Перечень объектов КИИ больше не обязательный документ по Правилам категорирования — этап исключён из них постановлением Правительства РФ от 19.09.2024 № 1281. Но как рабочий документ субъекта он никуда не делся: именно по нему комиссия видит, что у неё в периметре, и с ним же сверяется ФСТЭК при проверке. Разбираем, что действует сейчас, что изменилось и что включать в перечень, если вы его ведёте.
Актуализировано 10.08.2026: для субъектов КИИ появился новый инструмент самопроверки — ФСТЭК утвердила методику оценки уровня зрелости (в т.ч. для значимых объектов КИИ). Как считать и какой уровень нужен вашей категории — в разборе методики.
Уже на этапе перечня полезно понимать, какие угрозы актуальны для ваших систем: при категорировании и последующем моделировании они сверяются с банком данных угроз ФСТЭК.
Составить перечень и провести категорирование объектов КИИ под ключ помогает Кредо-С — категорирование объектов КИИ.
Что такое перечень объектов КИИ
Перечень объектов КИИ — документ субъекта, в котором перечислены все информационные системы (ИС), информационно-телекоммуникационные сети (ИТКС) и автоматизированные системы управления (АСУ), обеспечивающие критические процессы организации. Именно по нему комиссия по категорированию оценивает значимость каждого объекта и решает, какую категорию присвоить.
Отдельной статьи «обязан составить перечень» в 187-ФЗ нет: закон описывает категорирование (ст. 7) и обязывает направить во ФСТЭК сведения о его результатах (ст. 7 ч. 5). Порядок категорирования установлен ПП РФ от 08.02.2018 № 127 (ред. от 07.11.2025 № 1762).
Что изменилось: перечень исключён из Правил категорирования
До осени 2024 года составление и утверждение перечня было отдельным этапом категорирования, а к нему был привязан предельный срок: категорирование требовалось завершить не более чем за год со дня утверждения перечня. Постановление Правительства РФ от 19 сентября 2024 г. № 1281 признало утратившими силу подпункт «г» пункта 5 и пункт 15 Правил — вместе с ними ушли и этап, и годичный срок.
Следующим шагом постановление от 07.11.2025 № 1762 переписало пункты 5 «а» и 14 «а»: теперь комиссия выявляет объекты, соответствующие типовым, включённым в перечни типовых отраслевых объектов КИИ. Их утверждает Правительство — единый перечень установлен распоряжением от 26.02.2026 № 360-р.
В действующем тексте Правил словосочетание «перечень объектов» не встречается ни разу. Все упоминания слова «перечень» относятся либо к типовым отраслевым перечням, либо к перечню показателей критериев значимости.
| Этап | Как было до ПП-1281 | Как сейчас |
|---|
| Начало работы | составить и утвердить перечень объектов, подлежащих категорированию | выявить объекты, соответствующие типовым отраслевым (п. 5 «а», п. 14 «а») |
| Срок категорирования | не более одного года со дня утверждения перечня (п. 15) | предельного срока в Правилах нет |
| Что уходит во ФСТЭК | сведения о результатах категорирования по форме приказа ФСТЭК № 236 — и до, и после изменений |
⚠️ Отмена нормы не означает, что перечень бесполезен. Правила больше не требуют его как документ, но без внятного списка систем комиссия не сможет показать, что ничего не пропустила, а территориальный орган ФСТЭК при проверке сверяет заявленный состав объектов с реальной архитектурой.
Кто должен выявлять объекты КИИ
Составить перечень и провести категорирование КИИ
Кредо-С — лицензиат ФСТЭК России. Проводим инвентаризацию, помогаем собрать комиссию и подготовить документы для ФСТЭК.
Обязанности составлять перечень объектов в Правилах категорирования больше нет (ПП-1281). Выявлять свои объекты по перечням типовых отраслевых объектов должны субъекты КИИ — государственные органы, государственные учреждения и российские юридические лица, которым принадлежат объекты КИИ в следующих сферах (187-ФЗ ст. 2):
- здравоохранение, наука, транспорт, связь, энергетика;
- государственная регистрация прав на недвижимое имущество и сделок с ним;
- банковская и иные сферы финансового рынка;
- топливно-энергетический комплекс, атомная энергия;
- оборонная, ракетно-космическая, горнодобывающая, металлургическая, химическая промышленности.
Субъектами КИИ являются и российские юридические лица, которые обеспечивают взаимодействие таких систем или сетей. Индивидуальные предприниматели с 1 сентября 2025 года субъектами КИИ не являются (58-ФЗ). Форма собственности значения не имеет. Государственные, муниципальные и коммерческие организации — под одинаковыми требованиями.
Что включать в перечень объектов КИИ
Комиссия выявляет процессы субъекта и определяет, какие ИС, ИТКС и АСУ их обеспечивают. В перечень включают:
- АСУ технологическими процессами (АСУ ТП) — производственные, энергетические, транспортные, в том числе диспетчерские системы и SCADA.
- Корпоративные ИС, обеспечивающие управленческие и финансово-экономические процессы, если их нарушение или остановка критична.
- Телекоммуникационные сети — корпоративные сети, каналы между площадками, операторские сети (для субъектов из сферы связи).
- Смежные системы: СКУД, инженерная инфраструктура с цифровым управлением (электроснабжение, вентиляция), системы видеонаблюдения в технологических зонах.
Смежные системы пропускают чаще всего. ФСТЭК при надзорной проверке сравнивает перечень с реальной архитектурой — и фиксирует расхождения как нарушение.
Как оформить перечень
Единой утверждённой формы нет. Как правило, оформляют таблицей:
| Поле | Что указать |
|---|
| Наименование объекта КИИ | Полное официальное название ИС / ИТКС / АСУ |
| Тип объекта | ИС / ИТКС / АСУ |
| Сфера деятельности | Из перечня ст. 2 187-ФЗ |
| Критический процесс | Процесс субъекта, который объект обеспечивает |
| Подразделение-владелец | Ответственное структурное подразделение |
| Взаимодействие | Связанные объекты КИИ, в том числе других субъектов |
Утверждать перечень объектов Правила больше не требуют: пункт 15 и подпункты «б–в» пункта 14, которые его регулировали, утратили силу. Если организация ведёт перечень как рабочий документ, ориентир для его состава задают перечни типовых отраслевых объектов КИИ: их устанавливает Правительство (187-ФЗ ст. 6 ч. 2 п. 4 в редакции 58-ФЗ), единый перечень утверждён распоряжением от 26.02.2026 № 360-р. С ноября 2025 года комиссия прямо обязана выявлять объекты, соответствующие типовым (ПП-127 п. 14 «а» Правил).
В какой срок направить во ФСТЭК сведения о результатах категорирования?
Срок — 10 рабочих дней со дня утверждения акта категорирования (п. 17 Правил категорирования, ПП-127; ч. 5 ст. 7 187-ФЗ). Во ФСТЭК России направляют не сам перечень объектов КИИ, а сведения о результатах категорирования: перечень объектов, присвоенные категории значимости и результаты оценки по критериям.
Для незначимых объектов сведения тоже направляют — с обоснованием отсутствия категории. Сведения оформляют по форме, утверждённой приказом ФСТЭК России № 236 (в редакции от 11.07.2025 № 247). В них указывают и доменные имена и сетевые адреса объекта, если он взаимодействует с сетями электросвязи общего пользования, в том числе с интернетом (пп. «к» п. 17 Правил).
О полном порядке категорирования — в пошаговой инструкции по категорированию объектов КИИ.
Кем формируется и ведётся реестр значимых объектов КИИ?
Реестр значимых объектов КИИ формирует и ведёт ФСТЭК России — так установлено ч. 1 ст. 8 187-ФЗ. Попасть в реестр «по заявлению» нельзя: ФСТЭК вносит объект сама, после проверки сведений о категорировании. Пока записи в реестре нет, объект формально не считается значимым — даже если комиссия уже присвоила ему категорию.
Единого публичного «реестра объектов КИИ» при этом не существует: государственный учёт ведётся только по значимым объектам, а полный перечень своих объектов каждый субъект ведёт сам как рабочий документ.
Как объект попадает в реестр:
- субъект направляет во ФСТЭК сведения о результатах категорирования: закон отводит десятидневный срок со дня принятия решения (ч. 5 ст. 7 187-ФЗ), Правила категорирования — 10 рабочих дней со дня утверждения акта (п. 17 ПП-127);
- ФСТЭК в тридцатидневный срок проверяет порядок категорирования и правильность категории, с сентября 2025 года — ещё и соответствие типовым отраслевым перечням и отраслевым особенностям (ч. 6 ст. 7 в ред. 58-ФЗ);
- если нарушений нет, сведения о значимом объекте вносятся в реестр, объекту присваивается регистрационный номер.
Какие сведения не предоставляются в реестр значимых объектов КИИ?
В реестр не включаются акты категорирования целиком, модели угроз и проектная документация на систему безопасности — они остаются у субъекта КИИ и предъявляются регулятору при проверках. Перечень сведений реестра закрытый, семь групп (ч. 1 ст. 8 187-ФЗ, п. 5 Порядка, утверждённого приказом ФСТЭК № 227 от 06.12.2017, ред. от 17.07.2025):
- сведения о самом объекте — наименование, доменное имя и сетевой адрес;
- наименование субъекта КИИ;
- сведения о взаимодействии объекта с сетями электросвязи;
- лицо, эксплуатирующее объект;
- присвоенная категория значимости;
- программные и программно-аппаратные средства объекта;
- меры, применяемые для обеспечения безопасности объекта.
Сведения из реестра ФСТЭК передаёт в ГосСОПКА (ч. 2 ст. 8 187-ФЗ).
Регистрационный номер и жизнь записи в реестре
Каждому объекту в реестре присваивается номер вида ХХХХХХ/Х/ХХ/Х: порядковый номер, федеральный округ, сфера деятельности (от здравоохранения до ТЭК), тип объекта — информационная система, АСУ или сеть (п. 6 Порядка № 227). При изменении сведений номер сохраняется (п. 9).
Внесением в реестр история не заканчивается:
- изменились сведения из п. 17 Правил категорирования — адрес, состав ПО, меры защиты — субъект направляет обновление не позднее 20 рабочих дней со дня изменения (п. 8 Порядка № 227);
- объект перестал соответствовать критериям значимости или по итогам пересмотра утратил категорию — субъект сообщает об этом во ФСТЭК, и объект исключается из реестра (ч. 3 ст. 8 187-ФЗ, п. 10 Порядка № 227);
- изменения в реестр вносятся только на основе сведений от самого субъекта: молчание оборачивается устаревшей записью и вопросами при проверке.
Чем значимый объект отличается от «просто» объекта КИИ и как присваивается категория — разобрали в статье «ЗОКИИ, субъекты и объекты КИИ».
Когда обновлять перечень
Перечень актуализируют при вводе новых ИС, ИТКС или АСУ, при существенном изменении архитектуры действующих объектов, при выходе обновлённых типовых отраслевых перечней. И в любом случае — не реже одного раза в 5 лет (ПП-127 п. 21 Правил).
После актуализации перечня необходимо повторно оценить значимость изменившихся объектов и направить обновлённые сведения во ФСТЭК.
Перечень объектов КИИ и всё, что за ним следует
Перечень — точка входа. Дальше:
- комиссия проводит категорирование и присваивает категории значимости;
- субъект направляет сведения во ФСТЭК — значимые объекты вносятся в реестр;
- создаётся система безопасности значимых объектов КИИ (приказ ФСТЭК №235, ред. от 20.04.2023);
- реализуются меры защиты по категории (приказ ФСТЭК №239, ред. от 28.08.2024);
- объекты подключаются к ГосСОПКА.
Ошибки в перечне на старте — неполный состав объектов, неверная классификация, пропущенные смежные системы — переходят в категорирование и фиксируются ФСТЭК при первой проверке. Подробнее о рисках и санкциях: «Ответственность за нарушение требований 187-ФЗ».
Помощь в составлении перечня и категорировании
Правильно составить перечень объектов КИИ требует одновременно знания 187-ФЗ и понимания реальной ИТ-архитектуры организации. Ошибки на этом этапе дорого обходятся позже.
«Кредо-С» проводит категорирование объектов КИИ под ключ: инвентаризация и составление перечня, работа комиссии, оформление актов, направление сведений во ФСТЭК. Обзор КИИ и всей системы защиты — в материале «Критическая информационная инфраструктура».
Что делать после категорирования
Категорирование — первый этап, но не финальный. Если хотя бы один объект получил категорию значимости (1, 2 или 3), начинается второй цикл работ — построение системы безопасности значимых объектов КИИ.
Нормативная цепочка после категорирования
| Приказ ФСТЭК | Что регулирует |
|---|
| № 235 | Требования к организации системы безопасности: кто отвечает, как устроена служба ИБ |
| № 239 (ред. 28.08.2024) | Состав мер защиты для значимых объектов — от контроля доступа до защиты от DDoS |
| № 236 | Как оформить и направить сведения о категорировании во ФСТЭК |
Срок направления сведений во ФСТЭК — 10 рабочих дней со дня утверждения акта категорирования. ФСТЭК проверяет в течение 30 дней и вправе вернуть на пересмотр.
Все субъекты КИИ обязаны информировать НКЦКИ об инцидентах вне зависимости от категории объектов. Для значимых — дополнительно интеграция с технической инфраструктурой ГосСОПКА.
Кредо-С проводит полный цикл: от инвентаризации и категорирования до разработки ОРД и внедрения мер по Приказу № 239. Узнать об услуге защиты объектов КИИ →
