Категорирование объектов КИИ – обязательная процедура, в ходе которой субъект критической информационной инфраструктуры выявляет свои информационные системы, сети и АСУ, относящиеся к объектам КИИ, оценивает возможные последствия их нарушения и присваивает каждому объекту одну из трёх категорий значимости либо фиксирует, что категория не требуется. Порядок установлен 187-ФЗ и Правилами категорирования (постановление Правительства РФ от 08.02.2018 № 127).
Как проходит категорирование
- Приказом руководителя создаётся комиссия по категорированию.
- Выявляются объекты, которые соответствуют типовым отраслевым объектам КИИ (с 1 сентября 2025 года перечни типовых объектов утверждаются для отраслей).
- Для каждого объекта оцениваются угрозы и масштаб возможных последствий по показателям критериев значимости.
- Результаты оформляются актом; сведения направляются во ФСТЭК России, которая вносит значимые объекты в реестр.
Что изменилось в 2025 году
Поправки в 187-ФЗ, вступившие в силу 1 сентября 2025 года, ввели отраслевые перечни типовых объектов КИИ и усилили роль отраслевых регуляторов. В конце 2025 года постановлением № 1762 обновлены Правила категорирования: в частности, расширен состав сведений, направляемых во ФСТЭК, и предусмотрен учёт отраслевых методик при расчёте показателей.
Зачем это знать при выборе ПО
- Категория значимости определяет обязательные меры защиты, требования к средствам защиты информации и к российскому ПО.
- Если система может стать значимым объектом, требования к ней лучше заложить на этапе проектирования, чем переделывать после категорирования.
- Для автоматизации учёта объектов, актов и сроков пересмотра используются решения класса GRC и специализированные системы управления соответствием КИИ.
