План реагирования на компьютерные инциденты — внутренний документ организации, который заранее определяет, кто и как действует при кибератаке: как инцидент обнаружить, локализовать, устранить последствия и в какие сроки сообщить в ГосСОПКА. Ниже — кто обязан его иметь, что о нём говорит приказ ФСБ России № 547, из чего складывается документ на практике и готовый заполняемый шаблон.
Если у организации есть полис от киберрисков, в плане появляется ещё один срок — уведомить страховщика. В открытых правилах он разный, от 48 часов до трёх рабочих дней, а его пропуск называют самой частой формальной причиной отказа в выплате: что покрывает и не покрывает киберстраховка.
Кто обязан иметь план реагирования
Обязанность возникает по нескольким основаниям:
Субъекты КИИ, которым принадлежат значимые объекты. Разрабатывают план в течение 90 календарных дней со дня включения объекта в реестр значимых, утверждают его и направляют копию в НКЦКИ — основание: п. 3 ч. 3 ст. 9 187-ФЗ и пп. 5–6 Порядка, утверждённого приказом ФСБ России от 25.12.2025 № 547. Полная карта обязанностей субъекта — в разборе требований 187-ФЗ.
Операторы государственных информационных систем. С 1 сентября 2026 года обязаны взаимодействовать с ГосСОПКА, включая информирование об инцидентах — разбор 568-ФЗ.
Операторы персональных данных. При утечке уведомляют Роскомнадзор в течение 24 часов о факте и 72 часов о результатах расследования (ч. 3.1 ст. 21 152-ФЗ), а также информируют НКЦКИ — порядок уведомления при утечке.
Формально документ под названием «план реагирования» приказ № 547 требует именно от субъектов КИИ со значимыми объектами. Госорганам, госучреждениям, ГУП, госфондам, госкорпорациям и компаниям под контролем государства (ч. 4 ст. 9 187-ФЗ) тот же Порядок велит по своим информационным ресурсам определить ответственных, очерёдность ресурсов и меры восстановления и направить эти сведения в НКЦКИ (п. 16) — по сути, ядро плана. Остальным он нужен не по букве, а по существу: уложиться в 24 часа без заранее описанного порядка действий практически невозможно.
Что о плане говорит приказ ФСБ № 547
Порядок, утверждённый приказом, задаёт и обязательное содержание плана, и процедуру вокруг него:
план разрабатывается в течение 90 календарных дней со дня включения объекта в реестр значимых объектов КИИ и должен содержать технические характеристики и состав значимых объектов, события, при которых начинаются мероприятия плана, сами мероприятия и время на них, состав ответственных подразделений и должностных лиц (п. 5);
в план могут включаться условия привлечения подразделений и должностных лиц ФСБ к реагированию и порядок совместных мероприятий (п. 7);
если такие условия в плане есть, проект разрабатывается при методическом обеспечении НКЦКИ и до утверждения согласуется с Центром защиты информации и специальной связи ФСБ России, срок рассмотрения — до 30 календарных дней (п. 8);
субъекты банковской и финансовой сферы согласуют проект плана с Банком России в любом случае, тоже до 30 календарных дней, а при условиях привлечения ФСБ — после согласования с ней (п. 9);
план утверждает руководитель субъекта, копия направляется в НКЦКИ в течение 7 календарных дней со дня утверждения (п. 6);
субъект не реже одного раза в год проводит тренировки по отработке мероприятий плана; если тренировка выявила недостатки, в план вносят изменения (п. 10).
Отсюда практический вывод: план — не документ «для галочки в папке». У него обязательный состав и срок разработки, копия лежит в НКЦКИ, его ежегодно проверяют тренировкой, а при условиях привлечения ФСБ и в финансовой сфере он ещё и проходит внешнее согласование.
Из чего складывается документ на практике
Обязательные сведения Порядок перечисляет (п. 5), а разбивку на разделы оставляет организации. На практике план строят из восьми блоков, и сведения по п. 5, включая технические характеристики и состав значимых объектов, должны найтись в одном из них:
Раздел
Назначение
Форма-приложение
1. Титульный лист и гриф утверждения
Кто и когда утвердил документ
—
2. Термины и определения
Что считается инцидентом и атакой в этой организации
—
3. Группа реагирования
Роли, зоны ответственности, контакты, дежурство
Таблица состава группы
4. Классификация инцидентов
Категории и критичность — от них зависят сроки и адресаты
Матрица категорий
5. Фазы реагирования
Обнаружение → локализация → устранение → восстановление → постанализ
Чек-лист по фазам
6. Взаимодействие с ГосСОПКА
Кто, куда и в какие сроки сообщает
Карточка инцидента
7. Тренировки
Периодичность, сценарии, порядок корректировки плана
Протокол тренировки
8. Приложения
Рабочие формы для повседневного использования
Журнал учёта, лист ознакомления
Готовый шаблон плана реагирования
Заполняемый документ на 13 страниц: титульный лист с грифом утверждения, состав группы реагирования, классификация инцидентов, фазы реагирования, сроки информирования НКЦКИ и приложения — карточка инцидента, журнал учёта, лист ознакомления. Нормативный каркас — приказ ФСБ России № 547.
Заполняемый шаблон на 13 страниц по нормативному каркасу приказа ФСБ России № 547 — останется внести данные вашей организации.
Титульный лист с грифом утверждения и состав группы реагирования
Классификация инцидентов и фазы реагирования
Сроки информирования НКЦКИ, вокруг которых строится порядок действий
Приложения: карточка инцидента, журнал учёта, лист ознакомления
Бесплатный материал
Шаблон плана реагирования на компьютерные инциденты
PDF457 КБссылка придёт на почту
Сроки информирования: что план должен обеспечить
Именно сроки делают план практическим документом, а не декларацией. По Порядку, утверждённому приказом ФСБ России № 547, в НКЦКИ сообщают:
об инциденте на значимом объекте КИИ — не позднее 3 часов с момента обнаружения;
об инциденте на иных объектах КИИ и на информационных ресурсах органов и организаций — не позднее 24 часов;
о результатах реагирования и ликвидации последствий на значимых объектах КИИ — не позднее 48 часов после завершения этих мероприятий (п. 14); органы и организации по своим информационным ресурсам — в течение 24 часов (пп. 15, 17).
Для утечки персональных данных действуют отдельные сроки: Роскомнадзор — 24 часа о факте и 72 часа о результатах внутреннего расследования. Развёрнутый порядок взаимодействия и пакет приказов ФСБ разобраны в материале о взаимодействии с НКЦКИ.
Три часа — это срок для первичного сообщения, а не для полного разбирательства. Уложиться в него можно только если инцидент кто-то увидел: ночью, в выходной, в отпуск ответственного. Поэтому в реальности план всегда идёт в паре с мониторингом событий ИБ.
Ответственность
Прямой санкции «за отсутствие плана» в законе нет. Но план — часть требований к безопасности КИИ и к порядку реагирования, а за их нарушение отвечает статья 13.12.1 КоАП РФ: по ч. 2 (нарушение порядка информирования об инцидентах и реагирования на значимых объектах КИИ) для юридических лиц — от 100 до 500 тыс. рублей, для должностных — от 10 до 50 тыс.; по ч. 1 (нарушение требований к обеспечению безопасности значимых объектов) — от 50 до 100 тыс. для юрлиц. Смежный состав — ст. 19.7.15 КоАП за непредставление сведений в ГосСОПКА.
Что делает «Кредо-С»
«Кредо-С» — лицензиат ФСТЭК и ФСБ России, корпоративный центр ГосСОПКА класса «Б». Помогаем пройти путь целиком: разработать и согласовать план, настроить взаимодействие с ГосСОПКА и обеспечить круглосуточный мониторинг, без которого сроки 3 и 24 часа остаются на бумаге.
Для субъектов КИИ, которым принадлежат значимые объекты, — да. По Порядку, утверждённому приказом ФСБ России № 547, план разрабатывают в течение 90 календарных дней со дня включения объекта в реестр значимых, утверждает его руководитель, а копию направляют в НКЦКИ в течение 7 календарных дней со дня утверждения (пп. 5–6). Согласование с ФСБ нужно, если в план включены условия привлечения её подразделений (пп. 7–8); в банковской и финансовой сфере проект согласуют с Банком России (п. 9).
Нужен ли план оператору ГИС или оператору персональных данных?
Формально план реагирования требуется от субъектов КИИ со значимыми объектами (п. 5 Порядка, утверждённого приказом № 547). Госорганы, госучреждения, ГУП, госфонды, госкорпорации и компании под контролем государства по своим информационным ресурсам по тому же Порядку обязаны определить ответственных, очерёдность ресурсов и меры восстановления и направить эти сведения в НКЦКИ (п. 16). Операторы ГИС с 01.09.2026 обязаны взаимодействовать с ГосСОПКА, а операторы ПДн — уведомлять об утечках в 24 и 72 часа. Уложиться в такие сроки без заранее описанного порядка действий на практике не получается.
Как часто нужно проводить тренировки?
Не реже одного раза в год: субъект КИИ, которому принадлежат значимые объекты, организует и проводит тренировки по отработке мероприятий плана, а по их результатам план корректируется — так установлено приказом ФСБ России № 547.
Сколько времени занимает согласование плана с ФСБ?
До 30 календарных дней. Согласование с Центром защиты информации и специальной связи ФСБ России нужно, если в план включены условия привлечения подразделений ФСБ (пп. 7–8 Порядка, утверждённого приказом № 547). Субъекты банковской и финансовой сферы согласуют проект с Банком России — тоже до 30 календарных дней, а при условиях привлечения ФСБ — после согласования с ней (п. 9).
Что грозит за нарушение требований к реагированию?
Статья 13.12.1 КоАП РФ: по ч. 2 — нарушение порядка информирования об инцидентах и реагирования на значимых объектах КИИ — для юридических лиц от 100 до 500 тыс. рублей. Смежный состав — ст. 19.7.15 КоАП за непредставление сведений в ГосСОПКА.
