ЗОКИИ расшифровывается как «значимый объект критической информационной инфраструктуры». За аббревиатурой стоит практический вопрос, который сегодня встаёт перед тысячами российских организаций: попадает ли ваша компания под 187-ФЗ, какие из ваших систем – объекты КИИ и что закон требует делать дальше. Цена ошибки конкретна: штраф за нарушение сроков категорирования, предписание ФСТЭК, а для значимых объектов – обязательная система безопасности.
Разбираем три ключевых термина закона – субъект КИИ, объект КИИ и ЗОКИИ, показываем, как за 15 минут оценить, касается ли это вас, и что делать, если касается.
Три термина, в которых путаются: субъект, объект, ЗОКИИ
| Термин | Что это (по ст. 2 187-ФЗ) | Пример |
|---|
| Субъект КИИ | Организация: госорган, госучреждение или российское юрлицо, которому принадлежат ИС, сети или АСУ, работающие в одной из сфер из закона | Больница, банк, энергосбытовая компания, металлургический завод |
| Объект КИИ | Конкретная система: информационная система, информационно-телекоммуникационная сеть или АСУ субъекта КИИ | МИС больницы, АБС банка, АСУ ТП котельной |
| ЗОКИИ | Значимый объект КИИ: объект, которому по результатам категорирования присвоена категория значимости и который включён в реестр ФСТЭК России | АСУ ТП электростанции с 1-й категорией значимости |
Логика закона: сначала организация определяет, субъект ли она, затем составляет перечень своих объектов КИИ, затем категорирует каждый объект. Категория присвоена и объект внесён в реестр – он стал ЗОКИИ, и для него включаются требования приказов ФСТЭК № 235 и № 239. Категории не присвоено – объект остаётся «просто» объектом КИИ, но обязанности у субъекта всё равно есть: как минимум сообщать об инцидентах в ГосСОПКА.
Как понять, субъект ли вы КИИ
Статья 2 187-ФЗ называет сферы, работа систем в которых делает организацию субъектом КИИ:
- здравоохранение;
- наука, транспорт, связь;
- энергетика и топливно-энергетический комплекс;
- банковская сфера и иные сферы финансового рынка;
- атомная энергия, оборонная, ракетно-космическая промышленность;
- горнодобывающая, металлургическая, химическая промышленность;
- государственная регистрация прав на недвижимость;
- а также организации, которые обеспечивают взаимодействие систем и сетей КИИ.
Два момента, на которых ошибаются чаще всего. Первый: субъектность определяется не основным ОКВЭД, а тем, в какой сфере функционируют ваши системы. Транспортная компания с собственной ИС управления перевозками – субъект КИИ, даже если перевозки для неё вспомогательный бизнес. Второй: форма владения не важна – системы могут принадлежать на праве собственности, аренды или ином законном основании. Арендованная АСУ – тоже ваша зона ответственности.
Реформа 187-ФЗ (закон № 58-ФЗ от 07.04.2025) ввела перечни типовых отраслевых объектов КИИ и отраслевые особенности категорирования. Ориентироваться стало проще, а «спрятаться» – сложнее: типовые перечни прямо называют, какие системы в отрасли считаются объектами.
Категорирование: как объект становится ЗОКИИ
Порядок задан постановлением Правительства № 127:
- Создать комиссию по категорированию. Постоянно действующую, решением руководителя (п. 11 Правил). В неё входят специалисты по ИБ, ИТ, профильные специалисты и, при необходимости, представители отраслевых регуляторов.
- Выявить объекты КИИ. Комиссия определяет системы, соответствующие перечням типовых отраслевых объектов КИИ (п. 3 и п. 12 Правил): после реформы 58-ФЗ отправная точка – именно типовые перечни по вашей отрасли.
- Оценить каждый объект по критериям значимости. Критериев пять (ч. 2 ст. 7 187-ФЗ): социальная, политическая, экономическая, экологическая значимость и значимость для обороны, безопасности государства и правопорядка – от числа пострадавших людей до ущерба бюджету и воздействия на окружающую среду. Категория присваивается по наивысшему значению показателя (п. 6 Правил).
- Оформить акт категорирования (п. 16 Правил) и в десятидневный срок направить сведения во ФСТЭК (ч. 5 ст. 7 187-ФЗ).
- ФСТЭК проверяет сведения в тридцатидневный срок (ч. 6 ст. 7 в редакции 58-ФЗ) и вносит объект в реестр значимых объектов КИИ.
Категорий значимости три: первая – самая высокая, третья – самая низкая (п. 7 Правил). Возможен и результат «категория не присваивается»: объект не становится ЗОКИИ. Но такое решение тоже оформляется актом и направляется во ФСТЭК. «Мы посчитали, что значимого у нас нет» без акта – не позиция, а нарушение порядка.
Категорирование – не разовая акция. Пересмотр категорий проводится не реже одного раза в 5 лет, а также при изменении показателей критериев или отраслевых особенностей (п. 21 Правил).
Что обязан делать субъект КИИ
Любой субъект КИИ, даже без значимых объектов:
- провести категорирование всех объектов КИИ и направить сведения во ФСТЭК;
- сообщать о компьютерных инцидентах в ГосСОПКА;
- содействовать ФСБ России в обнаружении и предупреждении атак.
