Комиссия по категорированию КИИ: приказ, состав, порядок работы в

Организация получила уведомление от отраслевого регулятора или сама обнаружила, что её информационные системы подпадают под перечень типовых объектов КИИ. Нужно запускать категорирование, но первый практический шаг — не выбор средств защиты, а приказ о создании постоянно действующей комиссии. И здесь возникает развилка: кого включать в состав, какие полномочия прописать и как организовать работу так, чтобы акт категорирования не вернули на доработку.

Разберём, как сформировать комиссию по требованиям ПП РФ № 127, какую структуру приказа использовать и что комиссия должна сделать на практике — от инвентаризации ИТ-активов до направления сведений во ФСТЭК. Статья адресована руководителям, ИТ-директорам и ответственным за ИБ, которые впервые сталкиваются с категорированием объектов КИИ в .

Зачем нужна комиссия и что она решает

Правила категорирования объектов КИИ утверждены постановлением Правительства РФ от 08.02.2018 № 127 (далее — ПП № 127). Согласно пункту 11 этих Правил, субъект КИИ обязан создать постоянно действующую комиссию по категорированию. Это не разовая рабочая группа: комиссия действует на постоянной основе, потому что объекты могут вводиться в эксплуатацию, изменяться или пересматриваться.

Комиссия выполняет ключевую содержательную работу:

• выявляет информационные системы, ИТКС и АСУ, которые соответствуют типовым отраслевым объектам из распоряжения Правительства от 26.02.2026 № 360-р;
• оценивает масштаб возможных последствий по показателям значимости, приведённым в приложении к ПП № 127;
• присваивает одну из трёх категорий значимости (I, II или III) либо принимает решение об отсутствии необходимости присвоения категории;
• оформляет акт категорирования, который утверждает руководитель субъекта КИИ.

С 07.11.2025 из ПП № 127 исключены понятия «критические процессы» и «перечень объектов, подлежащих категорированию». Эти этапы больше не являются обязательными — комиссия начинает с инвентаризации систем и сопоставления их с перечнем 360-р.

Состав комиссии

Пункт 11 ПП № 127 определяет, кто должен входить в комиссию. Это не рекомендация, а императивное требование: если в составе не окажется нужных специалистов, ФСТЭК может признать порядок категорирования нарушенным. В комиссию включаются:

По отраслевым особенностям (если они утверждены для сферы) в комиссию могут включаться иные лица (п. 11(1) ПП № 127). Например, для связи — представители Минцифры и Роскомнадзора (для подведомственных операторов и операторов универсального обслуживания), для финансового рынка — представители ЦБ. В филиалах допускается создание отдельных комиссий (п. 11(2)). По согласованию в состав могут входить представители регулятора (п. 12).

Приказ о создании комиссии: что в нём должно быть

Комиссия создаётся решением руководителя субъекта КИИ. На практике это приказ. Жёстко утверждённой формы нет, но чтобы документ прошёл правовую проверку и был понятен участникам, в нём следует отразить:

• Основание — ссылка на 187-ФЗ и ПП № 127.
• Статус комиссии — постоянно действующая.
• Председатель — руководитель или уполномоченное лицо.
• Состав — с указанием должностей и ролей.
• Задачи — инвентаризация, сопоставление с 360-р, расчёт показателей, оформление акта и сведений.
• Порядок работы — периодичность заседаний, порядок фиксации решений (протоколы), подписание акта.
• Ответственность — за достоверность исходных данных, за соблюдение сроков направления сведений во ФСТЭК.

Типовую структуру приказа можно адаптировать под специфику организации. Например, в холдинге с филиалами приказ может предусматривать создание отдельных комиссий в обособленных подразделениях, а в головном офисе — координационную.

Как работает комиссия: от инвентаризации систем до акта

Порядок работы комиссии логично выстроить по этапам, которые закреплены в п. 5 ПП № 127 (в действующей редакции). Ниже — практическая последовательность, которая применима для большинства отраслей.

Важный нюанс: если ни один показатель значимости не достиг порога III категории, комиссия принимает решение об отсутствии необходимости присвоения категории. Это тоже фиксируется актом, и сведения об этом подаются во ФСТЭК. Объект без категории не означает отсутствия обязанностей — субъект всё равно информирует НКЦКИ об инцидентах (срок — 24 часа для некритичных объектов).

Дополнительно комиссия учитывает отраслевые особенности, если они утверждены для сферы деятельности. Например, для оборонной промышленности действует ПП № 796 с повышенной периодичностью пересмотра (без категории — ежегодно, III категория — раз в 2 года), для финансового рынка — ежегодный доклад о перечне значимых объектов. В отраслях без утверждённых особенностей применяются только общие нормы ПП № 127 и перечень 360-р.

