Отраслевых правил категорирования не существует — ПП РФ № 127 един для всех 13 сфер. От отрасли зависит другое: какие системы становятся объектами КИИ и какой показатель значимости срабатывает первым. Ниже — разбор по сферам и таблица всех тринадцати.
АСУ ТП подстанций, SCADA, диспетчерские, нефтегаз.
Сети операторов, узлы связи, биллинг, маршрутизация.
Системы управления движением, логистика, билеты.
МИС, ЛИС, диагностические системы клиник.
АСУ ТП производств, КБ, учётные системы. Особый режим.
АБС, процессинг, ДБО, платёжные системы.
Категорируем объекты КИИ в любой из 13 сфер по 187-ФЗ.
Короткий ответ: в нормативном смысле — нет. Порядок категорирования один для всех тринадцати сфер и задан Правилами категорирования (ПП РФ № 127). Ни отдельного отраслевого порядка, ни отраслевых показателей значимости, ни особых сроков для медицины, энергетики, транспорта или оборонной промышленности не установлено. Комиссия создаётся одинаково, перечень объектов направляется во ФСТЭК России в течение 5 рабочих дней с даты утверждения, на само категорирование отводится до года, сведения о результатах уходят в течение 10 рабочих дней с даты утверждения акта — и это верно для любой сферы.
Но практический смысл у запроса «отраслевые особенности категорирования КИИ» всё-таки есть, просто он не про процедуру. От отрасли зависит фактура: какие системы обеспечивают критические процессы, какой показатель значимости срабатывает первым и кого нужно посадить в комиссию, чтобы последствия отказа вообще было кому оценить. Это и разбирается на страницах ниже — не «другой закон для отрасли», а другой материал, к которому применяется один и тот же закон.
Состав объектов. В клинике это медицинская информационная и лабораторная системы, у оператора связи — узлы и биллинг, на производстве — АСУ ТП и системы противоаварийной защиты. Одинаковых перечней не бывает даже у двух предприятий одной отрасли, но набор кандидатов внутри сферы повторяется, и это экономит время на первом шаге.
Решающий показатель значимости. Объекту присваивается наивысшая категория, к которой он относится хотя бы по одному показателю, поэтому важно, какой из них выстреливает. У медорганизации это почти всегда ущерб жизни и здоровью, у оператора связи — прекращение услуги, у металлургического комбината — экономический ущерб от остановки непрерывного цикла.
Состав комиссии. Оценить, скольким людям навредит отказ системы, ИТ-служба не может. В медорганизации это знают заведующие отделениями, на заводе — главный технолог и служба промышленной безопасности, у оператора — эксплуатация сети. Если этих людей нет в приказе о комиссии, обоснование в акте будет формальным.
Режим работы и допустимый простой. У круглосуточного стационара, непрерывного производства и сети связи нет «ночного окна», в которое отказ был бы безобиден. Это влияет и на оценку последствий, и на организацию самого обследования: его встраивают в график предприятия, а не наоборот.
187-ФЗ называет сферы прямо, и попадание в любую из них вместе с наличием информационных систем, сетей связи или АСУ делает организацию субъектом КИИ автоматически — без включения в какой-либо перечень и без решения органа власти. Ниже — все тринадцать сфер с типовым составом объектов и показателем, который в этой сфере обычно оказывается решающим.
