Изменения в 127-ПП (декабрь 2022): п. 19(1) Правил категорирования в новой редакции теперь противоречит п. 21. Требуется ли взаимодействие с ФСТЭК России, если значения показателей были пересчитаны, но категория значимости объекта не изменилась?

2024 год

Ответ: да, но проводить повторную оценку показателей критериев значимости требуется с установленной периодичностью либо при определенных условиях.
Действительно, постановлением Правительства от 20.12.2021 № 2360 был скорректирован п. 19(1) Правил категорирования объектов критической информационной инфраструктуры (далее – КИИ) Российской Федерации (далее – РФ), утвержденных постановлением Правительства РФ от 08.02.2018 № 127 (далее – Правила категорирования). Теперь субъекты КИИ должны направлять регулятору Сведения о результатах присвоения объекту КИИ одной из категорий значимости либо об отсутствии необходимости присвоения ему одной из таких категорий по форме, утвержденной приказом ФСТЭК России от 22.12.2017 № 236 (далее – Сведения о результатах категорирования), в случае изменения любого пункта из их состава, в том числе из того, что не было предусмотрено ранее:

• возможные последствия в случае возникновения компьютерных инцидентов;
• категория значимости, сведения об отсутствии необходимости присвоения такой категории и результаты оценки показателей критериев значимости;
• организационные и технические меры защиты объекта КИИ или сведения об отсутствии необходимости их применения;
• доменные имена и сетевые адреса объекта КИИ, взаимодействующего с сетями электросвязи общего пользования (п. п. «к» п. 17 Правил категорирования, введен в редакции от 07.11.2025).

При этом в соответствии с п. 21 Правил категорирования требуется направление регулятору Сведений о результатах категорирования в случае изменения категории значимости с условием пересмотра установленных категорий значимости не реже одного раза в 5 лет, при изменении показателей критериев значимости и их значений, отраслевых особенностей категорирования.
Решение о присвоении категории значимости принимается постоянно действующей комиссией по категорированию и фиксируется в Акте по результатам категорирования, при этом п. 16 Правил категорирования установлен состав Акта по результатам категорирования, который включает:

• сведения об объекте КИИ;
• сведения о присвоенной объекту КИИ категории значимости либо об отсутствии необходимости ее присвоения.

Таким образом, можно сделать вывод, что п. 21 Правил категорирования установлено требование к частоте и условиям пересмотра решения о присвоении категории значимости объекту КИИ (переиздания Акта по результатам категорирования), а актуализация Сведений о результатах категорирования, предусмотренная п. 19 (1) может проводиться без привлечения постоянно действующей комиссии по категорированию (например, ответственным за обеспечение безопасности объектов КИИ).
Пересмотр установленных категорий значимости требуется в следующих случаях:

• по прошествии 5 лет с даты категорирования объекта КИИ (либо иного срока, установленного отраслевыми особенностями категорирования);
• при существенном изменении условий функционирования объекта КИИ (переоценка социально-экономических, экологических и других рисков в декларации промышленной безопасности опасного производственного объекта, декларации безопасности гидротехнического сооружения, паспорте безопасности объекта топливно-энергетического комплекса и т. д.);
• при изменении отраслевых особенностей категорирования;
• при наступлении компьютерных инцидентов на объекте КИИ, повлекших последствия, выходящие за границы оценки масштаба возможных последствий при проведенном ранее категорировании;

при законодательном изменении Перечня показателей критериев значимости объектов КИИ РФ, утвержденного постановлением Правительства РФ от 08.02.2018 № 127, касающимся показателей критериев значимости, применимых к объекту КИИ.