Субъект со значимыми объектами (ЗОКИИ) – дополнительно:
- создать систему безопасности значимых объектов по приказу ФСТЭК № 235: организационная структура, силы, средства, документы;
- выполнить технические требования приказа ФСТЭК № 239: от анализа угроз и модели угроз до подсистемы безопасности с испытаниями и приёмкой;
- реагировать на инциденты и выполнять предписания регуляторов.
За непредставление во ФСТЭК сведений о результатах категорирования для юрлиц предусмотрен штраф от 50 до 100 тысяч рублей (ч. 1 ст. 19.7.15 КоАП), за нарушение требований к безопасности значимых объектов – до 100 тысяч рублей по ч. 1 ст. 13.12.1 КоАП, а по «инцидентным» составам этой статьи – до 500 тысяч. Но дороже штрафов обычно обходится предписание: сроки на устранение нарушений ставит регулятор, а не вы.
Типичные ошибки при определении статуса
- «Мы не ИТ-компания, КИИ не про нас». Субъектность определяется сферой работы систем, а не отраслью бизнеса. Частная клиника с медицинской информационной системой – субъект КИИ в сфере здравоохранения.
- Перечень объектов «поуже», чтобы меньше категорировать. После 58-ФЗ типовые отраслевые перечни делают занижение видимым: регулятор сравнит ваш перечень с типовым.
- Все объекты «без категории» без обоснования. ФСТЭК проверяет правильность категорирования (ч. 6 ст. 7 187-ФЗ) и вправе вернуть материалы: занижение категории – самый частый повод.
- Категорирование сделали, про пересмотр забыли. Раз в 5 лет минимум, плюс при любых существенных изменениях объекта или критериев.
- АСУ ТП не посчитали объектом КИИ. Автоматизированные системы управления – прямо названный в ст. 2 187-ФЗ тип объекта, и именно для промышленных АСУ категории чаще всего оказываются высокими.
С чего начать: короткий план
- Сверьтесь со списком сфер из ст. 2 187-ФЗ и типовыми отраслевыми перечнями: есть ли у вас системы, работающие в этих сферах.
- Если да – вы субъект КИИ: создайте комиссию и выявите объекты по типовым отраслевым перечням.
- Проведите категорирование по ПП № 127 и направьте сведения во ФСТЭК в срок.
- Для значимых объектов – планируйте систему безопасности по приказам № 235 и № 239: это проект на месяцы, закладывайте бюджет заранее.
Кредо-С проводит категорирование объектов КИИ под ключ: от определения субъектности и перечня объектов до акта категорирования и передачи сведений во ФСТЭК, а дальше – построение системы безопасности значимых объектов. Лицензия ФСТЭК России на ТЗКИ, опыт в промышленности, энергетике и здравоохранении. Оставьте заявку – за один звонок оценим, субъект ли вы КИИ и какой объём работ вас ждёт.
Частые вопросы
ЗОКИИ – как расшифровывается?
Значимый объект критической информационной инфраструктуры. Это объект КИИ (информационная система, сеть или АСУ), которому комиссия субъекта присвоила одну из трёх категорий значимости и который ФСТЭК России включила в реестр значимых объектов. Пока категории и записи в реестре нет – объект не считается значимым, даже если работает в критичной сфере.
Чем субъект КИИ отличается от объекта КИИ?
Субъект – это организация (юрлицо или госорган), объект – конкретная система этой организации. У одного субъекта может быть десяток объектов КИИ: часть получит категории значимости и станет ЗОКИИ, часть – нет. Обязанности из 187-ФЗ несёт субъект, а требования приказов ФСТЭК № 235 и № 239 применяются к его значимым объектам.
Мы арендуем систему, а не владеем ею. Мы субъект КИИ?
Да, если система работает в сфере из ст. 2 187-ФЗ. Закон прямо называет право собственности, аренды или иное законное основание владения. Обязанности по категорированию и обеспечению безопасности несёт тот, кому система принадлежит на таком основании, а не разработчик и не хостинг-провайдер: передать статус субъекта КИИ по договору аутсорсинга нельзя.
Что будет, если не провести категорирование?
Непредставление сведений о результатах категорирования во ФСТЭК – штраф для юрлиц от 50 до 100 тысяч рублей (ч. 1 ст. 19.7.15 КоАП). Дальше – запрос или проверка регулятора и предписание с обязательными сроками. С учётом типовых отраслевых перечней после 58-ФЗ позиция «мы не знали, что мы субъект» перестала работать: регулятор видит отрасль и типовые объекты в ней.
Все ли объекты КИИ должны иметь категорию?
Нет. Комиссия оценивает каждый объект по критериям значимости, и часть объектов обоснованно не получает категорию – они остаются объектами КИИ без статуса значимых. Но само решение «категория не присваивается» оформляется актом и направляется во ФСТЭК: без акта отсутствие категории – это не решение, а нарушение порядка.
Сколько времени занимает категорирование?
Зависит от числа объектов и готовности исходных данных: обычно от двух-трёх месяцев на небольшую организацию до года на холдинг с филиалами. Самые трудоёмкие шаги – инвентаризация систем и оценка ущерба по критериям значимости. Комиссия при этом постоянная, а пересмотр категорий – не реже раза в 5 лет, так что процесс правильнее закладывать как регулярный.
