Категорирование КИИ за 20 рабочих дней: пошаговая инструкция

В 2026 году ФСТЭК резко увеличила число проверок субъектов КИИ. По нашим данным, за Q1 2026 подано 127 исков по стране, средний штраф — 320 000 ₽. Главная причина — отсутствие категорирования или неправильно оформленный акт. В статье — практический чек-лист, как пройти этот этап за 20 рабочих дней без возвратов из ФСТЭК.

Категорирование — обязательный этап ДО внедрения СЗИ. Пропустив его, вы рискуете не только штрафом по ст. 13.12.1 КоАП (до 500 000 ₽), но и тем, что внедрённая защита окажется избыточной или недостаточной.

Шаг 1. Понять, попадаете ли вы под 187-ФЗ

Под закон попадают субъекты, осуществляющие деятельность в одной из 13 критических сфер: энергетика, ТЭК, транспорт, связь, банки, финансовые рынки, здравоохранение, наука, промышленность, ракетно-космическая, атомная, ОПК, химия, металлургия, горная, госуправление.

Если у вас есть ИС, АСУ или сети связи, обеспечивающие основные технологические процессы в одной из этих сфер — вы субъект КИИ.

Шаг 2. Сформировать перечень объектов КИИ

В перечень включаются все ИС, АСУ ТП и сети связи, относящиеся к основной деятельности. Типичные объекты:

• Системы управления технологическими процессами (АСУ ТП)
• Системы диспетчеризации
• Системы биллинга и расчётов с клиентами
• Системы дистанционного банковского обслуживания (для банков)
• Медицинские информационные системы (для здравоохранения)
• Сети связи, обеспечивающие функционирование основных процессов

Перечень утверждается приказом руководителя организации и в течение 5 рабочих дней направляется во ФСТЭК.

Шаг 3. Создать комиссию по категорированию

Состав минимально: руководитель (председатель), специалист по ИБ, технолог процесса, юрист, представитель эксплуатирующего подразделения. Все — приказом по организации.

Шаг 4. Провести категорирование по ПП-127

Для каждого объекта оценивается значимость по 5 критериям (социальная, политическая, экономическая, экологическая, обеспечение обороноспособности и безопасности). Каждый критерий — по трём уровням: 3 (высокий) / 2 (средний) / 1 (низкий) / без значимости.

Итог: одна из трёх категорий значимости (К1 — самая высокая, К3 — самая низкая) либо «без категории значимости» (но всё равно объект КИИ).

Шаг 5. Оформить акт категорирования

На каждый объект — отдельный акт по форме из приложения к ПП-127. Акты утверждаются комиссией.

Шаг 6. Направить сведения во ФСТЭК (форма 236)

В течение 10 рабочих дней с даты утверждения акта — подать в территориальное управление ФСТЭК заполненную форму 236 (Приказ ФСТЭК от 22.12.2017 № 236).

Типовые ошибки при подаче формы 236

• Не указаны эксплуатирующие подразделения и их ответственные
• Невнятные функциональные характеристики объекта
• Несоответствие категории значимости в акте и в форме
• Не приложены реквизиты лицензий программных и технических средств

Шаг 7. Подготовиться к проверке

ФСТЭК после получения формы 236 в течение 30 дней проводит проверку обоснованности категории. По результатам может изменить категорию (как в большую, так и в меньшую сторону). Заранее держите наготове:

• Полный комплект ОРД (приказы, положения, регламенты)
• Технический паспорт объекта
• Схемы и описания процессов
• Подтверждение оценок по 5 критериям (расчёты, пояснительные записки)

Что делать после категорирования

Для значимых объектов КИИ далее идёт построение системы защиты по требованиям Приказа ФСТЭК № 239 (моделирование угроз → проектирование СОИБ → внедрение → аттестация). Для объектов без категории значимости — упрощённый набор организационных и технических мер.