Категорирование: требуется ли при проведении категорирования определять, фиксировать и, возможно, издавать перечни процессов субъекта КИИ или достаточно опираться на виды деятельности и типовые перечни объектов КИИ?

2025 год

Ответ: при проведении процедуры категорировании объектов критической информационной инфраструктуры (далее – КИИ) рекомендуется формировать перечень процессов, которые осуществляются организацией в рамках реализации видов деятельности, установленных статьей 2 Федерального закона от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» (далее – 187-ФЗ), а также формировать перечень критических процессов – процессов, нарушение и (или) прекращение которых может привести к негативным социальным, политическим, экономическим, экологическим последствиям, последствиям для обеспечения обороны страны, безопасности государства и правопорядка. Определение данных процессов предусмотрено Правилами категорирования объектов КИИ, утвержденными постановлением Правительства Российской Федерации от 08.02.2018 № 127 (далее – Правила категорирования), а формирование перечней процессов обеспечивает прозрачность процедуры категорирования.
Однако стоит отметить, что Правилами категорирования явно не установлено требование по формированию, утверждению и (или) изданию перечней процессов. Поэтому одним из вариантов выявления объектов КИИ может быть определение видов деятельности, для реализации которых функционируют такие объекты. В том числе потенциальный объект КИИ может быть выявлен путем анализа перечней типовых отраслевых объектов КИИ, утвержденных министерствами Российской Федерации для определенных сфер экономической деятельности.
Стоит отметить, что формирование перечней процессов, в рамках которых субъекты КИИ осуществляют свою деятельность в соответствии с определением 187-ФЗ, и критических процессов может быть предусмотрено отраслевыми методическими рекомендациями по категорированию объектов КИИ. Так, например, формирование реестра бизнес-процессов и перечня критических бизнес-процессов предусмотрено Методическими рекомендациями по категорированию объектов КИИ сферы здравоохранения (утверждены Заместителем Министра здравоохранения 05.04.2021), а также формирование перечней процессов и критических процессов предусмотрено Методическими рекомендациями по категорированию объектов КИИ, функционирующих в сфере транспорта (утверждены Минтрансом России 24.01.2024).