| СФЕРА ДЕЯТЕЛЬНОСТИ ПО 187-ФЗ | ЧТО ОБЫЧНО ОКАЗЫВАЕТСЯ ОБЪЕКТОМ КИИ | КАКОЙ ПОКАЗАТЕЛЬ ЗНАЧИМОСТИ СРАБАТЫВАЕТ ПЕРВЫМ |
|---|---|---|
| Здравоохранение | МИС, лабораторная система, PACS и архив медизображений, узел обмена с ЕГИСЗ, диспетчеризация скорой помощи. | Причинение ущерба жизни и здоровью людей. |
| Наука | Системы управления исследовательскими установками и стендами, вычислительные комплексы, системы хранения результатов исследований. | Зависит от предмета работ: у организаций с гособоронзаказом — значимость для обороны страны и безопасности государства, у экспериментальных установок — ущерб жизни и здоровью и экологические последствия. |
| Транспорт | Системы управления движением и диспетчеризации, продажа и бронирование перевозок, контроль доступа на объекты, весогабаритный и грузовой учёт. | Прекращение или нарушение функционирования транспортной инфраструктуры, а если отказ влияет на безопасность движения — ещё и ущерб жизни и здоровью. |
| Связь | Узлы связи и коммутации, сети радиодоступа, системы управления сетью, биллинг, платформы услуг абонентам. | Прекращение или нарушение функционирования сети связи — считается по числу абонентов и затронутой территории. |
| Энергетика | АСУ ТП генерации, подстанций и сетей, диспетчерские и SCADA, системы коммерческого учёта энергоресурсов. | Прекращение функционирования объекта обеспечения жизнедеятельности населения — сколько людей и какая территория останутся без электро- и теплоснабжения. |
| Банковская сфера и иные сферы финансового рынка | Автоматизированная банковская система, процессинг, дистанционное обслуживание, системы расчётов и обмена с платёжной инфраструктурой. | Прекращение доступа клиентов к услуге и экономический ущерб — самой организации и финансовой системе. |
| Топливно-энергетический комплекс | АСУ ТП добычи, подготовки, транспортировки, переработки и хранения топлива, системы коммерческого учёта. | Экономический ущерб от остановки поставок, а на опасных объектах — экологические последствия и ущерб жизни и здоровью. |
| Атомная энергия | Системы, обеспечивающие эксплуатацию объектов использования атомной энергии, включая АСУ ТП и системы контроля технологических параметров. | Ущерб жизни и здоровью, экологические последствия и значимость для обороны страны и безопасности государства. |
| Оборонная промышленность | АСУ ТП производственных линий, конструкторские и технологические системы, системы планирования производства и учёта гособоронзаказа. | Значимость для обеспечения обороны страны, безопасности государства и правопорядка. |
| Ракетно-космическая промышленность | Производственные АСУ ТП, системы проектирования и испытательные стенды, наземные комплексы управления и обработки данных. | Значимость для обороны страны и безопасности государства, следом — экономический ущерб от срыва программ и контрактов. |
| Горнодобывающая промышленность | АСУ ТП добычи и обогащения, системы промышленной безопасности и вентиляции, диспетчерские рудников и карьеров. | Ущерб жизни и здоровью людей — прежде всего на подземных работах, — экологические последствия и экономический ущерб. |
| Металлургическая промышленность | АСУ ТП непрерывных производств (доменное, сталеплавильное, прокатное), энергетическое и газовое хозяйство предприятия. | Экономический ущерб от остановки непрерывного цикла, а на агрегатах с опасными параметрами — ущерб жизни и здоровью и экология. |
| Химическая промышленность | АСУ ТП опасных производственных объектов, системы противоаварийной защиты, системы хранения и отгрузки продукции. | Экологические последствия и причинение ущерба жизни и здоровью людей. |
Перечень сфер приведён в статье 2 187-ФЗ. Столбцы «объект» и «показатель» — обобщение типовой практики, а не норма: по какому показателю объект достигнет порога, определяет комиссия субъекта КИИ по фактическим данным. Полный набор показателей и пороговые значения — в критериях значимости по ПП РФ № 127.
Самый частый способ ошибиться на этом шаге — взять категорию из отраслевого ориентира. «В энергетике К1», «в медицине К2» — такие формулировки ходят по рынку, и подписи на карточках выше тоже говорят о типовой категории. Это ориентир по практике, а не результат категорирования и не норма: категория присваивается конкретному объекту по фактически рассчитанным значениям показателей, а не сфере деятельности целиком.
