Сведения о результатах категорирования — заключительный документ процедуры. Их направляют во ФСТЭК России в течение 10 рабочих дней со дня утверждения акта категорирования, и до этого момента обязанность субъекта КИИ по 187-ФЗ не считается исполненной: акты, лежащие в организации и никуда не отправленные, для регулятора не существуют.
Что такое сведения о результатах категорирования объектов КИИ
Полное название документа — сведения о результатах присвоения объекту КИИ одной из категорий значимости либо об отсутствии необходимости присвоения ему одной из таких категорий. Это выжимка из акта в формате, удобном регулятору: те же данные об объекте и та же оценка показателей, но приведённые к единому виду, чтобы ФСТЭК могла их проверить и, если объект значимый, внести в реестр значимых объектов КИИ.
Сведения оформляются по каждому объекту из перечня объектов КИИ, по которому утверждён акт, — отдельным документом на объект, а не одной общей таблицей на организацию.
Форма сведений во ФСТЭК: утверждённый бланк есть
Здесь важное отличие от остальных документов категорирования. Приказ о комиссии, положение, протокол и сам акт субъект разрабатывает сам — единой формы у них нет. У сведений форма утверждена нормативным актом ФСТЭК России, и заполнять их «своим шаблоном» нельзя: документ, оформленный не по бланку, вернут независимо от того, насколько правильно проведено само категорирование.
Практический вывод простой: акт вы пишете под свой объект, а сведения — переносите в утверждённую форму. Свободного изложения на этом шаге не остаётся, зато и спорить о структуре документа не приходится.
Срок — 10 рабочих дней со дня утверждения акта категорирования. Сведения направляются и по значимым объектам (К1–К3), и по объектам, у которых категории нет: во втором случае объект в реестр не вносится, но отчитаться по нему субъект обязан.
Что указывают в сведениях: состав формы по разделам
Ниже — разделы формы и то, что в них попадает. Это же и проверочный список перед отправкой: почти всё содержимое переносится из акта категорирования и перечня объектов, поэтому расхождение между этими документами и сведениями обнаруживается сразу.
| РАЗДЕЛ ФОРМЫ СВЕДЕНИЙ | ЧТО В НЁМ УКАЗЫВАЮТ |
|---|---|
| Сведения о субъекте КИИ | Полное наименование организации, ОГРН и ИНН, адрес, сфера деятельности из числа критических, данные ответственного лица для связи. |
| Сведения об объекте КИИ | Наименование объекта, его назначение, место размещения и описание состава — так же, как объект назван в перечне. |
| Взаимодействие с сетями электросвязи | Подключён ли объект к сетям связи, в том числе к сетям общего пользования, и каким образом. |
| Лицо, эксплуатирующее объект | Подразделение субъекта КИИ или сторонняя организация, фактически обслуживающая объект. |
| Программные и программно-аппаратные средства | Перечень применяемого на объекте программного обеспечения и программно-аппаратных средств. |
| Угрозы безопасности и категории нарушителей | Актуальные для объекта угрозы и модели нарушителей, которые рассмотрела комиссия. |
| Возможные последствия компьютерного инцидента | Что произойдёт при нарушении или прекращении функционирования объекта КИИ. |
| Оценка по каждому показателю значимости | Полученное значение и вывод по каждому показателю — порог достигнут или не достигнут, без пропусков. |
| Присвоенная категория значимости | К1, К2 или К3 — либо запись об отсутствии необходимости присвоения категории. |
| Меры обеспечения безопасности объекта | Организационные и технические меры, применяемые на значимом объекте; для объекта без категории раздел не заполняется. |
Форма и состав сведений утверждены приказом ФСТЭК России от 22.12.2017 № 236 (в действующей редакции).
Куда и как направлять сведения
Заполнить форму по каждому объекту КИИ, по которому комиссия утвердила акт категорирования.
Сверить данные с перечнем объектов и с актом: наименование объекта, его состав, значения показателей и итоговая категория должны совпадать во всех трёх документах.
Подготовить сопроводительное письмо на бланке организации за подписью руководителя или уполномоченного им лица.