Сроки работы комиссии

Отдельного нормативного срока, в который комиссия обязана завершить категорирование, сейчас нет. Ранее действовало правило о максимальном сроке в один год, но оно отменено постановлением № 1281 от 19.09.2024. Поэтому комиссия работает в разумные сроки, ориентируясь на внутренние задачи и возможные предписания регуляторов. Если организация получила требование ФСТЭК о представлении сведений, его нужно исполнить в срок, указанный в требовании (ст. 7 187-ФЗ).

Единственный жёсткий срок, который комиссия обязана соблюсти после принятия решения, — направление сведений о результатах категорирования во ФСТЭК. На это отводится 10 рабочих дней со дня утверждения акта руководителем (п. 17 ПП № 127). Изменения в сведениях направляются не позднее 20 рабочих дней со дня изменения (п. 19(1)).

Также комиссия должна помнить о пересмотре категорий: по общему правилу — не реже одного раза в 5 лет, но отраслевые особенности могут сокращать этот период (например, в ОПК для III категории — раз в 2 года). Внеплановый пересмотр проводится при изменении показателей, отраслевых особенностей или по решению ФСТЭК.

Типовые ошибки

На основе практики и разъяснений ФСТЭК можно выделить пять частых ошибок, которые допускают при формировании и работе комиссии.

• ✗ Не включать в комиссию профильных специалистов. Иногда в состав входят только юрист и ИТ-специалист. Как правильно: в комиссии обязательно должны быть представители эксплуатации, промышленной безопасности, ГО и ЧС, а при необходимости — защиты гостайны. Это требование п. 11 ПП № 127.
• ✗ Считать, что если система не попала в перечень 360-р, то ничего делать не нужно. Как правильно: комиссия всё равно оформляет акт об отсутствии необходимости категории и направляет сведения во ФСТЭК (пп. «е» п. 5, п. 17 ПП № 127).
• ✗ Путать категорирование КИИ с защитой персональных данных или ГИС. Это разные правовые режимы. Комиссия по КИИ оценивает объекты только по 187-ФЗ и ПП № 127, а не по 152-ФЗ или приказам ФСТЭК по ГИС.
• ✗ Оформлять акт категорирования без подписи всех членов или без утверждения руководителя. Акт подписывается членами комиссии и утверждается руководителем субъекта (п. 16 ПП № 127). Нарушение делает сведения недостоверными.
• ✗ Ориентироваться на отменённые нормы. Например, до сих пор кто-то готовит «перечень критических процессов» или «перечень объектов, подлежащих категорированию». Эти этапы отменены ПП № 1762 и ПП № 1281. Как правильно: начинать с инвентаризации и сопоставления с 360-р.

Чем поможет МелданаСБ

Мы работаем дистанционно по всей РФ, в том числе в . Помогаем субъектам КИИ подготовить документы для комиссии и пройти этап категорирования без ошибок. Наш специалист по защите информации выполняет следующие работы:

• проверяет, является ли ваша организация субъектом КИИ (по ОКВЭД, лицензиям, уставу, фактическим видам деятельности) — письменное заключение бесплатно при заказе категорирования;
• разрабатывает проект приказа о постоянно действующей комиссии с учётом структуры организации и отраслевых особенностей;
• проводит инвентаризацию ИС, ИТКС и АСУ и сопоставляет их с перечнем 360-р и отраслевыми особенностями (если они приняты для вашей сферы);
• рассчитывает показатели значимости по наихудшему сценарию с обоснованием исходных данных;
• готовит проект акта категорирования (допускается единый на несколько объектов);
• заполняет сведения по форме ФСТЭК (приказ № 236 в ред. № 247), в том числе об отсутствии необходимости присвоения категории;
• сопровождает до внесения объекта в реестр или принятия сведений ФСТЭК — правки по замечаниям вносим бесплатно.

Мы не подменяем комиссию: категорирование проводит комиссия субъекта КИИ, акт утверждает руководитель, сведения во ФСТЭК направляет сам субъект. Мы готовим проекты документов и консультируем, чтобы процесс прошёл корректно. Аттестацию, поставку и внедрение сертифицированных СЗИ на значимых объектах, лицензируемые работы выполняем через партнёра-лицензиата ФСТЭК.

Точная стоимость зависит от числа объектов, сложности систем и отраслевых особенностей. Мы рассчитываем цену по опроснику бесплатно в течение рабочего дня.

Частые вопросы

Если вы только начинаете путь в КИИ, полезно дополнительно изучить порядок категорирования объектов КИИ, ознакомиться с нормативной базой или заказать модель угроз ИБ — эти документы часто идут в связке с категорированием.