Разница видна на примере. Две поликлиники одной сети в разных населённых пунктах эксплуатируют одну и ту же МИС, но обслуживают разное число прикреплённых пациентов — и по показателю ущерба жизни и здоровью получают разные категории. Точно так же две подстанции различаются числом потребителей, а два производства — последствиями остановки. Поэтому в акте категорирования обосновывается каждый показатель по своему объекту, и ссылка на «типовую для отрасли категорию» такое обоснование не заменяет: при проверке смотрят расчёт, а не отраслевую аналогию.
Категория, взятая по аналогии, опасна в обе стороны. Завышенная тянет за собой требования к защите значимого объекта, которых можно было избежать. Заниженная — замечание регулятора и повторное категорирование, причём годовой срок при этом не останавливается.
Это не исключение, а обычная ситуация для промышленности и крупных учреждений. Выбирать «главную» сферу не нужно и нельзя: субъект относится ко всем сферам, в которых фактически ведёт деятельность. На объём работы это влияет меньше, чем принято думать — объект включается в перечень один раз, а вот при оценке к нему применяются все показатели, которые к его последствиям применимы, и категория берётся по наивысшему достигнутому.
| СИТУАЦИЯ | КАК СЧИТАТЬ |
|---|---|
| Химический завод с собственной ТЭЦ, которая снабжает и посёлок | Субъект относится и к химической промышленности, и к энергетике. АСУ ТП производства оценивается по экологии и ущербу здоровью, АСУ ТП теплоснабжения — ещё и по прекращению функционирования объекта жизнеобеспечения. |
| Металлургический комбинат с собственной железнодорожной инфраструктурой | Металлургия плюс транспорт. Системы управления движением по путям комбината — самостоятельные объекты, а не часть производственной АСУ ТП. |
| Многопрофильная больница с собственной котельной | Здравоохранение плюс энергетика, если котельная обеспечивает не только саму больницу. Показатель по ущербу здоровью и показатель по жизнеобеспечению применяются к разным объектам. |
| Университет с научными подразделениями и клиникой | Наука плюс здравоохранение. Клиническая МИС и системы исследовательских установок — разные объекты с разными решающими показателями. |
| Оператор связи, который держит ЦОД для банка | Сфера оператора — связь. Банковская сфера к нему не переходит: объект категорирует его владелец, а размещение чужой системы в своём ЦОД обязанность не передаёт. |
Разбор того, чей объект и кто за него отвечает при аренде, аутсорсинге и облаке, — на странице «Кто проводит категорирование».
Практический вывод: две сферы не удваивают ни перечень, ни стоимость — она считается по числу объектов, а не по числу сфер. Но они меняют состав комиссии и набор показателей, которые придётся посчитать, и именно это чаще всего упускают.
Отраслевой типовой перечень объектов подан как собственный. Перечень должен идти от критических процессов конкретной организации; типовой список годится как чек-лист «не забыли ли», но не как готовый документ.
Отраслевая методичка использована как основание в акте. Юридическую силу имеют 187-ФЗ, ПП РФ № 127 и приказы ФСТЭК России — ссылаться нужно на них и на исходные данные по объекту.
Оценка проведена только по «основной» сфере, а вторая сфера и её показатели выпали — вместе с объектами, которые к ней относятся.
Отраслевое регулирование принято за исполнение 187-ФЗ. Требования Банка России к финансовым организациям, транспортная безопасность, промышленная безопасность опасных производств — это отдельные контуры со своими проверяющими; ни один из них категорирование по 187-ФЗ не заменяет и не отменяет.
Категория взята «типовая для отрасли» без расчёта — обоснование в акте не выдерживает проверки.
Сделан вывод, что раз организация небольшая или частная, отрасль «не считается». 187-ФЗ не делит субъектов ни по форме собственности, ни по размеру: значение имеют сфера деятельности и наличие систем.
Отраслевой разбор отвечает на вопрос «что у нас может быть объектом КИИ». Второй вопрос — сколько таких систем наберётся и во что это выльется: акт категорирования оформляется по каждому объекту отдельно, и от их числа зависит и срок работы, и цена. Проверка задаст несколько вопросов о сфере и системах и покажет ориентир по объёму и стоимости.
