Изменения в правилах категорирования объектов КИИ

8 ноября 2025 года было официально опубликовано Постановление Правительства Российской Федерации от 7 ноября 2025 г. N 1762 «О внесении изменений в некоторые акты Правительства Российской Федерации», которое вносит существенные изменения в правила категорирования объектов КИИ. Данные перемены являются в том числе следствием вступления в силу 1 сентября 2025 года 58-ФЗ «О внесении изменений в Федеральный закон «О безопасности критической информационной инфраструктуры Российской Федерации».

Разберем ключевые изменения.

Типовые отраслевые объекты КИИ и особенности их категорирования

Теперь категорированию подлежат ИС, АСУ, ИТКС субъекта КИИ, включенные в перечни типовых отраслевых объектов КИИ. Опираться на наличие критических процессов при определении объектов КИИ, подлежащих категорированию, больше не нужно, данное понятие в новой версии постановления исключено.

Также если у субъекта КИИ появляется новый объект КИИ, который не соответствует типовым отраслевым объектам КИИ, но при этом масштаб возможных последствий в случае компьютерного инцидента соответствует показателям критериев значимости и их значениям, то такой объект КИИ подлежит категорированию, и сведения о результатах его категорирования должны быть направлены в ФСТЭК России.

Напомним, что на текущий момент перечни типовых отраслевых объектов КИИ Правительством еще не утверждены.

При установлении соответствия объекта КИИ критериям и показателям их значений, а также при расчете значений показателей критериев значимости необходимо руководствоваться ПП РФ № 127 и отраслевыми особенностями категорирования объектов КИИ, которые пока еще тоже не утверждены Правительством (проекты документов по отраслевым особенностям категорирования мы разбирали в статье «Отраслевые особенности категорирования объектов КИИ: последние изменения».

При отправке сведений о результатах категорирования в ФСТЭК России, для объектов КИИ, которые взаимодействуют с сетями электросвязи общего пользования, в том числе с информационно-телекоммуникационной сетью «Интернет», необходимо дополнительно указывать их доменные имена и сетевые адреса.

Новые и измененные показатели критериев значимости

В обновленной редакции ПП РФ № 127 появились новые показатели критериев значимости, а также внесены изменения в наименования существующих показателей.

Социальная значимость

1) Дополнилось наименование показателя №3 «Прекращение или нарушение функционирования объектов транспортной инфраструктуры, организаций, осуществляющих деятельность в области грузовых и пассажирских перевозок, транспортных средств, в том числе высокоавтоматизированных транспортных средств» (изменения выделены жирным шрифтом).

2) Обновленный показатель «Прекращение или нарушение функционирования объектов транспортной инфраструктуры, организаций, осуществляющих деятельность в области грузовых и пассажирских перевозок, транспортных средств, в том числе высокоавтоматизированных транспортных средств» теперь необходимо дополнительно оценивать по следующим параметрам: «по типам нарушенных перевозок и грузов» и «по категорированию объектов транспортной инфраструктуры». Отметим, что под категорией объекта транспортной инфраструктуры понимается категория, которая определяется в соответствии с приказом Министерства транспорта РФ от 07.09.2020 № 358 «О порядке установления критериев категорирования объектов транспортной инфраструктуры».

3) Прекращение или нарушение функционирования сети связи теперь оценивается не только по количеству абонентов, для которых могут быть недоступны услуги связи, но и по уровню органа государственной власти (количеству органов) или организации, для которых могут быть нарушены или недоступны услуги связи.

Политическая значимость

Дополнилось наименование и значения показателя «Прекращение или нарушение функционирования государственного органа или организации, созданной на основании федерального закона, в части невыполнения возложенной на них функции (полномочия)».

Экономическая значимость

1. Показатель «Прекращение или нарушение проведения клиентами операций по осуществлению перевода денежных средств, осуществляемых субъектом критической информационной инфраструктуры…» дополнен новыми типами субъектов КИИ (например, операторами платформы цифрового рубля).

2. В показателе 10 ³ слова «суммой пенсионных накоплений и пенсионных резервов» заменили словами «объемом активов (суммой пенсионных накоплений и пенсионных резервов)».

3. В показателе 10 ⁴ слова «оцениваемые объемом активов» заменили словами «которые оцениваются объемом активов страховой организации».

4. Появился новый показатель 10 ⁶ — «Прекращение или нарушение выполнения деятельности по предоставлению потребительских займов субъектом КИИ, являющимся микрофинансовой компанией, которые оцениваются суммой микрозаймов, выданных за годовой отчетный период (млрд. рублей)».

