Категорируем объекты КИИ предприятий оборонно-промышленного комплекса по 187-ФЗ с учётом отраслевых особенностей и режима.
Спасибо! Специалист свяжется с вами в ближайшее время.
Предприятия ОПК — субъекты КИИ с повышенными требованиями. Объектами становятся АСУ ТП производств, конструкторские и учётные системы.
Оборонная промышленность прямо названа в 187-ФЗ среди критических сфер. Субъектом КИИ становится организация этой сферы, которой на праве собственности, аренды или ином законном основании принадлежат информационные системы, информационно-телекоммуникационные сети или автоматизированные системы управления, — то есть практически любое действующее предприятие ОПК. Отдельного решения, уведомления или включения в какой-либо перечень для этого не требуется: статус возникает в силу закона, а вместе с ним и обязанность провести категорирование объектов КИИ.
Здесь же стоит развести два слова, которые в вопросах постоянно меняются местами. Субъект КИИ — это сама организация. Объекты КИИ — принадлежащие ей информационные системы, сети связи и АСУ. Предприятие не «становится объектом КИИ»: оно становится субъектом, категорированию подлежат его системы, и категория присваивается каждой из них отдельно. Общий разбор — на странице проверки на КИИ.
Один из самых частых вопросов отрасли звучит так: на основании чего предприятия, включённые в сводный реестр организаций оборонно-промышленного комплекса, оказались в КИИ. Прямой связи между этими двумя фактами нет. Сводный реестр организаций ОПК ведёт Минпромторг России, и нужен он для гособоронзаказа и мер государственной поддержки; 187-ФЗ на него не ссылается и статус субъекта КИИ с ним не связывает.
Отсюда два практических вывода, и оба неочевидны. Первый: включение в сводный или региональный перечень предприятий ОПК само по себе обязанность категорировать не порождает — она возникает из того, что организация работает в сфере оборонной промышленности и владеет информационными системами, сетями связи или АСУ. Второй, более важный: отсутствия в реестре недостаточно, чтобы считать себя свободным от 187-ФЗ. Предприятие, которое выпускает продукцию военного назначения или комплектующие к ней, но в сводный реестр не входит, остаётся субъектом КИИ на общих основаниях.
С гособоронзаказом логика та же. Сам по себе контракт по ГОЗ основанием для категорирования не является: закон говорит о сфере деятельности, а не о наличии контракта. Но предприятие, которое такой контракт исполняет собственным производством, к сфере оборонной промышленности, как правило, и относится, — поэтому практический ответ на вопрос «обязывает ли нас участие в гособоронзаказе провести категорирование» чаще всего утвердительный, просто по другому основанию, чем предполагает спрашивающий.
Объект КИИ — это информационная система, информационно-телекоммуникационная сеть или автоматизированная система управления. Не цех, не участок, не изделие и не единица оборудования. Отдельный станок с ЧПУ, испытательный стенд или измерительный прибор сами по себе в перечень объектов не включаются: категорируют управляющие ими системы и комплексы — в тех границах, в которых те представляют собой единое целое. Здание, площадка и режимная территория к объектам КИИ отношения не имеют вовсе.
Обратная ошибка встречается не реже: считать объектами КИИ только «производственное». Конструкторские и технологические системы, планирование производства, учёт исполнения заданий и внутренняя сеть передачи данных — такие же объекты КИИ, как АСУ ТП линии, потому что критический процесс предприятия ОПК — это не только изготовление, но и подготовка производства и соблюдение сроков.
Состав зависит от профиля — механообработка, сборка, приборостроение, судостроение, авиастроение, — но набор систем повторяется. Ниже то, что чаще всего попадает в перечень объектов оборонного предприятия.
| ТИПОВОЙ ОБЪЕКТ КИИ НА ПРЕДПРИЯТИИ ОПК | ПОЧЕМУ ПОПАДАЕТ В ПЕРЕЧЕНЬ |
|---|---|
| АСУ ТП основного производства — механообработка, сборка, гальваника, литьё | Остановка линии напрямую влияет на выпуск продукции и сроки выполнения заданий. |
| Системы конструкторской и технологической подготовки (САПР, PDM, PLM) | Хранят и обрабатывают данные, без которых производство не может быть продолжено. |
| Системы планирования и управления производством (ERP, MES) | Управляют загрузкой мощностей, снабжением и сроками изготовления изделий. |
| Система управления станочным парком с ЧПУ и передачи управляющих программ (DNC) | Отдельный станок объектом КИИ не является, а комплекс, который раздаёт на станки программы, — является. |
| Испытательные и измерительные комплексы с сетевым подключением | Участвуют в приёмке продукции — их отказ останавливает выпуск. |
| Системы учёта исполнения заданий и отчётности по контрактам | Через них подтверждается исполнение обязательств и ведётся отчётность перед заказчиком. |
| АСУ инженерного обеспечения производства — энергоснабжение, компрессорные, вентиляция цехов, серверная | Их отказ останавливает основное производство так же, как отказ самой линии. |
| Внутренняя технологическая сеть передачи данных | Обеспечивает взаимодействие остальных объектов КИИ между собой. |
| Системы связи предприятия, включая оперативную и производственную связь | Через них ведут управление производством и взаимодействие подразделений в нештатных ситуациях. |
«Типовой отраслевой перечень КИИ для оборонной промышленности» ищут часто, и честный ответ такой: утверждённого документа, из которого можно взять готовый список объектов и подать его во ФСТЭК, нет. ПП РФ № 127 типовых отраслевых перечней не предусматривает — перечень объектов формирует комиссия конкретного субъекта КИИ, исходя из его собственных критических процессов. То же касается «отраслевых особенностей категорирования ОПК» с нумерованными пунктами, которые иногда ищут как нормативный акт: обязательного документа, меняющего для оборонной промышленности порядок, показатели или сроки, нет. Правила едины для всех критических сфер.
Отраслевые материалы — методички, обзоры практики, перечни вроде приведённого выше — существуют и полезны как справочник: они подсказывают, что искать и о чём не забыть. Но основанием для решения комиссии они не являются, и подать чужой типовой перечень вместо собственного нельзя: во ФСТЭК уходит перечень объектов конкретного предприятия, а обоснование категории строится на его данных.
Типовой перечень удобно использовать как чек-лист на этапе инвентаризации и опасно — как готовый результат. Объект, попавший в перечень «за компанию», придётся обосновывать в акте, а объект, забытый по чужому шаблону, даёт замечание и повторное категорирование, причём годовой срок на это не останавливается.
ПП РФ № 127 задаёт пять групп показателей значимости, и для предприятий оборонной промышленности решающей чаще оказывается последняя — значимость для обеспечения обороны страны, безопасности государства и правопорядка. Именно по ней объекты оборонного предприятия обычно достигают верхних порогов, тогда как аналогичная система на гражданском производстве осталась бы в К3 или вовсе без категории. Поскольку категория присваивается по наивысшему достигнутому показателю, у предприятий ОПК результат по практике — К1. Отдельного набора показателей «для ОПК» в правилах нет: перечень един для всех сфер, пороговые значения приведены в приложении к ПП РФ № 127 и разобраны в критериях значимости.
Вторая особенность — источник данных для оценки. Показатели значимости для обороны считаются не по ИТ-параметрам системы, а по последствиям её отказа для производственных заданий и сроков их выполнения. Такие данные есть у производственно-диспетчерских, технологических, конструкторских и договорных подразделений, а не у ИТ-службы, — поэтому их представителей включают в комиссию по категорированию, а обоснование в акте строят на их данных.
Третья — кооперация. Оборонное производство почти всегда распределено между головным исполнителем и цепочкой соисполнителей, и отказ системы у одного участника отражается на сроках у всех. На оценку это влияет прямо: последствия считают по процессу целиком, а не по вкладу отдельного предприятия. Но категорирует каждый участник только свои объекты — чужие системы в перечень не попадают, даже если предприятие от них зависит.
Нормы, которая автоматически присваивала бы объектам оборонных предприятий категорию, не существует. Категория присваивается не предприятию, а каждому объекту отдельно и только по результатам оценки показателей значимости. Возможен и результат «ни одна из категорий не присвоена»: объект остаётся объектом КИИ, но значимым не становится. Сведения о таком объекте всё равно направляются во ФСТЭК России — это не «отрицательный» исход, а нормальный результат категорирования.
Поэтому распространённое «в ОПК всегда К1» — ориентир по практике, а не правило. Два предприятия одной кооперации с одинаковой ERP получат разные категории, если различаются последствия отказа для заданий и сроков. Категория, взятая по аналогии, опасна в обе стороны: завышенная тянет за собой требования к защите значимого объекта, заниженная даёт замечание и повторное категорирование. Как то же самое устроено в других сферах — в разборе отраслевых особенностей категорирования.
Защита государственной тайны и требования 187-ФЗ — разные режимы, действующие параллельно, и выполнение одних не заменяет другие. Наличие на предприятии режимно-секретного подразделения категорирование не отменяет и не заменяет: это отдельная обязанность со своим порядком и своими документами. При этом Правила категорирования наличие режима учитывают — работники подразделения по защите государственной тайны, если такое подразделение есть, включаются в состав комиссии по категорированию.
На практике категорирование, как правило, не требует доступа к сведениям, составляющим государственную тайну: комиссии нужны данные о процессах, составе систем и последствиях отказа. Если часть обоснования всё же опирается на сведения ограниченного доступа, эту часть комиссия оформляет своими силами и по правилам предприятия, а на нас остаётся методика и остальной объём работ. Порядок доступа, график обследования и перечень передаваемых данных согласуем до начала проекта. Само категорирование к лицензируемым видам деятельности не относится — требования к допуску исполнителя возникают позже, на этапе защиты значимого объекта.
| СИТУАЦИЯ | КТО КАТЕГОРИРУЕТ ОБЪЕКТ |
|---|---|
| Система принадлежит предприятию, эксплуатируется в филиале | Само предприятие: филиал не самостоятельное юридическое лицо. Комиссия, перечень и акты — одни на юридическое лицо целиком. |
| Дочернее общество со своим юридическим лицом | Категорирует себя само — свой перечень и свои акты, даже если ИТ обслуживается централизованно на уровне холдинга. |
| Система соисполнителя, задействованная в кооперации | Соисполнитель: это его объект. Головной исполнитель категорирует свои системы, а не системы контрагентов. |
| Оборудование и АСУ, переданные предприятию заказчиком | Тот, кому система принадлежит на законном основании и кто её эксплуатирует; основание владения фиксируют в акте. |
| АСУ ТП, которую по договору обслуживает поставщик или интегратор | Владелец системы: передача обслуживания на аутсорсинг обязанность не переносит. |
| Арендованные вычислительные мощности и каналы связи | Предприятие — как владелец размещённой на них системы. Оператор связи категорирует свою сеть отдельно и сам. |
Подробный разбор ролей — на странице «Кто проводит категорирование».
Создаём постоянно действующую комиссию по категорированию, включая в неё производство, технологов, конструкторские подразделения, ИТ, специалиста по защите информации и работников подразделения по защите государственной тайны, если оно на предприятии есть.
Выявляем критические процессы: изготовление продукции, конструкторская и технологическая подготовка, планирование и загрузка мощностей, испытания и приёмка, отчётность по контрактам.
Формируем перечень объектов КИИ от этих процессов, а не от списка серверов и станков, и направляем его во ФСТЭК России.
Собираем исходные данные по каждому объекту: что остановится при отказе, есть ли резерв и ручной режим, за какое время он разворачивается, как отказ отражается на сроках выполнения заданий.
Оцениваем показатели значимости по ПП РФ № 127 — для ОПК прежде всего значимость для обеспечения обороны страны и безопасности государства — и фиксируем обоснование.
Оформляем акт категорирования по каждому объекту и направляем сведения о результатах во ФСТЭК России.
Обследование не требует остановки производства, изменения настроек систем, подключения к технологической сети и сканирования оборудования. Работаем преимущественно дистанционно, выезд на площадку согласуем отдельно и заранее — с учётом пропускного режима и сроков оформления доступа.
| ОШИБКА | ЧЕМ ОБОРАЧИВАЕТСЯ |
|---|---|
| Категорирование считают выполненным, потому что на предприятии есть режим | Это разные режимы. Обязанность по 187-ФЗ остаётся невыполненной, и при проверке выясняется это первым. |
| Перечень взят из чужого типового отраслевого списка | В нём есть лишние объекты и нет специфичных для предприятия; обоснование в акте не сходится с фактическим составом систем. |
| В перечень включены станки, стенды и цеха | Категорируется оборудование вместо управляющих им систем — замечание при проверке перечня. |
| Учтено только производство, конструкторские и учётные системы забыты | Отказ САПР или ERP останавливает выполнение заданий не хуже отказа линии, но объект в перечень не попал. |
| Всем объектам присвоена К1 без оценки показателей | Категория ничем не обоснована, а завышение тянет за собой требования к защите значимого объекта, которых можно было избежать. |
| Комиссия собрана из ИТ и службы безопасности | Оценить последствия для заданий и сроков некому: обоснование строится на характеристиках оборудования и не принимается. |
Полный цикл по ПП РФ №127 — от создания комиссии до направления сведений во ФСТЭК.
Приказ и постоянно действующая комиссия по категорированию.
Выявляем все объекты КИИ и формируем перечень для категорирования.
Согласуем и направляем перечень во ФСТЭК — 5 рабочих дней.
Данные о процессах, угрозах и последствиях инцидентов.
Оцениваем объект по показателям и определяем максимальные.
Присваиваем К1 / К2 / К3 либо фиксируем отсутствие категории.
Формируем и направляем сведения о результатах — 10 рабочих дней.
Цена по количеству объектов КИИ. Фиксируется в договоре, без скрытых доплат за этапы.
Категорирование — это работа постоянной комиссии субъекта КИИ по строгому регламенту. Мы готовим комиссию, ведём её и отвечаем за результат по договору: вы получаете готовый комплект документов и подтверждение ФСТЭК.
Да. Оборонная промышленность прямо указана в 187-ФЗ среди критических сфер, и организация этой сферы, которой принадлежат информационные системы, сети связи или АСУ, является субъектом КИИ в силу закона — отдельного решения или включения в перечень для этого не требуется.
Само по себе включение в сводный или региональный реестр предприятий ОПК основанием не является: 187-ФЗ на эти реестры не ссылается. Статус возникает из того, что организация работает в сфере оборонной промышленности и владеет информационными системами, сетями связи или АСУ. Обратное тоже верно — отсутствие в реестре от обязанности не освобождает.
Формально основанием является сфера деятельности, а не наличие контракта по ГОЗ. Но предприятие, которое исполняет такой контракт собственным производством, к сфере оборонной промышленности, как правило, и относится, поэтому на практике категорирование ему требуется.
Утверждённого типового перечня, который можно взять готовым и подать во ФСТЭК, не существует. ПП РФ № 127 их не предусматривает: перечень формирует комиссия конкретного субъекта КИИ от его собственных критических процессов. Отраслевые подборки годятся как чек-лист при инвентаризации, но не как результат.
АСУ ТП основного производства, системы конструкторской и технологической подготовки (САПР, PDM, PLM), планирование и управление производством (ERP, MES), система управления станочным парком с ЧПУ, испытательные и измерительные комплексы, системы учёта исполнения заданий, АСУ инженерного обеспечения, внутренняя сеть передачи данных и системы связи предприятия.
Нормы, автоматически присваивающей категорию объектам ОПК, нет. Категория присваивается каждому объекту отдельно по результатам оценки показателей значимости, и возможен результат «ни одна из категорий не присвоена» — объект остаётся объектом КИИ, но значимым не становится. Сведения о нём всё равно направляются во ФСТЭК России.
Нет, перечень показателей един для всех критических сфер и приведён в приложении к ПП РФ № 127, где они сгруппированы в пять групп. Для оборонной промышленности решающей чаще оказывается группа значимости для обеспечения обороны страны, безопасности государства и правопорядка.
Нет. Защита государственной тайны и категорирование объектов КИИ по 187-ФЗ — разные режимы, действующие параллельно. Выполнение требований по защите сведений не снимает обязанность провести категорирование. При этом работников подразделения по защите государственной тайны, если оно есть, включают в состав комиссии.
Как правило, нет. Комиссии нужны данные о процессах, составе систем и последствиях отказа, а не доступ к сведениям ограниченного доступа. Если часть обоснования на таких сведениях всё же строится, её оформляет комиссия своими силами по правилам предприятия. Производство не останавливаем, настройки систем не меняем, к технологической сети не подключаемся.
Стоимость зависит от числа объектов: 1 объект — 55 000 ₽, до 5 — 75 000 ₽, до 10 — 150 000 ₽, до 15 — 240 000 ₽. Для 15 и более объектов или сложных АСУ ТП расчёт индивидуальный. Цена фиксируется в договоре.
Проверка по 13 критическим сферам: покажет, является ли ваше предприятие субъектом КИИ, сколько систем подлежит категорированию и во сколько это обойдётся. Без регистрации, результат сразу на экране.
Предприятия оборонно-промышленного комплекса (ОПК) являются субъектами КИИ: оборонная промышленность прямо названа в 187-ФЗ среди критических сфер, а статус возникает в силу закона — из принадлежности организации этой сферы информационных систем, сетей связи или автоматизированных систем управления. Отдельного решения, уведомления или включения в какой-либо перечень для этого не требуется. Категорирование объектов КИИ для оборонной промышленности охватывает АСУ ТП основных производств, конструкторские и технологические системы, планирование производства и учётные системы предприятия.
Включение в сводный реестр организаций оборонно-промышленного комплекса или в региональный перечень предприятий ОПК само по себе основанием для категорирования не является: 187-ФЗ на эти реестры не ссылается. Отсутствие в реестре от обязанности тоже не освобождает — предприятие, выпускающее продукцию военного назначения или комплектующие к ней, остаётся субъектом КИИ на общих основаниях. То же с гособоронзаказом: формально основание — сфера деятельности, а не контракт, но исполнитель ГОЗ, ведущий собственное производство, к этой сфере, как правило, и относится.
Обязательного документа, который менял бы для оборонной промышленности порядок, показатели или сроки, не существует — правила ПП РФ № 127 едины для всех критических сфер, и утверждённого типового отраслевого перечня объектов КИИ для ОПК тоже нет: перечень формирует комиссия конкретного предприятия от его собственных критических процессов. Отличается не порядок, а то, по какому показателю объект достигает порога: у предприятий ОПК решающей чаще оказывается значимость для обеспечения обороны страны, безопасности государства и правопорядка, поэтому категория по практике — К1. При этом нормы, автоматически присваивающей категорию объектам ОПК, нет: категорию определяет комиссия по каждому объекту отдельно, и результат «категория не присвоена» тоже возможен.
Услуга включает идентификацию субъекта КИИ, инвентаризацию и перечень объектов, акт категорирования по каждому объекту, модель угроз безопасности и направление сведений во ФСТЭК России. На выходе — готовый комплект документов и присвоенные категории значимости.
Категорирование объектов КИИ предприятий ОПК проводится по 187-ФЗ, ПП РФ № 127 и приказам ФСТЭК России с учётом режимных требований. Перечень объектов направляется во ФСТЭК в течение 5 рабочих дней, срок категорирования — до одного года, сведения о результатах подаются в течение 10 рабочих дней после утверждения акта.
Категорирование ведёт комиссия предприятия. Мы создаём комиссию — с участием производства, технологов и конструкторских подразделений, а не только ИТ, — выявляем критические процессы, формируем перечень объектов от этих процессов, собираем исходные данные, оцениваем показатели значимости и оформляем акт по каждому объекту с соблюдением режима. Для АСУ ТП основных производств учитываем последствия отказа для производственных заданий и сроков их выполнения. Обследование не требует остановки производства, изменения настроек систем и подключения к технологической сети; порядок доступа и график работ согласуем до начала проекта.
Для значимых объектов ОПК после категорирования строят систему безопасности по требованиям ФСТЭК России и организуют взаимодействие с ГосСОПКА. Эта часть выполняется отдельно и профильным исполнителем; наша работа заканчивается принятыми сведениями о результатах категорирования, которые становятся основанием для всех дальнейших шагов.
Стоимость зависит от количества объектов: от 55 000 ₽ за один объект, до 240 000 ₽ за пятнадцать; для сложных АСУ ТП — индивидуальный расчёт. Срок под ключ — от 2 до 5 месяцев, цена фиксируется в договоре.
Оставьте заявку или закажите звонок — бесплатно определим перечень объектов КИИ вашего предприятия и рассчитаем стоимость. Работаем по всей России с учётом режимных требований.
Бесплатная консультация и оценка объёма работ за 1 день. Перезвоним и зафиксируем стоимость в договоре.