Как часто нужно пересматривать категорию значимости объекта КИИ?

Общий срок пересмотра — не реже одного раза в 5 лет, а также при изменении самих показателей критериев значимости или их пороговых значений. Для отдельных отраслей могут действовать более частые циклы: например, для банковской сферы и иных сфер финансового рынка отраслевые особенности категорирования вводят ежегодную отчётность об актуальном перечне значимых объектов.

SecRadar / Комплаенс / КИИ / Категорирование объектов КИИ

187-ФЗ · Комплаенс КИИ

Категорирование объектов КИИ: что это, кто обязан и как проходит в 2026 году

Q: Кто входит в комиссию по категорированию объектов КИИ?

Постоянно действующую комиссию создаёт сам субъект КИИ своим приказом. В типовой состав входят руководитель субъекта КИИ или уполномоченное им лицо как председатель, специалисты профильных технологических и производственных подразделений, специалисты по ИТ и связи, представитель подразделения информационной безопасности, при необходимости — специалист по защите гостайны и по гражданской обороне, а по решению руководителя — представители финансово-хозяйственных подразделений. Для организаций, подведомственных органу власти или госкорпорации, в согласовании может участвовать представитель профильного ведомства.

Q: Что если объектов КИИ нет — нужна ли отписка во ФСТЭК?

Формально организация из сфер 187-ФЗ обязана провести анализ своих систем, даже если по итогам объектов, подлежащих категорированию, не выявлено. Комиссия всё равно утверждает перечень с выводом об отсутствии таких объектов, и это решение направляется во ФСТЭК России в установленный срок. На практике это и есть та самая «отписка» — она фиксирует позицию организации перед регулятором и снижает риск претензий по статье 19.7.15 КоАП РФ или статье 274.1 УК РФ.

Q: Чем грозит отсутствие категорирования объекта КИИ?

Административная ответственность по статье 13.12.1 КоАП РФ за нарушение требований к безопасности значимых объектов и по статье 19.7.15 КоАП РФ за непредставление или искажение сведений о категорировании — штрафы для должностных лиц и юридических лиц по каждой статье. Отдельно и независимо от факта категорирования применяется статья 274.1 УК РФ за неправомерное воздействие на КИИ — она может грозить организации и её должностным лицам, даже если категорирование не проводилось вовсе, если система по факту относится к сферам 187-ФЗ и вред от инцидента причинён.

Q: Обязательно ли согласовывать перечень объектов КИИ с ФСТЭК?

Нет. Перечень объектов, подлежащих категорированию, утверждает сам субъект КИИ, а во ФСТЭК России его направляют — это не то же самое, что согласование. Отдельная процедура согласования нужна только субъектам КИИ, подведомственным государственному органу или госкорпорации: тогда перечень согласовывается с этим профильным ведомством, а не напрямую с ФСТЭК.

Q: Нужно ли заново категорировать объекты, если категорирование уже проведено раньше?

Да, по общей логике реформы. Если категорирование проводилось до вступления в силу постановления № 1762, субъект КИИ обязан актуализировать сведения об объектах с учётом единого перечня типовых объектов и отраслевых особенностей по мере их утверждения для соответствующей сферы. Конкретный дедлайн повторной актуализации для большинства отраслей на момент написания ещё не установлен и зависит от того, когда будут приняты отраслевые особенности для этой сферы.

Проверено экспертной редакцией SecRadar · по первоисточникам ФСТЭК / ФСБ / Банка России

Категорирование объектов КИИ — процедура из 187-ФЗ, по которой субъект критической информационной инфраструктуры присваивает своим информационным системам одну из трёх категорий значимости (либо устанавливает, что категория не нужна) и направляет эти сведения во ФСТЭК России. От присвоенной категории зависит набор обязательных мер защиты значимого объекта — от состава документации до требуемого класса средств защиты информации.

Экспертная редакция SecRadar · как мы проверяем факты → Обновлено 13 июля 2026 · ~12 мин чтения ✓ сверено с официальными текстами ПП-127, ПП-2360 и ПП-1762 (publication.pravo.gov.ru)

Кратко

Кто обязан: Субъекты КИИ из сфер 187-ФЗ — здравоохранение, транспорт, связь, энергетика, финансы, оборонная и другие сферы.
Что сделать: Присвоить объекту одну из трёх категорий значимости (или зафиксировать, что категория не нужна) и направить сведения во ФСТЭК России.
Категории: 1-я (высшая) · 2-я · 3-я — присваивается по показателю с наивысшим значением.
Сроки: Категорирование — до 1 года; сведения о результатах — 10 рабочих дней после акта; пересмотр — не реже 1 раза в 5 лет (финсектор — ежегодно).
Ответственность: КоАП ст. 13.12.1 и 19.7.15 — до 500 тыс ₽ юрлицу; УК ст. 274.1 — до 10 лет лишения свободы.
Актуально с: 15 ноября 2025 — реформа ПП № 1762 убрала этап «критических процессов» и ввела единый перечень типовых объектов КИИ.

