Федеральный закон № 187-ФЗ обязывает субъектов критической информационной инфраструктуры пройти процедуру категорирования своих объектов - без этого выстроить защиту в рамках правового поля не получится. Каждой информационной системе, автоматизированной системе управления или сети связи присваивается категория значимости, от которой напрямую зависят конкретные требования к безопасности. Актуальный порядок прохождения процедуры описан на sertifikat.bz/kategorirovanie_obektov_kii.

Кого затрагивает процедура и что она определяет

Обязанность провести категорирование распространяется на организации из 14 отраслей: энергетика, транспорт, финансовый сектор, здравоохранение, связь, оборонная промышленность и ряд других. Оценка строится вокруг одного вопроса: какой масштаб ущерба возникнет при инциденте на конкретном объекте. По итогам объект получает одну из трёх категорий - либо признаётся незначимым. Последний вариант не освобождает от обязанности уведомить ФСТЭК: сведения о незначимых объектах всё равно направляются регулятору.

• Первая категория - ущерб федерального масштаба, максимальные требования к защите
• Вторая категория - последствия регионального или межотраслевого уровня
• Третья категория - локальный ущерб в пределах одной организации
• Незначимые объекты - фиксируются отдельным перечнем, передаются во ФСТЭК

Этапы проведения категорирования

Внутри организации создаётся комиссия, которая сначала инвентаризирует все объекты, подпадающие под действие закона. По каждому из них оцениваются показатели критичности: социальная и экономическая составляющие, экологические риски, влияние на обороноспособность страны. Готовый акт с присвоенными категориями передаётся во ФСТЭК России - у регулятора есть 30 дней на проверку корректности сделанных выводов.

• Инвентаризация объектов и формирование их единого перечня
• Оценка показателей критичности по утверждённым критериям постановления Правительства
• Подготовка акта категорирования и его направление во ФСТЭК на согласование

Заключение

Категорирование объектов КИИ повторяют при любых изменениях в составе систем или условиях их эксплуатации - разовым мероприятием оно не ограничивается. Ошибки в актах и уклонение от процедуры грозят административной и уголовной ответственностью, поэтому аккуратность на каждом этапе имеет прямые правовые последствия.