Выполните требования 187-ФЗ: от категорирования объектов до мониторинга ЗОКИИ

КИИ — это информационные системы, сети и АСУ ТП в стратегически значимых сферах. Если ваши системы относятся к КИИ, закон 187-ФЗ обязывает провести категорирование объектов и защитить значимые из них. Разбираем, что такое КИИ и ЗОКИИ, кто субъект и с чего начать — и проводим работы под ключ.

Получить консультацию по КИИ
на рынке с 1993 года· лицензии ФСТЭК и ФСБ· 50+ проектов по защите КИИ· корпоративный центр ГосСОПКА класса «Б»

Коротко: что требует 187-ФЗ

Если организации принадлежат информационные системы, сети или АСУ, работающие в одной из 14 сфер закона, — она субъект КИИ. Обязанностей четыре: выявить объекты по перечню типовых отраслевых объектов → провести категорирование комиссией → направить сведения во ФСТЭК → защитить значимые объекты и подключиться к ГосСОПКА. Категорирование проверяется первым и выявляется проще всего — с него начинают. Что такое КИИ простыми словами — в базовом разборе, здесь — что делать и в каком порядке.

Кто такой субъект КИИ и что относится к объектам КИИ

Субъекты КИИ — это государственные органы, государственные учреждения и российские юридические лица, которым принадлежат информационные системы, сети или АСУ в сферах из статьи 2 187-ФЗ, а также российские юридические лица, обеспечивающие взаимодействие таких систем или сетей. Сферы:

  • здравоохранение
  • наука
  • транспорт
  • связь
  • энергетика
  • государственная регистрация прав на недвижимость
  • банковская и финансовая сфера
  • топливно-энергетический комплекс
  • область атомной энергии
  • оборонная промышленность
  • ракетно-космическая отрасль
  • горнодобывающая промышленность
  • металлургическая промышленность
  • химическая промышленность

Объекты критической информационной инфраструктуры — это ИС, сети и АСУ ТП субъекта. Один субъект КИИ владеет, как правило, несколькими объектами. Первый шаг — выявить свои объекты КИИ по перечню типовых отраслевых объектов (нужен ли перечень и что направить во ФСТЭК). Разбор понятий «субъект» и «объект» с примерами — в отдельной статье; отраслевая специфика: КИИ промышленных предприятий и АСУ ТП, КИИ в здравоохранении.

Значимые объекты КИИ (ЗОКИИ) и категории значимости

По итогам категорирования объекту присваивают одну из трёх категорий значимости либо фиксируют её отсутствие. Объекты с присвоенной категорией — это значимые объекты КИИ (ЗОКИИ), и именно они подлежат усиленной защите.

Категория значимостиУровеньЧто означает
1 категорияВысшаяМаксимальные последствия инцидента — усиленные требования к защите
2 категорияСредняяСущественные последствия
3 категорияНизшаяОграниченные последствия
Без категории—Объект КИИ, не отнесённый к значимым

Категорию определяют по показателям критериев значимости: социальная, политическая, экономическая, экологическая значимость и значимость для обороны, безопасности и правопорядка. Объекты сверяют с перечнем типовых отраслевых объектов КИИ — его утверждает Правительство РФ (распоряжение от 26.02.2026 № 360-р).

Обязанности субъекта КИИ: этапы и результат

Закон требует от субъекта КИИ четыре вещи: провести категорирование объектов, направить сведения во ФСТЭК России, обеспечить безопасность значимых объектов и подключиться к ГосСОПКА. Каждый этап заканчивается конкретным документом — по нему регулятор и проверяет исполнение.