Направить комплект во ФСТЭК России в срок 10 рабочих дней с даты утверждения акта.
Дождаться результата проверки — уведомления о внесении объекта в реестр либо возврата сведений с замечаниями.
Сопроводительное письмо во ФСТЭК: что в нём написать
Отдельной утверждённой формы у сопроводительного письма нет — это обычное деловое письмо на бланке организации. Его задача не содержательная, а регистрационная: обозначить, что именно направляется, на каком основании и к кому обращаться за уточнениями.
Адресат — ФСТЭК России.
Исходящий номер и дата регистрации письма у субъекта КИИ.
Основание — 187-ФЗ и Правила категорирования (ПП РФ № 127), со ссылкой на реквизиты утверждённого акта категорирования.
Предмет — направление сведений о результатах категорирования, с указанием числа объектов.
Перечень приложений: сведения по каждому объекту, количество листов и экземпляров.
Должность, подпись и расшифровка подписи руководителя субъекта КИИ или уполномоченного лица.
Фамилия и контактные данные ответственного исполнителя.
Таким же письмом ранее направляется во ФСТЭК утверждённый перечень объектов — меняются только предмет и основание. Никакого отдельного «уведомления во ФСТЭК» Правила категорирования не предусматривают: от субъекта КИИ идут два отправления — перечень объектов и сведения о результатах, а уведомляет уже ФСТЭК России, когда вносит значимый объект в реестр.
Что происходит после направления сведений
ФСТЭК России проверяет соблюдение порядка категорирования и правильность присвоения категории значимости. Дальше возможны два исхода. Если замечаний нет — значимый объект вносится в реестр, и субъект КИИ получает об этом уведомление; объект без категории в реестр не вносится, и на этом обязанность по нему считается исполненной. Если замечания есть — сведения возвращаются с мотивированным обоснованием, субъект устраняет причины возврата и направляет документ повторно.
Цена ошибки: на чём сведения возвращают на доработку
Возврат сведений — не штраф, но это потерянные недели, а иногда и месяцы. Годовой срок категорирования отсчитывается от даты утверждения перечня объектов и на время доработки не останавливается, поэтому организации, которые начали в последний момент, к моменту второй отправки уже выходят за срок. Типовые причины возврата:
Оценены не все показатели значимости — по части из них нет ни значения, ни вывода «порог не достигнут». Пропуск показателя читается как незавершённая оценка, а не как отрицательный результат.
Данные в сведениях расходятся с перечнем объектов: объект назван иначе, изменились его состав или границы, часть систем «переехала» в другой объект без обновления перечня.
Категория присвоена не по наивысшему достигнутому показателю — итоговая категория ниже, чем следует из собственной же таблицы оценки.
Значения показателей ничем не обоснованы: цифра есть, а исходных данных, из которых она получена, в документах нет.
Сведения направлены не по всем объектам из перечня — чаще всего забывают объекты, у которых категории нет.
Нарушен срок направления: 10 рабочих дней с даты утверждения акта, а не с даты, когда документы дошли до ответственного за отправку.
Почти все эти причины закладываются раньше — на этапе перечня и оценки показателей. Если разбирать их некому, подготовку документов и обоснование каждой оценки можно передать подрядчику: работу проводит комиссия субъекта, но собрать исходные данные и оформить комплект может внешний исполнитель.
Что делать, если срок уже нарушен
Направлять сведения всё равно, и как можно быстрее. Пропущенный срок не отменяет обязанности и не переносит её: чем дольше документы лежат неотправленными, тем хуже позиция субъекта КИИ при проверке ФСТЭК. Что грозит за неисполнение требований 187-ФЗ — разобрано в статье об ответственности за нарушения по КИИ.
Что происходит с объектом дальше
После внесения значимого объекта в реестр начинается следующая, отдельная работа — обеспечение его безопасности по требованиям приказа ФСТЭК России № 239. Это уже не категорирование, и в состав нашей услуги она не входит. Само же категорирование повторяется не реже одного раза в 5 лет, а также при изменении объекта или критических процессов субъекта — и тогда обновлённые сведения направляются во ФСТЭК заново.