Категорирование: допустимо ли объединение общей корпоративной сети передачи данных головного предприятия и филиалов в единый ОКИИ и освобождает ли такой подход руководство филиалов от проведения процедур категорирования и исполнения 187-ФЗ?

2025 год

Ответ: в соответствии со ст. 2 Федерального закона от 26.07.2017 №187 «О безопасности критической информационной инфраструктуры Российской Федерации» (далее – 187-ФЗ) к субъектам критической информационной инфраструктуры (далее – КИИ) относятся организации, которым на праве собственности, аренды или на ином законном основании принадлежат информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления (далее – ИС / ИТКС / АСУ или обобщенно – объекты КИИ), функционирующие в определенных сферах и отраслях промышленности.
При этом, в ст. 55 Гражданского Кодекса Российской Федерации определяется правовой статус филиалов и представительств юридических лиц, в частности в ч. 3 устанавливается: «Представительства и филиалы не являются юридическими лицами. Они наделяются имуществом создавшим их юридическим лицом и действуют на основании утвержденных им положений.
Руководители представительств и филиалов назначаются юридическим лицом и действуют на основании его доверенности.
Представительства и филиалы должны быть указаны в едином государственном реестре юридических лиц».
Директора филиалов действуют от имени юридического лица на основании выданной им доверенности. Имущество филиалов принадлежит юридическому лицу, а корпоративные отношения между головной организацией и филиалами устанавливаются в организационно-распорядительных документах юридического лица.
Таким образом, филиалы юридического лица не являются субъектом гражданско-правовых отношений и не являются субъектом права в контексте 187-ФЗ (не могут быть определены как субъекты КИИ). Вне зависимости, по какому признаку были образованы филиалы (территориальному, функциональному и т. п.), при проведении категорирования объектов КИИ в филиалах процесс осуществляется от имени юридического лица и является частью процесса категорирования объектов КИИ юридического лица.
Что касается допустимости отнесения корпоративной сети предприятия к объектам КИИ, – порядок категорирования и последовательность отнесения ИС / ИТКС / АСУ к объектам КИИ определены в Правилах категорирования объектов КИИ Российской Федерации постановлении Правительства РФ от 08.02.2018 № 127 (далее – Правила категорирования). Порядок категорирования в соответствии с Правилами категорирования включает, в том числе, выявление объектов (ИС / ИТКС / АСУ), соответствующих типовым объектам КИИ, включенным в перечни типовых отраслевых объектов КИИ, утвержденных распоряжением Правительства Российской Федерации от 26.02.2026 № 360-р .
Решение об отнесении ИС / ИТКС / АСУ к объектам КИИ в конечном итоге принимает руководитель субъекта КИИ на основании результатов категорирования, подготовленных постоянно действующей Комиссией по категорированию (либо руководитель филиала, выступающий от имени юридического лица по доверенности). Выделение «больших» объектов КИИ, например, корпоративной сети, не противоречит законодательству Российской Федерации, в частности 187-ФЗ, но требует огромных усилий по созданию системы безопасности таких объектов и негативно влияет на управляемость систем безопасности объектов КИИ.