5. Появился новый показатель 10 ^{7 —} «Прекращение или нарушение предоставления пользователям кредитных историй и субъектам кредитных историй услуг, предусмотренных Федеральным законом «О кредитных историях», субъектом КИИ, являющимся бюро кредитных историй, которые оцениваются количеством кредитных историй, хранящихся в бюро кредитных историй (млн. единиц)».

Значимость для обеспечения обороны страны, безопасности государства и правопорядка

Теперь снижение показателей государственного оборонного заказа, выполняемого (обеспечиваемого) субъектом КИИ нужно дополнительно оценивать по его статусу в кооперации головного исполнителя поставок продукции по государственному оборонному заказу:

• статус «соисполнитель, субподрядчик или поставщик части продукции, работ и услуг в рамках контракта по государственному оборонному заказу совместно с исполнителем, заключившим контракт с головным исполнителем государственного оборонного заказа» — III категория значимости;

• статус «исполнитель контракта по государственному оборонному заказу, заключивший контракт с головным исполнителем государственного оборонного заказа» — II категория значимости;

• статус «головной исполнитель поставок продукции, работ и услуг по государственному оборонному заказу» — I категория значимости.
  
  

Исходные данные для проведения категорирования

Дополнительными исходными данными для проведения категорирования теперь являются перечни типовых отраслевых объектов критической информационной инфраструктуры и иные данные, которые могут быть определены отраслевыми особенностями категорирования каждой отрасли. Опираться в качестве исходных данных на управленческие, технологические, производственные, финансово-экономические и (или) иные процессы в рамках выполнения функций (полномочий) или осуществления видов деятельности субъектов КИИ больше не нужно.

Комиссия по категорированию объектов КИИ

В состав постоянно действующей комиссии по категорированию по решению руководителя субъекта КИИ теперь могут дополнительно включаться лица, определенные в НПА по отраслевым особенностям категорирования (в дополнение к тем, что указаны в п. 11 127 ПП РФ).

Одной из функций комиссии теперь является выявление объектов КИИ, соответствующих типовым объектам, включенным в перечни типовых отраслевых объектов КИИ. Выявление критических процессов и объектов КИИ, которые обрабатывают информацию для обеспечения их выполнения, больше не входит в обязанности комиссии.

Мониторинг со стороны отраслевых регуляторов

Конкретизирована информация, которую должен направить отраслевой регулятор в ФСТЭК России по результатам мониторинга предоставления актуальных и достоверных сведений в отношении субъектов КИИ:

• о нарушении сроков работ по категорированию;

• нарушении отраслевых особенностей категорирования;

• представлении в ФСТЭК России неактуальных либо недостоверных сведений;

• выявлении ИС, ИТКС, АСУ, которые соответствуют типовым объектам критической информационной инфраструктуры, включенным в перечни типовых отраслевых объектов КИИ, и категорирование которых не проведено.
  
  

Пересмотр категории значимости

В обновленной версии ПП РФ № 127 допускается, что в отраслевых особенностях категорирования для каждой отрасли могут быть установлены свои сроки периодического пересмотра категории значимости объектов КИИ. На текущий момент срок пересмотра для всех субъектов КИИ одинаков — не реже чем раз в 5 лет, а также при изменении показателей критериев значимости или их значений (п. 21 ПП РФ № 127).

Рекомендации КСБ-СОФТ

Вышеописанные изменения вступили с силу 16 ноября 2025. В связи с тем, что в НПА вводятся новые и меняются старые показатели критериев значимости, всем субъектам КИИ необходимо пересмотреть ранее установленные категории значимости или решения об отсутствии необходимости присвоения объектам КИИ таких категорий (в части внесенных изменений), а в случае изменения категории значимости, необходимо отправить сведения в ФСТЭК России.

Но есть важный нюанс: новый подход к категорированию основывается на применении перечней типовых отраслевых объектов КИИ и отраслевых особенностях категорирования, которые на текущий момент Правительством еще не утверждены, поэтому полноценно провести работы по пересмотру категорий в данный момент не представляется возможным. Здравый смысл подсказывает, что необходимо дождаться утверждения данных НПА и только после этого приступить к работам, но как на это смотрит регулятор — пока неизвестно. Будем ждать официальных разъяснений, которыми обязательно поделимся в нашем Телеграм-канале «Мнение Интегратора».