Перечень объектов КИИ — документ, с которого начинается вся работа субъекта критической информационной инфраструктуры. Без него категорирование не провести, а значит, и требования 187-ФЗ не выполнить. Разбираем, что включать, как оформить и когда взаимодействовать с ФСТЭК.
Актуализировано 10.08.2026: для субъектов КИИ появился новый инструмент самопроверки — ФСТЭК утвердила методику оценки уровня зрелости (в т.ч. для значимых объектов КИИ). Как считать и какой уровень нужен вашей категории — в разборе методики.
Уже на этапе перечня полезно понимать, какие угрозы актуальны для ваших систем: при категорировании и последующем моделировании они сверяются с банком данных угроз ФСТЭК.
Составить перечень и провести категорирование объектов КИИ под ключ помогает Кредо-С — категорирование объектов КИИ.
Что такое перечень объектов КИИ
Перечень объектов КИИ — документ субъекта, в котором перечислены все информационные системы (ИС), информационно-телекоммуникационные сети (ИТКС) и автоматизированные системы управления (АСУ), обеспечивающие критические процессы организации. Именно по нему комиссия по категорированию оценивает значимость каждого объекта и решает, какую категорию присвоить.
Обязанность составить перечень установлена 187-ФЗ ст. 7 ч. 1. Порядок — ПП РФ от 08.02.2018 № 127 (ред. от 07.11.2025 № 1762).
Кто обязан составить перечень
Составить перечень и провести категорирование КИИ
Кредо-С — лицензиат ФСТЭК России. Проводим инвентаризацию, помогаем собрать комиссию и подготовить документы для ФСТЭК.
Все субъекты КИИ: организации и ИП, которым принадлежат объекты КИИ в следующих сферах (187-ФЗ ст. 2):
- здравоохранение, наука, транспорт, связь, энергетика;
- банковская и иные сферы финансового рынка;
- топливно-энергетический комплекс, атомная энергия;
- оборонная, ракетно-космическая, горнодобывающая, металлургическая, химическая промышленности.
Форма собственности значения не имеет. Государственные, муниципальные и коммерческие организации — под одинаковыми требованиями.
Что включать в перечень объектов КИИ
Комиссия выявляет процессы субъекта и определяет, какие ИС, ИТКС и АСУ их обеспечивают. В перечень включают:
- АСУ технологическими процессами (АСУ ТП) — производственные, энергетические, транспортные, в том числе диспетчерские системы и SCADA.
- Корпоративные ИС, обеспечивающие управленческие и финансово-экономические процессы, если их нарушение или остановка критична.
- Телекоммуникационные сети — корпоративные сети, каналы между площадками, операторские сети (для субъектов из сферы связи).
- Смежные системы: СКУД, инженерная инфраструктура с цифровым управлением (электроснабжение, вентиляция), системы видеонаблюдения в технологических зонах.
Смежные системы пропускают чаще всего. ФСТЭК при надзорной проверке сравнивает перечень с реальной архитектурой — и фиксирует расхождения как нарушение.
Как оформить перечень
Единой утверждённой формы нет. Как правило, оформляют таблицей:
| Поле | Что указать |
|---|
| Наименование объекта КИИ | Полное официальное название ИС / ИТКС / АСУ |
| Тип объекта | ИС / ИТКС / АСУ |
| Сфера деятельности | Из перечня ст. 2 187-ФЗ |
| Критический процесс | Процесс субъекта, который объект обеспечивает |
| Подразделение-владелец | Ответственное структурное подразделение |
| Взаимодействие | Связанные объекты КИИ, в том числе других субъектов |
Перечень утверждает руководитель субъекта КИИ. С 2025 года ФСТЭК разработал типовые отраслевые перечни для ряда сфер — субъекты вправе ориентироваться на них при составлении своего.
Когда и как взаимодействовать с ФСТЭК
Перечень объектов КИИ не направляют во ФСТЭК отдельно. По ПП-127 п. 17 и 187-ФЗ ст. 7 ч. 5, в регулятор направляют сведения о результатах категорирования — уже после работы комиссии и утверждения актов. Срок: 10 рабочих дней со дня утверждения акта.
В сведениях указывают перечень объектов, присвоенные категории значимости и результаты оценки по критериям. После редакции ПП-127 от 07.11.2025 форма сведений обновилась. Отправка по устаревшему бланку — возврат без рассмотрения.
Для незначимых объектов сведения тоже направляют во ФСТЭК — с обоснованием отсутствия категории. О полном порядке категорирования — в пошаговой инструкции по категорированию объектов КИИ.
Реестр значимых объектов КИИ: кто ведёт и что в него попадает
Реестр значимых объектов КИИ формирует и ведёт ФСТЭК России — так установлено ч. 1 ст. 8 187-ФЗ. Попасть в реестр «по заявлению» нельзя: ФСТЭК вносит объект сама, после проверки сведений о категорировании. Пока записи в реестре нет, объект формально не считается значимым — даже если комиссия уже присвоила ему категорию.
Единого публичного «реестра объектов КИИ» при этом не существует: государственный учёт ведётся только по значимым объектам, а полный перечень своих объектов каждый субъект ведёт сам как рабочий документ.