ЭтапЧто делает субъектНормаИтоговый документ
1. Выявление объектовИнвентаризация ИС, сетей, АСУ ТП; сверка с перечнем типовых отраслевых объектовПП № 127 (п. 5 «а»), распоряжение № 360-рСписок объектов для категорирования (во ФСТЭК не направляется)
2. КатегорированиеКомиссия оценивает объекты по критериям значимостиПП № 127Акт категорирования по каждому объекту
3. Сведения во ФСТЭКНаправление результатов категорирования187-ФЗ ст. 7Уведомление с отметкой регулятора
4. Система безопасности ЗОКИИПроектирование и внедрение мер защиты значимых объектовприказы ФСТЭК № 235, № 239Система безопасности, ОРД, результаты испытаний
5. ГосСОПКАОрганизация взаимодействия с НКЦКИ, передача данных об инцидентах187-ФЗ ст. 9Настроенный канал взаимодействия, регламент реагирования
6. ПоддержаниеМониторинг, пересмотр категорий при измененияхПП № 127Актуальные акты категорирования

Пошаговый разбор процедуры категорирования — в отдельной инструкции. Требования ФСТЭК к защите объектов — в разборе для предприятий.

Подключение к ГосСОПКА: сроки уведомлений

Субъекты КИИ обязаны информировать НКЦКИ о компьютерных инцидентах: не позднее 24 часов с момента обнаружения, а по значимым объектам — не позднее 3 часов (приказ ФСБ России № 547 от 25.12.2025). Уложиться в эти сроки без выстроенного мониторинга невозможно — инцидент нужно сначала увидеть.

«Кредо-С» — корпоративный центр ГосСОПКА класса «Б»: настраиваем взаимодействие субъекта с НКЦКИ в рамках зоны ответственности, мониторим события дежурной сменой и готовим карточку инцидента. С 1 сентября 2026 года обязанность взаимодействия с ГосСОПКА распространяется и на операторов ГИС — разбор 568-ФЗ.

Ответственность за нарушение 187-ФЗ

НарушениеНормаОтветственность
Нарушение требований к системам безопасности и защите значимых объектовКоАП РФ ст. 13.12.1Административная
Непредставление сведений во ФСТЭК / ГосСОПКАКоАП РФ ст. 19.7.15Административная
Нарушение правил эксплуатации ЗОКИИ, повлёкшее вредУК РФ ст. 274.1Уголовная

Составы, размеры санкций и практику разбираем отдельно: ответственность за нарушение требований 187-ФЗ. Категорирование проверяется первым и выявляется легко — с него и начинают.

Этапы работы с КИИ: от категорирования до защиты

  1. Инвентаризация и определение объектов КИИ
  2. Категорирование объектов КИИ и присвоение категорий значимости
  3. Направление сведений о результатах во ФСТЭК России
  4. Проектирование и построение системы безопасности значимых объектов (приказы № 235, № 239)
  5. Аттестация объектов — при необходимости
  6. Непрерывный мониторинг и подключение к ГосСОПКА

Услуги «Кредо-С» по КИИ

Категорирование объектов КИИ С чего начинают: выявим объекты, определим категории значимости, подготовим перечень и акты категорирования. Перейти к услуге Защита значимых объектов Построим систему безопасности ЗОКИИ по приказам ФСТЭК № 235 и № 239. Подробнее Защита АСУ ТП Промышленные системы управления — частый объект КИИ. Защита по требованиям ФСТЭК. Подробнее Мониторинг и реагирование (SOC) Непрерывный мониторинг значимых объектов и взаимодействие с ГосСОПКА. Подробнее Аттестация информационных систем Оценка соответствия требованиям безопасности информации. Подробнее

С чего начать субъекту КИИ

С категорирования объектов. Оставьте заявку — проведём бесплатную консультацию по КИИ и предложим план работ. «Кредо-С» работает на рынке с 1993 года, лицензии ФСТЭК России и ФСБ России, сопровождаем субъектов КИИ по всей стране.

Получить бесплатную консультацию

Стоимость выполнения требований 187-ФЗ по КИИ

Цена зависит от числа объектов КИИ, наличия среди них значимых и того, что уже сделано: категорирование, модель угроз, меры защиты. Комплексный проект по 187-ФЗ — от 380 000 руб.; отдельное категорирование дешевле. Расчёт по вашей инфраструктуре — за 1 рабочий день.

