Категорирование: мы создаем организацию для оказания ИТ-услуг внутри холдинга (т.н. инсорсер), дочерние (зависимые) предприятия которого являются субъектами КИИ. Будет ли создаваемый ИТ-инсорсер являться субъектом КИИ?

2025 год

Ответ: согласно п. 8 ст. 2 Федерального закона от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» (далее – ФЗ-187), к субъектам критической информационной инфраструктуры (далее – КИИ) относятся государственные органы, государственные учреждения, российские юридические лица, (а также российские юридические лица, которые обеспечивают взаимодействие указанных систем или сетей), которым на праве собственности, аренды или на ином законном основании принадлежат информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления, функционирующие в одной из установленных сфер деятельности.

Для принятия решения об отнесении организации-инсорсера к субъектам КИИ необходимо оценить распределение функций при структурировании бизнес-процессов внутри холдинга, а также распределение прав на объекты КИИ.

В случае, если инсорсеру на правах собственности, аренды либо на ином законном основании принадлежат компоненты инфраструктуры, функционирующие в одной из установленных сфер деятельности п. 8 ст. 2 ФЗ-187, юридическое лицо (инсорсер) должно быть определено как субъект КИИ.
Если инсорсер выполняет функции по обслуживанию инфраструктурной составляющей объектов КИИ, разработке, сопровождению и (или) администрированию прикладного программного обеспечения объектов КИИ – к субъектам КИИ он не относится, однако в корпоративных договорных отношениях и в организационно-распорядительных документах сторон должны быть определены обязанности и распределение ролей по обеспечению безопасности объектов КИИ.