Категорирование проводит комиссия по категорированию — её создаёт своим приказом сам субъект КИИ. Ни ФСТЭК России, ни сторонняя организация категорию не присваивают: ведомство проверяет уже направленные сведения, а подрядчик готовит данные и документы. Разбираем, кто за что отвечает, что можно передать исполнителю, а что остаётся за вами.
Спасибо! Специалист свяжется с вами в ближайшее время.
Постоянно действующая комиссия по категорированию, созданная приказом руководителя организации. Она выявляет критические процессы, формирует перечень объектов, оценивает показатели значимости и принимает решение о категории. Категорирует тот, кому объект принадлежит на праве собственности, аренды или ином законном основании.
Регулятор не категорирует чужие объекты и не присваивает категории. Он проверяет порядок категорирования и правильность присвоения категории по направленным сведениям, ведёт реестр значимых объектов и возвращает сведения на доработку, если с обоснованием что-то не так.
Привлечённый исполнитель ведёт всю подготовку: инвентаризацию, сбор исходных данных, расчёт и обоснование показателей, комплект документов, направление сведений. Решение о категории принимает и подписывает комиссия — это её полномочие, и передать его по договору нельзя.
Правила категорирования устроены так, что категорию нельзя присвоить единолично: решение принимает комиссия, в которой представлены разные компетенции. Именно поэтому вопрос «кто проводит» имеет один правильный ответ и много неверных.
Руководитель субъекта КИИ издаёт приказ о создании комиссии и назначает председателя — себя или уполномоченное им лицо.
Комиссия определяет процессы организации и выделяет среди них критические — те, нарушение которых бьёт по основной деятельности.
По критическим процессам комиссия выявляет обеспечивающие их системы и формирует перечень объектов, подлежащих категорированию.
По каждому объекту оцениваются возможные последствия инцидента и значения показателей критериев значимости.
Комиссия принимает решение — присвоить К1, К2, К3 либо зафиксировать отсутствие необходимости присвоения категории — и оформляет его протоколом и актом категорирования.
Субъект направляет сведения о результатах во ФСТЭК России — в течение 10 рабочих дней со дня утверждения акта.
В комиссию входят руководитель субъекта или уполномоченное им лицо, специалисты по основной деятельности организации, работники, эксплуатирующие информационные системы и АСУ, работники по обеспечению безопасности информации, а также — при наличии таких подразделений — специалисты по защите государственной тайны и по гражданской обороне и защите от ЧС. Состав разобран подробно в материале о приказе о комиссии. Смысл такого набора простой: показатели значимости — это масштаб последствий для людей, экономики, экологии и обороны, и оценить их одной ИТ-службой физически нечем.
Если система обслуживается аутсорсером, размещена в чужом дата-центре или взята в аренду, категорирование всё равно проводит тот субъект КИИ, которому объект принадлежит на законном основании и который обеспечивает им свой критический процесс. Передать объект «вместе с обязанностью» подрядчику по договору обслуживания нельзя.
| УЧАСТНИК | ЧТО ДЕЛАЕТ | ЗА ЧТО ОТВЕЧАЕТ |
|---|---|---|
| Руководитель субъекта КИИ | Издаёт приказ о комиссии, возглавляет её или назначает председателя, утверждает перечень объектов и акты категорирования. | За то, что категорирование проведено и уложилось в срок |
| Комиссия по категорированию | Выявляет критические процессы и объекты, оценивает показатели значимости, принимает решение о категории и подписывает протоколы и акты. | За обоснованность присвоенной категории |
| Профильные подразделения субъекта | Дают исходные данные: описание процессов, границы и состав систем, возможные последствия инцидента для людей, экономики и экологии. | За достоверность исходных данных |
| Привлечённый исполнитель | Ведёт методику и всю подготовку: инвентаризация, сбор данных, расчёт и обоснование показателей, комплект документов, сопровождение до приёма сведений. | За качество подготовки — по договору |
| Отраслевой государственный орган | Его представители могут включаться в состав комиссии по согласованию, когда нужна отраслевая оценка последствий. | За отраслевую специфику оценки |
| ФСТЭК России | Проверяет порядок категорирования и правильность присвоения категории по направленным сведениям, вносит значимые объекты в реестр. | За проверку результата, а не за его подготовку |
Ответственность за непроведённое или неверно проведённое категорирование остаётся на субъекте КИИ и его должностных лицах при любом раскладе. Договор с исполнителем распределяет работу, но не переносит обязанность, установленную законом. Как это выглядит со стороны регулятора — в разборе проверки ФСТЭК по КИИ.