от 380 000 ₽

(за проект)
Запросить расчёт

Часто задаваемые вопросы

Кто относится к субъектам КИИ?
Государственные органы, государственные учреждения и российские юридические лица, которым принадлежат информационные системы, сети или АСУ, работающие в сферах из статьи 2 187-ФЗ: здравоохранение, наука, транспорт, связь, энергетика, государственная регистрация прав на недвижимое имущество, банковская и иная финансовая сфера, ТЭК, область атомной энергии, оборонная, ракетно-космическая, горнодобывающая, металлургическая и химическая промышленность. Субъектами КИИ являются и российские юридические лица, которые обеспечивают взаимодействие таких систем или сетей.
Чем категорирование объектов КИИ отличается от защиты?
Категорирование определяет, какие объекты значимы и какой они категории. Защита — это построение системы безопасности уже для значимых объектов (ЗОКИИ). Сначала категорирование, затем защита.
Что грозит за невыполнение требований 187-ФЗ?
Административная ответственность по КоАП РФ, а за нарушение правил эксплуатации значимых объектов, повлёкшее вред, — уголовная по статье 274.1 УК РФ.
Нужен ли мониторинг значимых объектов КИИ?
Да. Для ЗОКИИ требуется обнаружение и реагирование на компьютерные инциденты и взаимодействие с ГосСОПКА — это закрывает услуга мониторинга (SOC).
Сколько занимает категорирование объектов КИИ?
Сроки зависят от числа объектов и состояния исходных данных. Точный план и расчёт подготовим после бесплатной консультации.
С чего начать субъекту КИИ?
С категорирования объектов. Оставьте заявку — проведём бесплатную консультацию по КИИ и предложим план работ.
Реализованные проекты
Рассмотрите также наши другие услуги
Антивирусная защита Защита мобильных устройств Анализ защищенности информационных систем Защита от несанкционированного доступа Защита среды виртуализации Комплексный аудит Криптографическая защита информации Защита АСУ ТП Мониторинг событий ИБ Пентест (Pentest) DevSecOps: безопасная разработка Каталог готовых решений Защита удалённых рабочих мест Центр мониторинга Категорирование объектов КИИ Аудит по ГОСТ 57580 Критическая информационная инфраструктура (КИИ): категорирование и защита объектов Внедрение SIEM Подключение к ГосСОПКА Аудит безопасности ИИ-систем, LLM-приложений и ИИ-агентов Харденинг ИТ-инфраструктуры и серверов Внешняя оценка уровня зрелости ИБ КИИ в облаке: соответствие требованиям и аттестация системы заказчика Внедрение DLP-системы

Отправить заявку на сотрудничество

Ваше имя:*
Телефон:*
E-mail:*
Опишите вашу задачу:

Я соглашаюсь на обработку персональных данных

Хочу получать новости и полезные материалы на email - необязательно

Условия сотрудничества

Закупки по 44-ФЗ и 223-ФЗПоставки и услуги для государственных и корпоративных заказчиков, участие в конкурсных процедурах.
ЭДО и постоплатаЭлектронный документооборот, закрывающие по этапам работ, отсрочка платежа по договору.
SLA с ответственностью исполнителяСроки, параметры сервиса и зоны ответственности закреплены договором, регулярная отчётность.
Лицензии ФСТЭК России и NDAРаботы по защите информации – легально: опыт с КИИ, ГИС и ИСПДн, соглашение о неразглашении.

ООО «КРЕДО-С» · ИНН 7106014366 · КПП 710601001 · ОГРН 1027100747596 · на рынке с 1993 года · 300034, г. Тула, ул. Демонстрации, 27 · офисы: Тула, Москва

+7 (495) 225-60-59 Системный интегратор в сфере ИТ и ИБ. На рынке с 1993 года

Услуги и решения

Компания

Контакты

+7 (495) 225-60-59 credos@credos.ru

300034, г. Тула, ул. Демонстрации, 27
офисы: Тула, Москва

Оставить заявку Заказать звонок

ООО «КРЕДО-С»ИНН 7106014366КПП 710601001ОГРН 1027100747596300034, г. Тула, ул. Демонстрации, 27офисы: Тула, Москвана рынке с 1993 года