Акт категорирования объекта КИИ — итоговый документ, в котором комиссия фиксирует результат категорирования: присвоенную категорию значимости (К1, К2 или К3) либо обоснованное отсутствие необходимости присвоения категории. Акт оформляется по каждому объекту из перечня объектов КИИ и служит основанием для направления сведений во ФСТЭК.
Есть ли утверждённая форма акта категорирования
Единой формы акта категорирования, утверждённой нормативным актом, не существует — в отличие от формы сведений о результатах категорирования, которая утверждена приказом ФСТЭК России. Поэтому субъект КИИ разрабатывает акт самостоятельно, но обязан включить в него состав сведений, закреплённый Правилами категорирования (ПП РФ № 127). Именно по этому составу ФСТЭК и проверяет документ, а не по «правильному бланку».
Акт оформляется по каждому объекту КИИ отдельно. Сведения о результатах категорирования направляются во ФСТЭК России в течение 10 рабочих дней со дня утверждения акта.
Структура акта категорирования: что должно быть в документе
Ниже — состав акта категорирования объекта КИИ по разделам. Это же и есть проверочный чек-лист: если какого-то блока в вашем акте нет, документ с высокой вероятностью вернут на доработку.
| РАЗДЕЛ АКТА | ЧТО В НЁМ УКАЗЫВАЮТ |
|---|---|
| Сведения об объекте КИИ | Наименование, назначение и место размещения объекта, его состав и архитектура. |
| Сведения о субъекте КИИ | Наименование организации, реквизиты, сфера деятельности из числа критических. |
| Взаимодействие с сетями электросвязи | Как объект подключён к сетям связи, в том числе к сетям общего пользования. |
| Лицо, эксплуатирующее объект | Подразделение или сторонняя организация, фактически обслуживающая объект. |
| Программные и аппаратные средства | Перечень ПО и программно-аппаратных средств, применяемых на объекте. |
| Угрозы и категории нарушителей | Актуальные угрозы безопасности информации и модели нарушителей для объекта. |
| Возможные последствия инцидентов | Что произойдёт при нарушении или прекращении работы объекта КИИ. |
| Оценка показателей значимости | Результат по каждому показателю и итоговая категория — либо её отсутствие. |
| Меры обеспечения безопасности | Организационные и технические меры, применяемые на значимом объекте. |
Состав сведений, включаемых в акт, определён Правилами категорирования (ПП РФ № 127).
Образец таблицы оценки показателей значимости
Ключевая часть акта — таблица оценки показателей значимости: по каждому показателю фиксируется рассчитанное значение и вывод, достигнут порог или нет. Ниже — упрощённый фрагмент с примерными пороговыми значениями; полный перечень показателей и порогов приведён в критериях значимости по ПП РФ № 127.
| ПОКАЗАТЕЛЬ | К3 | К2 | К1 |
|---|---|---|---|
| Ущерб жизни и здоровью, чел. | 1–50 | 50–500 | > 500 |
| Прекращение услуги, чел. | < 2 тыс | 2 тыс – 1 млн | > 1 млн |
| Ущерб бюджету РФ | — | до 0,5 % | > 0,5 % |
| Экологический ущерб | локальный | региональный | федеральный |
| Значимость для обороны | — | косвенная | прямая |
* значения приведены для примера. Полный перечень — в приложении к ПП РФ №127.
Категория присваивается по наивысшему достигнутому показателю: если хотя бы один показатель дотягивает до порога К1, объекту присваивается К1, даже когда остальные показатели соответствуют К3. Подробнее — в разборе категорий К1, К2 и К3.
Акт на значимый объект и акт об отсутствии категории
Если объект не достигает порогов ни по одному показателю, он не является значимым — но акт категорирования всё равно оформляется. В нём фиксируется отсутствие необходимости присвоения категории значимости, и такие сведения тоже направляются во ФСТЭК. Разница между двумя видами акта только в итоговом разделе: у значимого объекта дополнительно описываются применяемые меры обеспечения безопасности, у объекта без категории этот раздел не заполняется.
Отдельно стоит развести два похожих запроса. «Акт об отсутствии категорирования» — это и есть акт по объекту, у которого категория не присвоена: объект существует, оценён, порог не достигнут. А вот единого «акта об отсутствии объектов КИИ, подлежащих категорированию» Правила категорирования не предусматривают: если организация относится к субъектам КИИ, но объектов у неё не выявлено, это решение комиссии фиксируется в протоколе заседания и отражается в перечне объектов, а не самостоятельным актом. Придумывать под это документ не нужно — нужно, чтобы вывод комиссии был обоснован тем же разбором процессов, что и при обычном категорировании.
