Серия вебинаров: обязательно ли издавать приказ и утверждать план об устранении недостатков (нарушений, несоответствий), выявленных в ходе государственного контроля?

2025 год

Ответ: издание приказа руководителя субъекта критической информационной инфраструктуры (далее – КИИ) об устранении недостатков (нарушений, несоответствий), выявленных в ходе государственного контроля, является лучшей практикой в части способа контроля исполнения указаний и инструментов назначения персональной ответственности. Также стоит отметить, что государственный контроль является внешней оценкой (внешним аудитом) соответствия требованиям нормативных правовых актов в области безопасности КИИ. В соответствии с пунктом 36 Требований к созданию систем безопасности значимых объектов КИИ и обеспечению их функционирования, утвержденных приказом ФСТЭК России от 21.12.2017 № 235 (далее – Требования к СОИБ), замечания, выявленные по результатам внутреннего контроля или внешней оценки, подлежат устранению в порядке и сроки, установленные руководителем субъекта КИИ (ответственным лицом). Так, установить сроки устранения недостатков (несоответствий) можно приказом руководителя организации или распоряжением руководителя (ответственного, уполномоченного лица). При этом соблюдение сроков является важным моментом, требующим контроля, поскольку ФСТЭК России вправе выдать предписание об устранении выявленных недостатков с указанием сроков дли их устранения. Невыполнение в установленный срок законного предписания органа (должностного лица), осуществляющего государственный надзор (контроль), об устранении нарушений законодательства является основанием для наложения мер административной ответственности в соответствии со статьей 19.5 Кодекса Российской Федерации об административных правонарушениях.

Издание планов об устранении недостатков (нарушений, несоответствий) подразумевается в рамках реализации мер по обеспечению безопасности значимых объектов КИИ в соответствии с Требованиями к СОИБ и Требованиями по обеспечению безопасности значимых объектов КИИ, утвержденными приказом ФСТЭК России от 25.12.2017 № 239. В рамках установленных требований необходимо планировать мероприятия по обеспечению безопасности значимых объектов КИИ. Устранение недостатков (несоответствий), выявленных в ходе государственного контроля или иного способа контроля (внутренний, внешний), тоже является мероприятием по обеспечению безопасности.