявленных типовых объектах без категорирования.

После категорирования: что обязательно для значимых и незначимых объектов

• Для всех субъектов КИИ: информировать ГосСОПКА об инцидентах (значимые — 3 часа, иные — 24 часа), назначить ответственного за ИБ, взаимодействовать с НКЦКИ.
• Для значимых объектов (I–III категории): выполнять требования приказов ФСТЭК № 235 и № 239 (меры защиты), разработать план реагирования в течение 90 дней после включения в реестр, применять доверенные ПАК (ПП № 1912).
• Модель угроз ИБ и организационные документы по информационной безопасности мы готовим. Внедрение сертифицированных СЗИ и аттестация значимых объектов — через партнёра-лицензиата ФСТЭК.

Что мы подготовим и сколько это стоит

Состав работ:

• Проверка, является ли организация субъектом КИИ (по ОКВЭД, лицензиям, уставу и фактическим видам деятельности)
• Проект приказа о постоянно действующей комиссии
• Инвентаризация ИС, ИТКС и АСУ и сопоставление с перечнем типовых отраслевых объектов (распоряжение № 360-р)
• Расчёт показателей значимости по ПП № 127 по наихудшему сценарию с исходными данными
• Проект акта категорирования (единый акт на несколько объектов)
• Сведения о результатах категорирования по форме ФСТЭК (приказ № 236 в ред. № 247), в том числе об отсутствии необходимости присвоения категории
• Сопровождение до принятия сведений ФСТЭК (правки по замечаниям — бесплатно)

Цена ниже рыночной за счёт отработанных типовых решений и дистанционного формата: вы заполняете опросник, при необходимости созваниваемся с ИТ-службой, документы готовит специалист по защите информации. Точная стоимость — по опроснику, бесплатно в течение рабочего дня.

Частые вопросы

Если после проверки окажется, что ваша организация не является субъектом КИИ, вы получите письменное заключение — до оплаты. Если субъект есть, то чем раньше подать сведения, тем меньше риск штрафа и предписания. Начните с категорирования объектов КИИ, затем подготовьте модель угроз ИБ и при необходимости организационные документы по ИБ.