Посчитать объём и стоимостьРазвёрнутые разборы сделаны для шести сфер, откуда приходит больше всего вопросов. Остальные семь это не исключает: категорирование в них идёт по тому же ПП РФ № 127 и в те же сроки, а отличается только состав объектов и решающий показатель — они указаны в таблице выше. Мы работаем во всех тринадцати сферах; если разбора по вашей нет, наберите нас через форму и опишите деятельность, ответ по субъектности и составу объектов дадим до договора и бесплатно.
Состав работы одинаков для любой отрасли: идентификация субъекта КИИ, инвентаризация и перечень объектов, акт категорирования по каждому объекту, модель угроз безопасности и направление сведений во ФСТЭК России. Стоимость зависит только от числа объектов и сложности систем — от 55 000 ₽ за один объект и 75 000 ₽ за комплект до пяти; полный прайс и что на него влияет — на странице стоимости категорирования. Если по итогам категорирования у объекта появляется категория значимости, дальше начинается защита значимого объекта по приказу ФСТЭК России № 239 — это отдельная работа, которую выполняет профильный исполнитель, и мы её не оказываем.
В нормативном смысле нет: ПП РФ № 127 устанавливает единый порядок, единые показатели значимости и единые сроки для всех 13 сфер. Различается фактура — какие системы обеспечивают критические процессы, какой показатель значимости срабатывает первым и кого нужно включить в комиссию, чтобы оценить последствия отказа.
Тринадцать: здравоохранение, наука, транспорт, связь, энергетика, банковская сфера и иные сферы финансового рынка, топливно-энергетический комплекс, атомная энергия, оборонная промышленность, ракетно-космическая промышленность, горнодобывающая промышленность, металлургическая промышленность и химическая промышленность.
Нет. Обязательных отраслевых документов, которые меняли бы порядок категорирования, показатели значимости или сроки, не существует — действуют 187-ФЗ, ПП РФ № 127 и приказы ФСТЭК России. Отраслевые материалы полезны как справочник по типовым системам, но основанием для решения комиссии не являются.
Типовой категории у сферы не бывает. Категория присваивается конкретному объекту по фактически рассчитанным значениям показателей: две поликлиники одной сети или две подстанции могут получить разные категории. Отраслевые ориентиры показывают, какой показатель обычно оказывается решающим, но расчёт заменить не могут.
Выбирать одну не нужно: субъект относится ко всем сферам, в которых фактически ведёт деятельность. Объект включается в перечень один раз, но при оценке к нему применяются все применимые показатели, а категория берётся по наивысшему достигнутому. На стоимость это не влияет — она считается по числу объектов.
Да, мы работаем во всех 13 сферах. Развёрнутые разборы сделаны для шести, откуда приходит больше всего вопросов; для остальных порядок и сроки те же, а типовой состав объектов и решающий показатель приведены в таблице сфер на этой странице.
Нет. Требования Банка России к финансовым организациям, транспортная безопасность, промышленная безопасность опасных производственных объектов — отдельные регуляторные контуры со своими проверяющими. Ни один из них не отменяет обязанность провести категорирование объектов КИИ и направить сведения во ФСТЭК России.
Нет, сроки едины: перечень объектов направляется во ФСТЭК в течение 5 рабочих дней с даты утверждения, на само категорирование отводится до одного года с этой даты, сведения о результатах — в течение 10 рабочих дней с даты утверждения акта.
Нет. Цена зависит от количества объектов и сложности систем, а не от сферы: 1 объект — 55 000 ₽, до 5 — 75 000 ₽, до 10 — 150 000 ₽, до 15 — 240 000 ₽. Для 15 и более объектов или сложных комплексов АСУ ТП расчёт индивидуальный.
Отраслевой разбор показывает, что у вас может быть объектом КИИ. Сколько таких систем наберётся и во сколько это обойдётся — покажет проверка: несколько вопросов о сфере деятельности и системах, результат сразу на экране, без регистрации.