Изменения в Правила категорирования объектов КИИ (127-ПП): пунктом 19(1) установлена необходимость уведомления ФСТЭК России при изменении состава объектов КИИ, актуальных угроз и т.п. Как можно упростить этот процесс, не нарушая законодательство?

2024 год

Ответ: действительно, постановлением Правительства Российской Федерации (далее – РФ) от 24.12.2021 № 2431 внесены изменения в Правила категорирования объектов критической информационной инфраструктуры (далее – КИИ) РФ, утвержденные постановлением Правительства РФ от 08.02.2018 № 127 (далее – Правила категорирования), в том числе в части необходимости уведомления ФСТЭК России путем направления  Сведений о результатах присвоения объекту КИИ одной из категорий значимости либо об отсутствии необходимости присвоения ему одной из таких категорий по форме, утвержденной приказом ФСТЭК России от 22.12.2017 № 236 (далее – Сведения о результатах категорирования), в течение 20 рабочих дней в следующих случаях:

• изменение сведений об объекте КИИ – например, изменение его архитектуры или мест расположения его компонентов;
• изменение сведений о субъекте КИИ – например, изменение лиц, уполномоченных/ответственных за безопасность значимых объектов КИИ;
• изменение сведений о взаимодействии объекта КИИ и сетей электросвязи – например, при подключении объекта КИИ к сети Интернет или изменении провайдера;
• изменение сведений о лице, эксплуатирующем объект КИИ, – например, при заключении договора с новым подрядчиком или клиентом (при предоставлении соответствующих услуг);
• изменение сведений о составе объекта КИИ (в том числе о составе применяемых средств защиты информации или изменении информации об их оценке соответствия требованиям информационной безопасности);
• изменение сведений об актуальных угрозах – например, при подключении объекта КИИ к сети Интернет;
• изменение сведений о доменных именах и сетевых адресах объекта КИИ, взаимодействующего с сетями электросвязи общего пользования, в том числе с информационно-телекоммуникационной сетью «Интернет» (введено Постановлением Правительства РФ от 07.11.2025 № 1762).

Для упрощения процесса формирования и направления в ФСТЭК России изменений в Сведениях о результатах категорирования, рекомендуем:

1. Определить роли, ответственные за уведомление об изменении сведений об объектах КИИ, способ такого уведомления и уведомляемых сотрудников (структурного подразделения по безопасности объектов КИИ) – роли можно определить приказом субъекта КИИ или внесением изменений в должностные инструкции. При этом к таким ролям можно отнести как представителей ИТ- и ИБ- подразделений, так и «держателей» договоров с эксплуатантами объекта КИИ и других лиц.
2. Определить ответственного за подготовку и направление в ФСТЭК России уточненных Сведений о результатах категорирования.
3. Назначить лицо, уполномоченное действовать от имени субъекта КИИ по вопросам исполнения требований Федерального закона от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» для упрощения процедуры подписания Сведений о результатах категорирования.

Примечание: в соответствии с п. п. «а» п. 1 Указа Президента РФ от 01.05.2022 № 250 «О дополнительных мерах по обеспечению информационной безопасности Российской Федерации» выделение должности заместителя руководителя субъекта КИИ по безопасности и возложение на него полномочий по обеспечению информационной безопасности является обязательным требованием.
4. Скорректировать (при необходимости) Акт по результатам категорирования объекта КИИ, оставив в нем только минимально необходимые сведения об объекте КИИ.
Примечание: в соответствии с п. 16 Правил категорирования Акт по результатам категорирования должен содержать сведения об объекте КИИ, сведения о присвоенной объекту КИИ категории значимости либо об отсутствии необходимости присвоения ему одной из таких категорий. 
Исходя из этого, информацию п. 2-7, 9 Сведений о результатах категорирования указывать в Акте по результатам категорирования необязательно. Напротив, такая информация может быть предметом предписаний со стороны ФСТЭК России при проведении государственного контроля (при ее несоответствии направленным ранее или уточненным Сведениям о результатах категорирования, фактическому описанию объектов КИИ).