Весь комплект документов по ПП РФ № 127 — от приказа о комиссии до сведений во ФСТЭК. Образцы бесплатны и открыты. Ниже разобрано, в каком порядке документы оформляются, что уходит регулятору и в какой срок.
Образец и форма акта категорирования объекта КИИ.
Образец приказа о создании комиссии по категорированию.
Положение о комиссии по категорированию объектов КИИ.
Протокол заседания комиссии по категорированию.
Перечень объектов КИИ, подлежащих категорированию.
Форма сведений о результатах категорирования.
Подготовим весь комплект документов и согласуем с ФСТЭК под ключ.
Категорирование по 187-ФЗ — это не один документ, а комплект, который оформляется в строгой последовательности: каждый следующий документ опирается на предыдущий. Приказ создаёт комиссию, комиссия утверждает перечень объектов, по объектам из перечня проводятся заседания и оформляются протоколы, на основании протоколов — акты категорирования, и уже из актов берутся сведения во ФСТЭК. Разорвать эту цепочку нельзя: акт по объекту, которого нет в перечне, не имеет основания, а сведения без утверждённого акта отправлять не с чего.
Ниже — весь комплект в том порядке, в котором он появляется, с указанием, что остаётся внутри организации, а что уходит регулятору и в какой срок.
| ДОКУМЕНТ | КОГДА ПОЯВЛЯЕТСЯ | КУДА УХОДИТ И В КАКОЙ СРОК |
|---|---|---|
| Приказ о создании комиссии | Первым, до начала любых работ. Им же утверждается состав комиссии. | Остаётся у субъекта КИИ. Во ФСТЭК не направляется и не согласовывается. |
| Положение о комиссии | Вместе с приказом — если субъект решил вынести регламент работы комиссии в отдельный документ. | Остаётся у субъекта КИИ. |
| Перечень объектов КИИ | После того как комиссия разобрала критические процессы и выявила обеспечивающие их системы. | Направляется во ФСТЭК России в течение 5 рабочих дней с даты утверждения. С этой даты идёт годовой срок категорирования. |
| Протоколы заседаний комиссии | По итогам каждого заседания: утверждение перечня, рассмотрение оценок, решения по категориям. | Остаются у субъекта КИИ. Предъявляются при проверке. |
| Акт категорирования | По каждому объекту из перечня — после оценки показателей значимости. | Остаётся у субъекта КИИ. Именно его смотрят при проверке обоснованности категории. |
| Сведения о результатах категорирования | После утверждения акта — отдельно по каждому объекту. | Направляются во ФСТЭК России в течение 10 рабочих дней с даты утверждения акта, по утверждённой форме. |
Последовательность и состав документов определены Правилами категорирования (ПП РФ № 127). Положение о комиссии в этом списке — единственный документ, который субъект добавляет по своему решению.
Из всего комплекта регулятор получает только два документа — перечень объектов и сведения о результатах категорирования. Остальные остаются у субъекта КИИ, и это регулярно вводит в заблуждение: раз приказ, положение, протоколы и акты никуда не отправляются, их оформляют формально или задним числом. На проверке выясняется обратное — именно эти документы запрашивают, чтобы понять, кто принимал решение о категории, на каких данных и в каком порядке. Сведения во ФСТЭК — это короткая выжимка, а доказательная база остаётся внутри.
Отдельно стоит развести перечень и сведения. Перечень объектов регулятор не проверяет по существу и не «утверждает» — это уведомление о том, что субъект приступил к работе и вот её объём. А сведения о результатах категорирования проверяют содержательно и при замечаниях возвращают на доработку. Подробнее — на странице сведений во ФСТЭК.
Утверждённая форма есть только у одного документа из комплекта — у сведений о результатах категорирования: она закреплена приказом ФСТЭК России от 22.12.2017 № 236 (в действующей редакции), и заполнять её нужно строго по бланку. Все остальные документы субъект КИИ разрабатывает сам. ПП РФ № 127 задаёт состав сведений, которые должны быть в перечне и в акте категорирования, но не задаёт вида документа: ни бланка, ни обязательной вёрстки, ни утверждённых формулировок.
Поэтому запрос «форма акта категорирования КИИ, утверждённая ФСТЭК» отвечается так: такой формы не существует, есть обязательный состав сведений из Правил категорирования. Любой образец — наш, отраслевой или найденный в интернете — это способ ничего не забыть и оформить документ узнаваемо, а не обязательный шаблон. Проверять будут не совпадение с чьим-то бланком, а полноту сведений и обоснованность выводов.
Образцы в этом разделе бесплатны и открыты — без регистрации и без обмена на контакты. Заявку имеет смысл оставлять не за файлом, а когда стало понятно, что работа не сводится к заполнению шаблонов.