Практически это выглядит так: комиссия собирается на заседания и принимает решения, а весь объём работы между заседаниями — сбор данных, расчёты, обоснования, оформление — делает исполнитель. Комиссия получает готовые материалы с объяснением, откуда взялось каждое значение, и решает по существу, а не тратит месяцы на сведение таблиц.
Нет. Проведение категорирования объектов КИИ не относится к лицензируемым видам деятельности — отдельного разрешения на него не требуется ни субъекту, ни привлечённой организации. Требования к допуску исполнителя возникают на следующем этапе: когда объекту присвоена категория значимости и для него создаётся система безопасности по требованиям регулятора. Это уже другая работа, которая начинается после того, как категория присвоена и сведения приняты.
Отсюда практический вывод для выбора: формального фильтра «имеет право / не имеет права» на рынке категорирования нет, и ориентироваться приходится на содержание работы. Ниже — вопросы, которые стоит задать любому исполнителю, включая нас.
Решения остаются за вашей комиссией — мы обеспечиваем, чтобы к моменту заседания у неё были собраны данные, посчитаны показатели и подготовлены документы, а каждое значение можно было объяснить проверяющему.
за объект КИИ под ключ. Цена по количеству объектов:
Точная цена фиксируется в договоре после бесплатной оценки. Подробная разбивка — на странице стоимости категорирования.
Прежде чем искать исполнителя, стоит понять объём: являетесь ли вы субъектом КИИ и сколько ваших систем вообще подлежит категорированию. Проверка по 13 критическим сферам даст ориентир и расчёт по нашему прайсу — без регистрации, результат сразу.
Комиссия по категорированию, которую создаёт своим приказом сам субъект КИИ. Она постоянно действующая: выявляет критические процессы, формирует перечень объектов, оценивает показатели значимости и принимает решение о присвоении категории К1, К2 или К3 либо об отсутствии необходимости её присвоения. Категорирование проводит тот субъект, которому объект принадлежит на праве собственности, аренды или ином законном основании.
Нет. ФСТЭК России не категорирует объекты и не присваивает им категории значимости. Ведомство проверяет уже направленные субъектом сведения о результатах категорирования — соблюдён ли порядок и правильно ли присвоена категория, — а затем вносит значимые объекты в реестр либо возвращает сведения на доработку с замечаниями.
Подготовку — да, решение — нет. Исполнителю передают инвентаризацию, сбор исходных данных, расчёт и обоснование показателей значимости, подготовку всего комплекта документов и направление сведений во ФСТЭК. Решение о категории принимает комиссия субъекта КИИ, она же подписывает протоколы и акты, а руководитель их утверждает.
Нет, проведение категорирования не относится к лицензируемым видам деятельности — ни субъекту, ни привлечённой организации отдельное разрешение для этого не нужно. Требования к допуску исполнителя появляются позже, на этапе создания системы безопасности значимого объекта, — это уже другая работа, которая начинается после присвоения категории.
Акт подписывают члены комиссии по категорированию, а утверждает руководитель субъекта КИИ. Подрядчик готовит документ и обосновывает оценки показателей, но решение фиксируют подписи комиссии — акт, подписанный только исполнителем, юридической силы не имеет.
Субъект КИИ и его должностные лица. Ответственность за непроведённое или проведённое с нарушениями категорирование установлена законом и договором с исполнителем не переносится. Подрядчик отвечает перед заказчиком за качество своей работы в рамках договора, но перед регулятором отчитывается субъект.
Нет. Правила категорирования не делают исключений по количеству объектов: решение принимает комиссия, а не отдельный специалист. При одном-двух объектах комиссия просто получается небольшой — важно, чтобы в ней были представлены нужные компетенции, а не набрано определённое число людей.
Тот субъект КИИ, которому объект принадлежит на законном основании и который обеспечивает им свой критический процесс. Аутсорсинг обслуживания, аренда мощностей или размещение в стороннем дата-центре обязанность категорировать не переносят. Обслуживающая организация при этом предоставляет данные о составе и границах системы — без них оценка показателей не собирается.
Субъектом КИИ выступает юридическое лицо целиком, поэтому категорирование ведёт головная организация, а её комиссия охватывает объекты всех подразделений. Работников филиалов, эксплуатирующих системы и знающих процессы на местах, включают в состав комиссии или привлекают к сбору исходных данных — иначе последствия инцидента оцениваются по бумаге.
Цена считается по количеству объектов КИИ: один объект — 55 000 ₽, до 5 объектов — 75 000 ₽, до 10 — 150 000 ₽, до 15 — 240 000 ₽. Для большего числа объектов и сложных АСУ ТП расчёт делается по запросу. Стоимость фиксируется в договоре после бесплатной оценки объёма, без доплат за отдельные этапы.