Как объект попадает в реестр:
- субъект направляет во ФСТЭК сведения о результатах категорирования: закон отводит десятидневный срок со дня принятия решения (ч. 5 ст. 7 187-ФЗ), Правила категорирования — 10 рабочих дней со дня утверждения акта (п. 17 ПП-127);
- ФСТЭК в тридцатидневный срок проверяет порядок категорирования и правильность категории, с сентября 2025 года — ещё и соответствие типовым отраслевым перечням и отраслевым особенностям (ч. 6 ст. 7 в ред. 58-ФЗ);
- если нарушений нет, сведения о значимом объекте вносятся в реестр, объекту присваивается регистрационный номер.
Какие сведения вносятся в реестр — и какие нет
Перечень закрытый, семь групп сведений (ч. 1 ст. 8 187-ФЗ, п. 5 Порядка ведения реестра — приказ ФСТЭК № 227 от 06.12.2017, ред. от 17.07.2025):
- сведения о самом объекте — наименование, доменное имя и сетевой адрес;
- наименование субъекта КИИ;
- сведения о взаимодействии объекта с сетями электросвязи;
- лицо, эксплуатирующее объект;
- присвоенная категория значимости;
- программные и программно-аппаратные средства объекта;
- меры, применяемые для обеспечения безопасности объекта.
Всё, что в этот перечень не входит, в реестр не включается: акты категорирования целиком, модели угроз, проектная документация на систему безопасности остаются у субъекта и предъявляются регулятору при проверках. Сведения из реестра ФСТЭК передаёт в ГосСОПКА (ч. 2 ст. 8).
Регистрационный номер и жизнь записи в реестре
Каждому объекту в реестре присваивается номер вида ХХХХХХ/Х/ХХ/Х: порядковый номер, федеральный округ, сфера деятельности (от здравоохранения до ТЭК), тип объекта — информационная система, АСУ или сеть (п. 6 Порядка № 227). При изменении сведений номер сохраняется (п. 9).
Внесением в реестр история не заканчивается:
- изменились сведения из п. 17 Правил категорирования — адрес, состав ПО, меры защиты — субъект направляет обновление не позднее 20 рабочих дней со дня изменения (п. 8 Порядка № 227);
- объект перестал соответствовать критериям значимости или по итогам пересмотра утратил категорию — субъект сообщает об этом во ФСТЭК, и объект исключается из реестра (ч. 3 ст. 8 187-ФЗ, п. 10 Порядка № 227);
- изменения в реестр вносятся только на основе сведений от самого субъекта: молчание оборачивается устаревшей записью и вопросами при проверке.
Чем значимый объект отличается от «просто» объекта КИИ и как присваивается категория — разобрали в статье «ЗОКИИ, субъекты и объекты КИИ».
Когда обновлять перечень
Перечень актуализируют при вводе новых ИС, ИТКС или АСУ, при существенном изменении архитектуры действующих объектов, при выходе обновлённых типовых отраслевых перечней. И в любом случае — не реже одного раза в 5 лет (ПП-127 п. 21).
После актуализации перечня необходимо повторно оценить значимость изменившихся объектов и направить обновлённые сведения во ФСТЭК.
Перечень объектов КИИ и всё, что за ним следует
Перечень — точка входа. Дальше:
- комиссия проводит категорирование и присваивает категории значимости;
- субъект направляет сведения во ФСТЭК — значимые объекты вносятся в реестр;
- создаётся система безопасности значимых объектов КИИ (приказ ФСТЭК №235, ред. от 20.04.2023);
- реализуются меры защиты по категории (приказ ФСТЭК №239, ред. от 28.08.2024);
- объекты подключаются к ГосСОПКА.
Ошибки в перечне на старте — неполный состав объектов, неверная классификация, пропущенные смежные системы — переходят в категорирование и фиксируются ФСТЭК при первой проверке. Подробнее о рисках и санкциях: «Ответственность за нарушение требований 187-ФЗ».
Помощь в составлении перечня и категорировании
Правильно составить перечень объектов КИИ требует одновременно знания 187-ФЗ и понимания реальной ИТ-архитектуры организации. Ошибки на этом этапе дорого обходятся позже.
«Кредо-С» проводит категорирование объектов КИИ под ключ: инвентаризация и составление перечня, работа комиссии, оформление актов, направление сведений во ФСТЭК. Обзор КИИ и всей системы защиты — в материале «Критическая информационная инфраструктура».
Что делать после категорирования
Категорирование — первый этап, но не финальный. Если хотя бы один объект получил категорию значимости (1, 2 или 3), начинается второй цикл работ — построение системы безопасности значимых объектов КИИ.
Нормативная цепочка после категорирования
| Приказ ФСТЭК | Что регулирует |
|---|
| № 235 | Требования к организации системы безопасности: кто отвечает, как устроена служба ИБ |
| № 239 (ред. 28.08.2024) | Состав мер защиты для значимых объектов — от контроля доступа до защиты от DDoS |
| № 236 | Как оформить и направить сведения о категорировании во ФСТЭК |
Срок направления сведений во ФСТЭК — 10 рабочих дней с даты решения комиссии. ФСТЭК проверяет в течение 30 дней и вправе вернуть на пересмотр.
Все субъекты КИИ обязаны информировать НКЦКИ об инцидентах вне зависимости от категории объектов. Для значимых — дополнительно интеграция с технической инфраструктурой ГосСОПКА.
Кредо-С проводит полный цикл: от инвентаризации и категорирования до разработки ОРД и внедрения мер по Приказу № 239. Узнать об услуге защиты объектов КИИ →