Самые частые замечания при проверке — не внутри отдельного документа, а на стыках между ними. Причина обычно бытовая: комплект собирают по частям, в разное время и разными людьми, а сверить его целиком в конце никто не берётся. Вот что расходится чаще всего.
Объект есть в перечне, но акта категорирования по нему нет — или наоборот, акт оформлен на систему, которой в перечне не было.
Наименование одного и того же объекта различается в перечне, акте и сведениях. Для регулятора это три разных объекта.
Состав комиссии в приказе не совпадает с теми, кто подписал протокол и акт: кто-то уволился, кого-то добавили без изменения приказа.
Решение, зафиксированное в протоколе заседания, не совпадает с категорией в акте — расхождение само по себе становится замечанием.
Даты идут не в том порядке: акт утверждён раньше заседания, на котором принято решение, или сведения отправлены раньше даты утверждения акта.
Нарушены сроки: перечень направлен позже 5 рабочих дней с даты утверждения, сведения — позже 10 рабочих дней с даты утверждения акта.
Инфраструктура изменилась — появились новые системы или ушли старые, — а перечень и акты остались в прежней редакции.
Каждый пункт по отдельности лечится переоформлением одного-двух документов. Проблема в том, что переоформление тянет за собой всю цепочку: комиссия собирается заново, переподписывает протокол и акт, руководитель утверждает акт повторно, и только после этого сведения уходят во ФСТЭК ещё раз. Годовой срок категорирования при этом не останавливается. Что именно из этого комплекта спрашивают при проверке ФСТЭК и что делать, если уже выдано предписание, разобрано отдельно.
Комплект выше закрывает само категорирование и нужен каждому субъекту КИИ. Если хотя бы одному объекту присвоена категория значимости, дальше появляется вторая, отдельная группа документов — организационно-распорядительные документы значимого объекта КИИ. Они разрабатываются уже по требованиям приказа ФСТЭК России № 239 и относятся к обеспечению безопасности значимого объекта, а не к категорированию; эту работу выполняет лицензированный исполнитель, и мы её не оказываем. Путать две группы не стоит: документы по категорированию обязательны для всех субъектов КИИ, а по приказу № 239 — только для тех, у кого по итогам категорирования появились значимые объекты.
Если оформлять некому, мы готовим весь комплект как одну связанную работу — приказ, положение, перечень, протоколы, акты и сведения делаются согласованно, а не по отдельности, поэтому расхождений на стыках не возникает. Решения при этом принимает и подписывает комиссия субъекта КИИ: категорирование по закону проводит сам субъект, подрядчик готовит документы и отвечает за их корректность по договору. Стоимость зависит от количества объектов — от 55 000 ₽ за один объект и 75 000 ₽ за комплект до пяти объектов; расчёт по вашей ситуации — на странице стоимости.
Приказ о создании комиссии по категорированию, перечень объектов КИИ, протоколы заседаний комиссии, акт категорирования по каждому объекту и сведения о результатах категорирования во ФСТЭК. По решению субъекта к ним добавляется положение о комиссии.
Только два: утверждённый перечень объектов КИИ — в течение 5 рабочих дней с даты утверждения, и сведения о результатах категорирования — в течение 10 рабочих дней с даты утверждения акта. Приказ, положение, протоколы и акты остаются у субъекта КИИ.
Утверждённая форма есть только у сведений о результатах категорирования — приказ ФСТЭК России от 22.12.2017 № 236. Для остальных документов ПП РФ № 127 задаёт состав сведений, но не форму: субъект разрабатывает их сам, а образцы служат ориентиром.
Строго последовательно: приказ о комиссии → перечень объектов → протоколы заседаний → акты категорирования → сведения во ФСТЭК. Каждый следующий документ опирается на предыдущий, поэтому нарушение порядка или дат становится замечанием при проверке.
Нет. Образцы в этом разделе открыты и бесплатны, регистрация не требуется. Платная только сама услуга по категорированию, если вы решите передать работу подрядчику.
Приказ издаёт и подписывает руководитель субъекта КИИ. Протоколы и акты подписывают члены комиссии по категорированию, акт дополнительно утверждает руководитель. Подрядчик документы не подписывает — он их готовит.
Под ключ — от 2 до 5 месяцев в зависимости от количества и сложности объектов. По закону на категорирование отводится до одного года с даты утверждения перечня объектов.
Прежде чем собирать документы, стоит понять их объём: комплект оформляется по каждому объекту КИИ отдельно, поэтому от числа объектов зависит и работа, и цена. Проверка за 2 минуты покажет, являетесь ли вы субъектом КИИ, сколько систем, скорее всего, попадёт в перечень, и во сколько это обойдётся.