Категорирование объектов критической информационной инфраструктуры проводит сам субъект КИИ — организация, которой объекты принадлежат на праве собственности, аренды или ином законном основании. Внутри организации эту работу ведёт не отдельный специалист и не ИТ-служба, а постоянно действующая комиссия по категорированию, создаваемая приказом руководителя. Комиссия определяет процессы организации и выделяет среди них критические, выявляет обеспечивающие их информационные системы, сети связи и автоматизированные системы управления, оценивает показатели критериев значимости и принимает решение о присвоении объекту категории К1, К2 или К3 либо об отсутствии необходимости присвоения категории.
Правила категорирования, утверждённые ПП РФ № 127, задают не число членов комиссии, а набор компетенций, которые в ней должны быть представлены. Возглавляет комиссию руководитель субъекта КИИ или уполномоченное им лицо. В состав включаются специалисты по основной деятельности организации — те, кто понимает критические процессы, — работники, эксплуатирующие информационные системы и АСУ, работники, отвечающие за обеспечение безопасности информации, а также, при наличии соответствующих подразделений, специалисты по защите государственной тайны и по гражданской обороне и защите от чрезвычайных ситуаций. Такой состав нужен потому, что показатели значимости описывают масштаб последствий инцидента для людей, экономики, экологии и обороны страны — оценить их силами одной ИТ-службы невозможно.
Нет. ФСТЭК России не проводит категорирование объектов КИИ и не присваивает категории значимости. Роль регулятора — контрольная: он получает от субъекта перечень объектов, подлежащих категорированию, а затем сведения о результатах категорирования, проверяет соблюдение порядка категорирования и правильность присвоения категории, вносит значимые объекты в реестр значимых объектов КИИ либо возвращает сведения на доработку с замечаниями. Ожидание, что ведомство «приедет и категорирует», — распространённое заблуждение: инициатива и вся работа находятся на стороне субъекта КИИ, а сроки идут независимо от того, начал он её или нет.
Подготовку категорирования передать можно, само решение — нет. Привлечённый исполнитель проводит инвентаризацию систем, помогает выделить критические процессы, собирает исходные данные по объектам, рассчитывает и письменно обосновывает значения показателей значимости, готовит комплект документов — приказ о комиссии, положение, перечень объектов, протоколы заседаний, акты категорирования, модель угроз — и формирует сведения о результатах для направления во ФСТЭК России. Решение о категории принимает комиссия субъекта, протоколы и акты подписывают её члены, а утверждает документы руководитель организации. Ответственность за проведение категорирования остаётся на субъекте КИИ и договором с подрядчиком не переносится.
Проведение категорирования объектов КИИ не относится к лицензируемым видам деятельности: отдельного разрешения на эту работу не требуется ни субъекту КИИ, ни привлечённой им организации. Требования к допуску исполнителя возникают на следующем этапе — когда объекту присвоена категория значимости и для него создаётся система безопасности по требованиям регулятора. Это отдельная работа, начинающаяся уже после того, как категория присвоена и сведения приняты. Поэтому выбирать исполнителя категорирования приходится не по формальному признаку, а по содержанию работы: кто собирает исходные данные, чем обосновываются значения показателей и что происходит, если сведения вернут на доработку.
Категорирование проводит тот субъект КИИ, которому объект принадлежит на законном основании и который обеспечивает им свой критический процесс. Передача системы на техническое обслуживание, аренда вычислительных мощностей или размещение в стороннем центре обработки данных обязанность категорировать не переносят — обслуживающая организация лишь предоставляет данные о составе, границах и режиме работы системы, без которых оценка показателей значимости не собирается. По той же логике категорирование в организации с филиалами ведёт головное юридическое лицо: комиссия охватывает объекты всех подразделений, а работников на местах включают в её состав или привлекают к сбору исходных данных.
Стоимость подготовки категорирования считается по количеству объектов КИИ: один объект — 55 000 ₽, до 5 объектов — 75 000 ₽, до 10 объектов — 150 000 ₽, до 15 объектов — 240 000 ₽. Для большего числа объектов и сложных АСУ ТП расчёт делается по запросу. В цену входят идентификация субъекта КИИ, инвентаризация и перечень объектов, акт категорирования по каждому объекту, модель угроз безопасности и направление сведений во ФСТЭК России. Точная стоимость фиксируется в договоре после бесплатной оценки объёма — без доплат за отдельные этапы работы.
Бесплатная консультация и оценка объёма работ за 1 день. Перезвоним и зафиксируем стоимость в договоре.