Протокол заседания — единственный документ, в котором видно, как комиссия пришла к своему выводу. Акт категорирования фиксирует результат: объект такой-то, категория такая-то. Протокол фиксирует путь к результату: кто присутствовал, какие данные рассматривали, почему пороговое значение показателя считается достигнутым или недостигнутым. Поэтому при проверке обоснованности категории смотрят не только акт, но и протокол — и расхождение между ними становится замечанием быстрее, чем ошибка в самом расчёте.
Что такое протокол комиссии по категорированию
Решения комиссии по категорированию принимаются коллегиально и оформляются протоколом заседания. Категорирование по 187-ФЗ проводит не отдельный специалист и не подрядчик, а постоянно действующая комиссия субъекта КИИ — значит, у каждого решения должен быть документ, подтверждающий, что решение действительно принималось комиссией, а не оформлялось задним числом одним человеком. Эту функцию и выполняет протокол.
Протокол остаётся внутри организации: во ФСТЭК России направляются только перечень объектов и сведения о результатах категорирования. Из этого часто делают неверный вывод, что протоколы можно вести формально. На практике всё наоборот: то, что уходит регулятору, — это короткая выжимка, а доказательная база остаётся в протоколах, и запрашивают их именно тогда, когда возникает вопрос к обоснованности категории.
Структура протокола заседания комиссии
Протокол по категорированию строится как обычный протокол коллегиального органа, но с одним отличием: в нём должно быть видно обоснование по показателям значимости, а не только итог голосования.
| ЧАСТЬ ПРОТОКОЛА | ЧТО В НЕЙ УКАЗЫВАЮТ |
|---|---|
| Заголовочная часть | Полное наименование субъекта КИИ, название документа («Протокол заседания комиссии по категорированию объектов критической информационной инфраструктуры»), номер, дата и место проведения заседания. |
| Присутствующие | Председатель, заместитель, секретарь и члены комиссии — поимённо, с должностями. Именно этот список сверяют с приказом о создании комиссии. |
| Кворум | Отметка о том, что заседание правомочно: присутствует нужное число членов комиссии. Порог задаёт сам субъект — в приказе или положении о комиссии. |
| Повестка дня | Перечень вопросов заседания — например, утверждение перечня объектов или рассмотрение результатов оценки показателей значимости по конкретным объектам. |
| Слушали / выступили | Кто докладывал по вопросу и что доложил: какие исходные данные собраны, какие показатели значимости оценены и с какими результатами. |
| Обоснование решения | Почему пороговое значение достигнуто или не достигнуто. Самая содержательная часть — именно её потом переносят в акт категорирования. |
| Решили | Формулировка решения по каждому объекту: присвоить категорию К1, К2 или К3 либо не присваивать категорию. Результаты голосования, если оно проводилось. |
| Подписи | Подписи председателя, секретаря и присутствовавших членов комиссии. Особые мнения, если они есть, оформляются приложением к протоколу. |
Утверждённой формы протокола не существует: ни 187-ФЗ, ни ПП РФ № 127 её не устанавливают. Документ оформляется по правилам делопроизводства организации, а обязательным является не бланк, а содержание — кто, что и на каком основании решил.
Протокол заседания — основание для оформления акта категорирования. Сначала комиссия принимает решение и фиксирует его протоколом, и только потом оформляется акт. Обратный порядок — частая ошибка: акт, датированный раньше заседания, на котором принято решение, обесценивает оба документа.
Сколько протоколов должно получиться
Одним протоколом на всё категорирование обойтись не получится — заседаний по ходу процесса несколько, и у каждого свой предмет. Типичная последовательность выглядит так.
Заседание об утверждении перечня объектов КИИ, подлежащих категорированию: комиссия рассматривает проект перечня, при необходимости корректирует его и фиксирует решение. От даты утверждения перечня пойдёт годовой срок.
Рабочие заседания по сбору и рассмотрению исходных данных: комиссия разбирает критические процессы, границы объектов и данные о возможных последствиях. Таких заседаний может быть несколько, особенно если объектов много.
Заседание (или несколько) с оценкой показателей значимости и принятием решений по категориям — по каждому объекту отдельным пунктом. Это ключевой протокол: именно его содержание переходит в акты.
Заседания при изменениях: появился новый объект, изменились критические процессы или архитектура системы, наступил срок повторного категорирования.
