Существуют ли отраслевые рекомендации для категорирования объектов КИИ в сфере здравоохранения?

2025 год

Ответ: Министерством здравоохранения Российской Федерации 5 апреля 2021 г. были выпущены Методические рекомендации по категорированию объектов критической информационной инфраструктуры сферы здравоохранения. Версия 1.0. В рамках методического документа сформированы общие рекомендации по порядку:

1. Формирования перечня типовых бизнес-процессов, а также оценки критичности бизнес-процессов.
2. Инвентаризации систем субъекта критической информационной инфраструктуры (далее – КИИ).
3. Оценки участия объектов КИИ в бизнес-процессах.
4. Расчета показателей критериев значимости объектов КИИ.
5. Оформления результатов категорирования объектов КИИ, а также Сведений о результатах категорирования.
6. Обеспечения безопасности значимых объектов КИИ после завершения категорирования, в том числе по составу и перечню организационных мероприятий по созданию системы обеспечения информационной безопасности значимых объектов КИИ.
7. Организации взаимодействия с центрами Государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА).

Кроме того, приложения к методическому документу содержат:

1. Перечень типовых объектов КИИ, функционирующих в сфере здравоохранения.
2. Рекомендации по формированию комиссии по категорированию объектов КИИ.
3. Состав возможных инцидентов, которые могут возникнуть в результате реализации компьютерных атак на объекты КИИ.
4. Варианты обоснования неприменимости критериев значимости, установленных постановлением Правительства Российской Федерации от 08.02.2018 № 127 «Об утверждении правил категорирования объектов критической информационной инфраструктуры Российской Федерации, а также перечня показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений» (далее – Правила категорирования).
5. Иные справочные и методические материалы.

Стоит отметить, что в Правила категорирования и в законодательство о безопасности КИИ внесён ряд значительных изменений, в связи с чем методические рекомендации требуют актуализации и не могут быть в полной мере использованы субъектами КИИ для проведения категорирования. В частности:

• постановлениями Правительства Российской Федерации от 20.12.2022 № 2360, от 19.09.2024 № 1281 и от 07.11.2025 № 1762 внесены значительные изменения в Правила категорирования объектов КИИ и Перечень показателей критериев значимости;
• Федеральным законом от 07.04.2025 № 58-ФЗ внесены изменения в Федеральный закон от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации», установившие, что отраслевые особенности категорирования и перечни типовых отраслевых объектов КИИ утверждаются Правительством Российской Федерации;
• распоряжением Правительства Российской Федерации от 26.02.2026 № 360-р утверждён Перечень типовых отраслевых объектов КИИ, включающий, в том числе, раздел «Сфера здравоохранения».

В связи с этим рекомендуется производить процедуру категорирования объектов КИИ сферы здравоохранения и дальнейшее построение системы обеспечения информационной безопасности объектов КИИ с учётом методических рекомендаций Минздрава России (в части справочных и общих процедурных материалов), но с соблюдением требований приказа ФСТЭК России от 21.12.2017 № 235, приказа ФСТЭК России от 25.12.2017 № 239, Правил категорирования (в действующей редакции), распоряжения Правительства Российской Федерации от 26.02.2026 № 360-р и Федерального закона от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации».