«Проверкой ФСТЭК» называют две разные процедуры: проверку направленных сведений о результатах категорирования и государственный контроль в отношении значимых объектов КИИ. Разбираем, чем они отличаются, какие документы спросят, что делать, если пришло предписание, и за какой срок реально закрыть категорирование.
Спасибо! Специалист свяжется с вами в ближайшее время.
Штатный шаг самой процедуры категорирования. ФСТЭК России проверяет направленные сведения о результатах: соблюдён ли порядок категорирования и правильно ли присвоена категория. Проверяют документ, а не организацию — к вам никто не приезжает. Исход один из двух: объект вносят в реестр значимых объектов либо сведения возвращают на доработку с мотивированным обоснованием.
Проверка самого субъекта КИИ. Основание — статья 13 187-ФЗ, порядок — Правила осуществления государственного контроля, утверждённые постановлением Правительства РФ от 17.02.2018 № 162. Ведётся в отношении значимых объектов КИИ — тех, что уже внесены в реестр. Бывает плановой и внеплановой, по итогам составляется акт.
Документ по итогам контроля, если выявлены нарушения: что именно нарушено и в какой срок это устранить. Само по себе предписание — не штраф. Но по истечении указанного в нём срока проводится внеплановая проверка, и невыполненное предписание — уже другой разговор с регулятором.
Практический вывод: если категорирование ещё не проводилось, плановый государственный контроль по статье 13 к вам не придёт — значимых объектов в реестре нет. Это не означает, что обязанности нет: она установлена законом независимо от того, проверяет вас кто-нибудь сейчас или нет, а внеплановая проверка может быть назначена в том числе по требованию органов прокуратуры в рамках надзора за исполнением законов.
Основания для проверок перечислены в Правилах государственного контроля. Список закрытый — «просто так» проверка не назначается, но и поводов для внеплановой достаточно.
То есть отсчёт для конкретного объекта начинается не с момента, когда организация стала субъектом КИИ, а с даты появления записи в реестре. Первая проверка значимого объекта — это всегда следствие уже проведённого категорирования.
Второй пункт объясняет, почему инцидент опаснее, чем кажется: разбирательство не заканчивается восстановлением системы — следом приходит проверка того, как на этом объекте вообще выстроена безопасность, начиная с категорирования.
Предмет государственного контроля — соблюдение субъектом КИИ требований 187-ФЗ и принятых в соответствии с ним нормативных актов по обеспечению безопасности значимых объектов. Категорирование при этом проверяется первым: пока не понятно, какие объекты значимые и на каком основании им присвоены категории, оценивать выполнение требований к их защите не от чего.
| ДОКУМЕНТ | ЧТО ИМ ПОДТВЕРЖДАЕТСЯ |
|---|---|
| Приказ о создании комиссии | Что комиссия создана и является постоянно действующей, кто председатель и каков состав |
| Перечень объектов КИИ и подтверждение его направления | Что все объекты выявлены, перечень утверждён и ушёл во ФСТЭК в срок 5 рабочих дней |
| Протоколы заседаний комиссии | Что решения принимала комиссия, а не отдельный специалист, и в какой последовательности |
| Акты категорирования по каждому объекту | Итоговую категорию по каждому объекту и оценку по всем показателям значимости |
| Исходные данные и обоснование показателей | Откуда взялось каждое значение в акте — это то, что защищает категорию при споре |
| Сведения о результатах и сопроводительное письмо | Что результаты направлены по всем объектам перечня и в срок 10 рабочих дней с даты утверждения акта |
| Уведомление ФСТЭК о внесении объекта в реестр | Что сведения приняты, а не остались на доработке или без ответа |
| Документы повторного категорирования | Что результаты актуальны: пересмотр проводится не реже одного раза в 5 лет и при изменениях объекта |
| Положение о комиссии, если оно принималось | Документ необязательный, но если он есть — его сверят с приказом и протоколами |
Смотрят не наличие бумаг, а их связность: даты приказа, протоколов, актов и исходящих писем должны выстраиваться в непротиворечивую последовательность, а данные об объекте — совпадать в перечне, акте и сведениях. Комплект, собранный задним числом, обычно выдаёт себя именно здесь.
Замечания редко бывают про оформление. Почти всегда это следствие того, как выполнялись первые два шага — выявление объектов и обоснование показателей значимости.
Вторая часть предмета контроля — выполнение требований по обеспечению безопасности значимых объектов, установленных приказом ФСТЭК России № 239. Это работа, которая начинается после присвоения категории: проектирование и внедрение системы безопасности объекта. К допуску исполнителя на этом этапе предъявляются отдельные требования, и в нашу услугу эта работа не входит — мы закрываем категорирование и документы по нему. Если предписание касается защиты значимого объекта, честнее сказать сразу: эту часть закрывает профильный исполнитель, а не мы.
Главная ошибка на этом этапе — начать «дописывать» недостающие документы задним числом. Дешевле и безопаснее восстановить процедуру по-настоящему: она короче, чем кажется.
Разберите предписание буквально: какое требование нарушено, со ссылкой на норму, по какому объекту и какой срок устранения указан. Формулировки предписания — это и есть перечень того, что придётся закрыть, ничего сверх него делать не нужно.
Разделите нарушения на две группы: те, что закрываются оформлением недостающего документа, и те, где придётся заново проводить работу — заседания комиссии, сбор исходных данных, оценку показателей. Вторая группа определяет реальный срок.
Сопоставьте объём со сроком из предписания. Если срока объективно не хватает, мотивированное ходатайство о его продлении подаётся заранее и с планом работ, а не в последний день.
Восстанавливайте последовательность, а не отдельные бумаги: приказ о комиссии → перечень объектов и его направление → протоколы заседаний → акты категорирования → сведения о результатах. Документ, выпавший из этой цепочки, обнаруживается по датам и исходящим номерам.
Устраните нарушения и уведомьте ФСТЭК России об исполнении предписания, приложив подтверждающие документы. Исполненным считается закрытое по существу нарушение, а не отправленный ответ.
Имейте в виду: по истечении срока предписания назначается внеплановая проверка. То есть к этой дате комплект должен быть не «в работе», а готов и предъявляем.
Категорирование всё равно нужно проводить, и чем раньше, тем лучше позиция субъекта КИИ. Пропущенный срок обязанность не отменяет и не переносит, а добровольно устранённое нарушение и нарушение, выявленное проверкой, — это разные ситуации. Что грозит за неисполнение требований — в справке об ответственности за нарушения по КИИ.
| ЧТО ЕСТЬ СЕЙЧАС | ЧТО ПРИДЁТСЯ СДЕЛАТЬ | ОРИЕНТИР ПО СРОКУ |
|---|---|---|
| Категорирование не начиналось, объектов немного | Полный цикл: комиссия, перечень, оценка показателей, акты, сведения | 2–5 месяцев под ключ, ближе к нижней границе при 1–5 объектах |
| Комплект есть, но перечень не направлялся во ФСТЭК | Сверка перечня с фактическим составом систем, направление, дальше по циклу | Быстро — но срок 5 рабочих дней с даты утверждения уже нарушен, дата не переигрывается |
| Акты оформлены, сведения не направлены | Сверка актов с перечнем, оформление сведений по утверждённой форме, направление | Дни — при условии, что оценка показателей обоснована |
| Сведения вернули на доработку | Разбор мотивированного обоснования, устранение причины возврата, повторное направление | Зависит от причины: оформление — дни, пересмотр оценки — недели |
| Объекты выявлены не все | Возврат к критическим процессам, дополнение перечня, категорирование новых объектов | Фактически новый цикл по добавленным объектам |
| Прошло больше 5 лет или изменились процессы | Повторное категорирование и направление обновлённых сведений | Короче первого цикла: исходные данные уже собраны |
Сроки в правой колонке — ориентир по объёму работы, а не обещание. Быстрее всего идут этапы, которые можно передать исполнителю: сбор данных, расчёты, обоснования, оформление. Не ускоряются две вещи — заседания вашей комиссии и рассмотрение направленных документов регулятором.
Решения принимает ваша комиссия по категорированию — мы обеспечиваем, чтобы к заседанию у неё были собраны данные, посчитаны показатели и подготовлены документы, а каждое значение можно было объяснить проверяющему. Если часть предписания касается защиты значимого объекта, скажем об этом прямо: это другая работа и другой исполнитель.
за объект КИИ под ключ. Цена по количеству объектов:
Напишите, что именно указано в предписании или в замечаниях — оценим объём и срок бесплатно. Разбивка цены — на странице стоимости категорирования.
Если проверка ещё не пришла, а понимания нет — начните с объёма: являетесь ли вы субъектом КИИ и сколько ваших систем подлежит категорированию. Проверка по 13 критическим сферам даёт ориентир и расчёт по нашему прайсу — без регистрации, результат сразу.
Соблюдение субъектом КИИ требований 187-ФЗ и принятых в соответствии с ним нормативных актов по обеспечению безопасности значимых объектов. Категорийная часть проверяется первой: создана ли комиссия, все ли объекты выявлены и включены в перечень, обоснованы ли значения показателей значимости, направлены ли перечень и сведения о результатах в установленные сроки, актуальны ли результаты категорирования.
Проверка сведений — штатный шаг самой процедуры категорирования: регулятор рассматривает направленный документ и либо вносит значимый объект в реестр, либо возвращает сведения на доработку. Государственный контроль по статье 13 187-ФЗ — это проверка организации: у неё есть основание, срок, акт по результатам и, при выявлении нарушений, предписание.
Государственный контроль в области обеспечения безопасности значимых объектов КИИ осуществляет ФСТЭК России. Порядок установлен Правилами, утверждёнными постановлением Правительства РФ от 17.02.2018 № 162. Отдельно надзор за исполнением законов ведут органы прокуратуры — по их требованию может быть назначена внеплановая проверка.
Плановая проверка проводится по истечении 3 лет со дня внесения сведений об объекте в реестр значимых объектов КИИ либо со дня окончания предыдущей плановой проверки. Отсчёт идёт по конкретному объекту и начинается с появления записи в реестре, а не с момента, когда организация стала субъектом КИИ.
По истечении срока выполнения ранее выданного предписания, при возникновении на значимом объекте компьютерного инцидента, повлёкшего негативные последствия, по поручению Президента или Правительства Российской Федерации, а также по требованию органов прокуратуры в рамках надзора за исполнением законов.
Плановый государственный контроль по статье 13 187-ФЗ ведётся в отношении значимых объектов, а их у такой организации в реестре нет — соответственно, и планового основания не возникает. Обязанность провести категорирование при этом никуда не девается: она установлена законом и не зависит от того, проверяет вас кто-либо сейчас. Внеплановая проверка может быть назначена по другим основаниям, а сроки категорирования идут независимо от проверок.
Документ, который выдаётся по результатам проверки при выявлении нарушений: в нём указано, какое требование нарушено и в какой срок нарушение должно быть устранено. Предписание само по себе не является штрафом, но по истечении указанного срока проводится внеплановая проверка его выполнения.
Срок может быть продлён по мотивированному ходатайству субъекта КИИ. Подавать его имеет смысл заранее и вместе с планом работ, из которого видно, почему исходный срок недостаточен, — а не в последние дни, когда работа заведомо не успевает.
Приказ о создании комиссии по категорированию, утверждённый перечень объектов КИИ и подтверждение его направления во ФСТЭК, протоколы заседаний комиссии, акты категорирования по каждому объекту, исходные данные и обоснование значений показателей значимости, сведения о результатах категорирования с сопроводительным письмом, уведомление о внесении объекта в реестр, а также документы повторного категорирования, если срок пересмотра наступил.
Если категорирование не проводилось, полный цикл под ключ занимает от 2 до 5 месяцев в зависимости от количества и сложности объектов. Если комплект частично готов, счёт идёт на недели или дни: оформление и обоснование можно передать исполнителю, а не ускоряются только заседания комиссии субъекта и рассмотрение документов регулятором.
Под проверкой ФСТЭК по КИИ понимают две разные процедуры, и путаница между ними — источник большинства неверных ожиданий. Первая — проверка направленных сведений о результатах категорирования: регулятор рассматривает поступивший документ, оценивает соблюдение порядка категорирования и правильность присвоения категории значимости, после чего либо вносит значимый объект в реестр, либо возвращает сведения на доработку с мотивированным обоснованием. Это штатный шаг самой процедуры, никакого визита в организацию он не предполагает. Вторая — государственный контроль в области обеспечения безопасности значимых объектов критической информационной инфраструктуры, установленный статьёй 13 Федерального закона № 187-ФЗ. Здесь проверяют уже не документ, а субъекта КИИ, и по результатам составляется акт, а при выявлении нарушений выдаётся предписание.
Государственный контроль в области обеспечения безопасности значимых объектов КИИ осуществляет ФСТЭК России. Порядок проведения проверок установлен Правилами, утверждёнными постановлением Правительства Российской Федерации от 17.02.2018 № 162. Проверки бывают плановыми и внеплановыми, а основания для их назначения перечислены исчерпывающе. Плановая проверка проводится по истечении 3 лет со дня внесения сведений об объекте КИИ в реестр значимых объектов либо со дня окончания предыдущей плановой проверки. Внеплановая назначается по истечении срока выполнения ранее выданного предписания, при возникновении на значимом объекте компьютерного инцидента, повлёкшего негативные последствия, по поручению Президента или Правительства Российской Федерации, а также по требованию органов прокуратуры в рамках надзора за исполнением законов.
Предмет проверки — соблюдение субъектом КИИ требований 187-ФЗ и принятых в соответствии с ним нормативных правовых актов в области обеспечения безопасности значимых объектов. На практике проверка начинается с категорийной части, потому что без неё оценивать нечего: проверяющий смотрит, создана ли приказом постоянно действующая комиссия по категорированию, все ли объекты КИИ выявлены и включены в перечень, направлен ли перечень во ФСТЭК России, чем обоснованы значения показателей критериев значимости в актах категорирования, направлены ли сведения о результатах по всем объектам перечня, соблюдены ли установленные сроки и проводилось ли повторное категорирование, если для этого наступили основания. Вторая часть предмета контроля — выполнение требований по обеспечению безопасности значимых объектов, установленных приказом ФСТЭК России № 239: это отдельная работа, которая начинается после присвоения категории и к которой предъявляются собственные требования по допуску исполнителя.
Комплект по категорированию предъявляется целиком: приказ о создании комиссии по категорированию, утверждённый перечень объектов КИИ вместе с подтверждением его направления во ФСТЭК России, протоколы заседаний комиссии, акты категорирования по каждому объекту из перечня, исходные данные и письменное обоснование значений показателей значимости, сведения о результатах категорирования с сопроводительным письмом, уведомление регулятора о внесении значимого объекта в реестр, а также документы повторного категорирования, если срок пересмотра наступил. Значение имеет не только наличие документов, но и их связность: даты приказа, протоколов, актов и исходящих писем должны выстраиваться в непротиворечивую последовательность, а наименование, состав и границы объекта — совпадать в перечне, акте и сведениях.
Предписание — документ, который выдаётся по результатам проверки при выявлении нарушений и содержит указание, какое требование нарушено и в какой срок нарушение должно быть устранено. Само по себе предписание не является санкцией, но по истечении указанного в нём срока проводится внеплановая проверка его выполнения, и невыполненное предписание меняет характер разбирательства. Правильный порядок действий: разобрать предписание буквально и выделить конкретные требования, разделить нарушения на устранимые оформлением и требующие повторного проведения работы, сопоставить объём с отведённым сроком и при его нехватке заранее подать мотивированное ходатайство о продлении, восстановить последовательность документов целиком, а не дописывать отдельные бумаги, и уведомить ФСТЭК России об исполнении с приложением подтверждающих документов.
Если категорирование не проводилось вовсе, полный цикл под ключ занимает от 2 до 5 месяцев в зависимости от количества и сложности объектов, и при одном–пяти несложных объектах срок ближе к нижней границе. Если комплект частично готов, счёт идёт на недели или дни: оформление сведений по утверждённой форме при обоснованной оценке показателей — вопрос дней, разбор возврата сведений на доработку — от нескольких дней до нескольких недель в зависимости от причины, а обнаружение невыявленных объектов фактически означает новый цикл по ним. Ускорить можно всё, что передаётся исполнителю: инвентаризацию, сбор исходных данных, расчёты, обоснования и оформление документов. Не ускоряются две вещи — заседания комиссии субъекта КИИ, которая принимает решения, и рассмотрение направленных документов регулятором.
Подготовка к проверке — это не отдельная работа, а проверка того, что категорирование действительно проведено и подтверждено документами. Мы разбираем предписание или полученные замечания и выделяем то, что относится к категорированию, сверяем фактический состав информационных систем, сетей связи и АСУ с утверждённым перечнем объектов, восстанавливаем недостающие документы в правильной последовательности, собираем исходные данные и письменно обосновываем каждое значение показателя значимости, разрабатываем модель угроз безопасности и направляем сведения во ФСТЭК России, сопровождая их до приёма. Стоимость считается по количеству объектов КИИ: один объект — 55 000 ₽, до 5 объектов — 75 000 ₽, до 10 — 150 000 ₽, до 15 — 240 000 ₽, для большего числа объектов и сложных АСУ ТП — по запросу. Точная цена и срок фиксируются в договоре после бесплатной оценки объёма.
Бесплатная консультация и оценка объёма работ за 1 день. Перезвоним и зафиксируем стоимость в договоре.