Объединять решения по всем объектам в один протокол можно — Правила категорирования этого не запрещают. Но каждый объект должен идти отдельным вопросом повестки и отдельным пунктом в разделе «решили», с собственным обоснованием. Общая формулировка вида «присвоить категории согласно приложению» без разбора по объектам оставляет решение недоказанным.
Кворум, голосование и подписи
Ни 187-ФЗ, ни ПП РФ № 127 не устанавливают ни кворума, ни порядка голосования комиссии по категорированию — это субъект определяет сам и закрепляет в приказе о комиссии или в положении о комиссии. Обычно берут стандартную для коллегиальных органов конструкцию: заседание правомочно при участии более половины членов, решение принимается большинством голосов присутствующих, при равенстве голосов решающим считается голос председателя.
Важно, чтобы записанное в протоколе соответствовало тому, что вы сами закрепили. Если положение требует кворума в две трети, а в протоколе присутствует половина состава — заседание неправомочно по вашему же документу, и все принятые на нём решения повисают. Подписывают протокол председатель, секретарь и присутствовавшие члены комиссии; отсутствующие не подписывают и в списке присутствующих не значатся — «дописать» подпись задним числом нельзя.
Протокол и акт: как они должны сходиться
Протокол и акт категорирования — не два независимых документа, а связка. Проверять их будут вместе, поэтому сходиться они должны по четырём вещам: наименование объекта, дата (протокол раньше акта), состав подписантов (подписи в акте — из числа тех, кто был на заседании) и, главное, решение. Если в протоколе записано «пороговое значение по социальной значимости не достигнуто», а в акте объекту присвоена К3 по этому же показателю, объяснить расхождение будет нечем.
Цена ошибки: на чём протокол не выдерживает проверку
Протокол редко переписывают из-за формы — почти всегда из-за содержания. Вот замечания, которые встречаются чаще других.
Решение без обоснования. «Присвоить К2» — без указания, по какому показателю и на каких данных достигнут порог. Формально решение есть, доказательства решения нет.
Присутствующие не совпадают с приказом. В протоколе фигурируют люди, которых нет в составе комиссии, или отсутствуют те, кто в составе есть, — без изменения приказа.
Даты идут не по порядку. Акт утверждён раньше протокола, протокол об утверждении перечня датирован позже направления перечня во ФСТЭК.
Один протокол на всё. Все объекты «одним пакетом», без разбора по каждому — решение по конкретному объекту невозможно проследить.
Нет протокола об утверждении перечня. Перечень направлен во ФСТЭК, а решения комиссии о нём нет: непонятно, кто и когда его утверждал.
Не оформлено решение об отсутствии объектов. Если комиссия пришла к выводу, что объектов, подлежащих категорированию, у субъекта нет, это тоже решение комиссии и оно должно быть зафиксировано протоколом — отдельного акта на этот случай Правила категорирования не предусматривают.
Расхождение с актом по формулировке или категории. Разобрано выше — самое дорогое из замечаний, потому что тянет за собой переоформление акта и повторную отправку сведений.
Исправление протокола почти никогда не заканчивается протоколом. Комиссия собирается заново, принимает решение в правильном составе, переподписывает протокол, после чего переоформляется и утверждается акт, и только затем во ФСТЭК повторно уходят сведения о результатах. Годовой срок категорирования на время доработки не останавливается.
Как минимум нужны протокол об утверждении перечня и протокол с решениями по категориям, а дальше объём растёт от количества объектов: по каждому — своя повестка, свои исходные данные и своё обоснование. Проверка по 13 критическим сферам за 2 минуты покажет, какие ваши системы обычно подлежат категорированию, сколько их получится и во сколько обойдётся работа под ключ. Без регистрации, результат сразу на экране.
Посчитать объём и стоимостьЧто делают после протокола
По каждому объекту, решение о котором зафиксировано, комиссия оформляет акт категорирования, руководитель субъекта КИИ его утверждает, и в течение 10 рабочих дней с даты утверждения акта сведения о результатах направляются во ФСТЭК России. Протоколы при этом никуда не отправляются — они остаются у субъекта вместе с приказом, положением и актами и хранятся как подтверждение того, что категорирование действительно проводилось комиссией. Весь комплект документов и порядок его оформления — в разделе документов.