Кто подписывает и утверждает акт
Акт подписывают все члены комиссии по категорированию и утверждает руководитель субъекта КИИ. Решение, зафиксированное в акте, должно соответствовать протоколу заседания комиссии — расхождение между протоколом и актом само по себе становится замечанием при проверке.
Форма, шаблон и «заполненный пример»: что из этого реально помогает
Запросы про форму акта категорирования КИИ, шаблон и заполненный пример — по сути об одном: человек хочет увидеть готовый документ, чтобы не собирать его с нуля. Разложим честно, что каждый из них даёт.
| ЧТО ИЩУТ | ЧТО ЭТО ДАЁТ НА САМОМ ДЕЛЕ |
|---|---|
| Утверждённая форма акта | Её нет. ФСТЭК утвердила форму сведений о результатах категорирования, а не форму акта. Искать «бланк акта, утверждённый ФСТЭК» бессмысленно — вместо него ориентир — состав сведений из ПП РФ № 127. |
| Шаблон акта категорирования | Готовую рамку документа: титул, разделы, таблицу показателей, поля для подписей. Экономит день работы делопроизводителя и снимает риск забыть целый раздел. |
| Заполненный пример акта | Понимание, как формулируются выводы: «значение показателя — порог не достигнут» вместо прочерка. Но чужие значения показателей к вашему объекту не применимы — их нельзя перенести, только повторить логику. |
Наш образец — именно шаблон со всеми обязательными разделами. Он бесплатный, без регистрации.
Отсюда практический вывод: шаблон закрывает форму документа, но не закрывает его содержание. Разделы «Возможные последствия инцидентов» и «Оценка показателей значимости» за вас не заполнит никакой образец — они и решают, какую категорию получит объект и примут ли результат.
Цена ошибки: чем оборачивается неверно оформленный акт
Сам акт во ФСТЭК не направляется — туда идут сведения о результатах категорирования. Но проверяет ведомство именно то решение, которое зафиксировано в акте, поэтому ошибка в акте всплывает уже после отправки. И тогда переделывать приходится не один документ: комиссия собирается заново, пересматривает оценку, переподписывает акт, руководитель утверждает его повторно, и только после этого можно отправлять сведения. Годовой срок категорирования при этом отсчитывается от даты утверждения перечня объектов и на время доработки не останавливается.
Второй сценарий — плановая или внеплановая проверка. Акт остаётся у субъекта КИИ и предъявляется по запросу: здесь смотрят не оформление, а обоснованность. Типовые замечания к акту категорирования:
Оценены не все показатели значимости — часть просто пропущена вместо вывода «порог не достигнут». Пропуск читается как незавершённая оценка, а не как отрицательный результат.
Значения показателей не обоснованы: указан результат, но не видно, из каких исходных данных он получен.
Состав объекта в акте не совпадает с перечнем объектов КИИ, направленным во ФСТЭК.
Категория присвоена не по наивысшему достигнутому показателю — итоговая категория ниже, чем следует из собственной же таблицы оценки.
Акт расходится с протоколом заседания комиссии: в протоколе одно решение, в акте другое.
Акт не подписан всеми членами комиссии или не утверждён руководителем субъекта КИИ.
По объектам без категории акты не оформлены вовсе — «раз не значимый, то и документа не надо».
Большинство этих замечаний — следствие того, что показатели значимости оценивали «на глаз», без исходных данных, которыми результат можно подтвердить. Причём ошибка почти всегда закладывается раньше акта: на этапе перечня объектов, когда неверно определены границы объекта и критические процессы. Если разбираться с этим внутри организации некому, оформление акта можно заказать под ключ — вместе с обследованием объекта и обоснованием каждой оценки.
Акт составляется по каждому объекту отдельно, поэтому объём работы задаёт не сам документ, а число объектов в перечне: пять объектов — пять актов, пять комплектов исходных данных и пять оценок по показателям значимости. Проверка по 13 критическим сферам за 2 минуты покажет, какие ваши системы обычно подлежат категорированию, сколько их получится и во сколько обойдётся работа под ключ. Без регистрации, результат сразу на экране.
Посчитать объём и стоимостьЧто происходит с актом дальше
После утверждения акта у субъекта есть 10 рабочих дней, чтобы направить сведения о результатах категорирования во ФСТЭК России по утверждённой форме. Ведомство проверяет их и при отсутствии замечаний вносит значимый объект в реестр значимых объектов КИИ. Сам акт остаётся у субъекта КИИ и предъявляется при проверках, а при повторном категорировании — не реже одного раза в 5 лет — оформляется заново.