Субъект КИИ: организация включена в сводный перечень организаций ОПК и имеет ИС, АСУ, ИТКС, которые функционируют не в сферах, определенных 187-ФЗ. Является ли тогда организация субъектом КИИ?

2025 год

Ответ: да, организация является субъектом критической информационной инфраструктуры (далее – КИИ).
Согласно п. 8 ст. 2 Федерального закона от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» (далее – 187-ФЗ), к субъектам КИИ относятся организации, которым на законном основании принадлежат информационные системы (далее – ИС), автоматизированные системы управления (далее – АСУ) и информационно-телекоммуникационные сети (далее – ИТКС), функционирующие в оборонной промышленности. Соответственно, внесение юридического лица в реестр организаций оборонно-промышленного комплекса (далее – ОПК) потенциально указывает на наличие объектов КИИ, обеспечивающих выполнение функций организации как предприятия ОПК. Для этого необходимо определить, какие процессы выполняет организация в рамках оборонной промышленности, в том числе в рамках государственных оборонных заказов – то есть определить продукцию и (или) услуги, которые послужили основанием для включения в реестр организаций ОПК. Например, организация занимается производством одежды и включена в реестр организаций ОПК. В рамках выполнения государственного оборонного заказа предприятие осуществляет выпуск военной формы и ее поставку. Соответственно, критическими процессами в оборонной промышленности могут являться основной процесс производства одежды и вспомогательные процессы, обеспечивающие производство и поставку. Тогда объектами КИИ будут являться ИС, АСУ и ИТКС, обеспечивающие выполнение указанных процессов (процессы производства и поставки одежды).
Таким образом, включение юридического лица в реестр организаций ОПК является основанием для отнесения его к субъектам КИИ (при наличии объектов КИИ), а также основанием для выполнения требований 187-ФЗ, в частности проведения процедуры категорирования объектов КИИ.