Категорирование: как корректно рассчитать 8 показатель из Перечня показателей критериев значимости (возникновение экономического ущерба субъекту КИИ)?

2025 год

Ответ: рекомендации по оценке показателей критериев экономической значимости приведены в виде проекта методического документа на сайте ФСТЭК России. В общем виде порядок следующий:
Шаг 1. Определить применимость показателя к субъекту критической информационной инфраструктуры (далее – КИИ). В соответствии с Перечнем показателей критериев значимости объектов КИИ Российской Федерации (далее – РФ) и их значений, утвержденных постановлением Правительства РФ от 08.02.2018 № 127 (далее – Перечень показателей критериев значимости), показатель применим для:

1. Государственных корпораций.
2. Государственных унитарных предприятий.
3. Государственных компаний.
4. Стратегических акционерных обществ и стратегических предприятий.

Принадлежность организации к государственным корпорациям, государственным унитарным предприятиям и государственным компаниям определяется по Общероссийскому классификаторы организационно-правовых форм (ОКОПФ) исходя из выписки из Единого государственного реестра юридических лиц (ЕГРЮЛ) или открытых источников:

• ОКОПФ 7 16 01 – государственные корпорации.
• ОКОПФ 7 16 02 – государственные компании.
• ОКОПФ 6 и вложенные уровни (коды), например: 6 51 41; 6 52 43 и т. д. – государственные унитарные предприятия.

Принадлежность организации к стратегическим акционерным обществам и стратегическим предприятиям определяется исходя из факта включения организации в Перечень стратегических предприятий и стратегических акционерных обществ, утвержденных указом Президента РФ от 04.08.2004 № 1009 (необходимо использовать последнюю редакцию).
Шаг 2. Для определения годового объема доходов, усредненного за прошедший пятилетний период, необходимо использовать Отчеты о финансовых результатах организации (форма № 2 бухгалтерской отчетности).
Совокупный годовой доход организации можно определить по статьям: Выручка (2110), Доходы от участия в других организациях (2310), Проценты к получению (2320) и Прочие доходы (2340).
Годовой объем доходов, усредненный за прошедший пятилетний период, рассчитываем как сумму доходов по статьям, указанным выше, за последние пять лет деятельности организации, деленную на пять.
Шаг 3. Далее необходимо определить ущерб как сумму недополученных доходов от простоя (нарушения штатного функционирования) производственной деятельности организации, недоступности каналов дистрибуции, срыва запланированных сделок.
Для расчета соответствующего ущерба необходимо рассматривать сценарии, при которых инцидент на объекте КИИ приводит к снижению показателей деятельности организации, либо к сценариям невозможности заключения сделок с контрагентами, невозможности или затруднению осуществления продаж по каналам дистрибуции. При этом, затраты на восстановление штатного режима функционирования и прочие расходы на предотвращение последствий компьютерных атак (инцидентов) в расчете показателя не учитываются.
Расчет потенциального ущерба осуществляется экспертным путем, в состав экспертной группы целесообразно включать специалистов ИТ- и ИБ-подразделений, риск-менеджеров, специалистов по экономическому анализу. Для расчета потенциального ущерба могут быть использованы следующие показатели: время восстановления объекта КИИ до штатных режимов функционирования, время недоступности канала дистрибуции, доход от реализации деятельности, обеспечиваемой объектом КИИ, доход по направлениям деятельности (тарифы на электроснабжение, тарифы на теплоснабжение, доход от продажи товаров и услуг и т. д.), доход по каналам дистрибуции и т. д.
Шаг 4. Итоговым действием делим сумму ущерба (Шаг 3) на усредненный доход (Шаг 2) и умножаем на 100% – получаем значение показателя критерия значимости по п. 8 Перечня показателей критериев значимости.