Что такое категорирование объектов КИИ

С точки зрения закона категорирование — это установление соответствия объекта КИИ критериям значимости и показателям их значений, присвоение объекту одной из категорий значимости и последующая проверка сведений о результатах этого присвоения (ст. 7 187-ФЗ). Пока объект не прошёл эту процедуру и не включён в реестр значимых объектов КИИ, он остаётся просто объектом КИИ — без статуса значимого и без обязательного набора требований к системе безопасности.

Большинство инструкций по категорированию в рунете написаны до ноября 2025 года и описывают процедуру через отдельный этап «определения критических процессов» — управленческих, технологических или производственных, нарушение которых грозило тяжёлыми последствиями. После постановления Правительства РФ № 1762 от 07.11.2025 этот этап из процедуры убран: комиссия больше не ищет критические процессы, а сразу сверяет системы субъекта с единым типовым перечнем объектов КИИ, утверждённым правительством.

Если ваш чек-лист или консультант всё ещё говорит про «критические процессы» как первый шаг — это устаревшая логика, актуальная до реформы 2025–2026 гг.

Юридическая основа этой реформы появилась раньше самого постановления: Федеральный закон от 07.04.2025 № 58-ФЗ добавил в 187-ФЗ (ч. 2 ст. 6) нормы о перечнях типовых отраслевых объектов КИИ и об отраслевых особенностях категорирования. Постановление № 1762 — это подзаконная реализация уже принятых изменений закона, а не самостоятельный источник новых полномочий.

Цепочка целиком выглядит так: Федеральный закон № 58-ФЗ (апрель 2025) → Постановление Правительства РФ № 1762 (ноябрь 2025) → единый перечень типовых объектов, утверждённый Распоряжением Правительства РФ № 360-р (февраль 2026). Уточнение по терминологии: сам закон и Правила говорят о «перечнЯХ» типовых отраслевых объектов — по отраслям, во множественном числе; «единым» этот перечень называют потому, что все отраслевые перечни сведены Распоряжением № 360-р в один акт правительства.

Кто обязан проводить категорирование объектов КИИ: субъекты и сферы деятельности

Субъекты КИИ — государственные органы и учреждения, российские юридические лица и индивидуальные предприниматели, которым принадлежат информационные системы, информационно-телекоммуникационные сети или автоматизированные системы управления, работающие в перечисленных законом сферах, а также организации, обеспечивающие взаимодействие таких систем между собой (ст. 2 187-ФЗ). Объект КИИ — это сама информационная система, сеть или АСУ такого субъекта; значимый объект КИИ — объект, которому по итогам категорирования присвоена одна из категорий и который включён в реестр значимых объектов.

Закон перечисляет сферы деятельности субъектов КИИ (ст. 2, п. 8): здравоохранение, наука, транспорт, связь, энергетика, государственная регистрация прав на недвижимое имущество и сделок с ним, банковская сфера и иные сферы финансового рынка, топливно-энергетический комплекс, атомная энергия, оборонная промышленность, ракетно-космическая промышленность, горнодобывающая промышленность, металлургическая промышленность, химическая промышленность.

Разные обзоры указывают то 12, то 13, то 15 «сфер» — расхождение чисто в том, как считать пункты перечня; смотреть стоит на сам список, а не на итоговую цифру.

Госсектор и инфраструктура

Здравоохранение, наука, транспорт, связь, энергетика, ТЭК, атомная энергия, госрегистрация прав на недвижимость

Финансы

Банковская сфера и иные сферы финансового рынка — банки, НФО, субъекты национальной платёжной системы, МФО, БКИ

Промышленность и оборона

Оборонная, ракетно-космическая, горнодобывающая, металлургическая, химическая промышленность

Если организация работает в одной из этих сфер, она обязана проверить свои системы на предмет соответствия критериям объекта КИИ — независимо от того, есть ли у неё уже сформированное мнение «нас это не касается». Отдельно от 187-ФЗ у многих таких организаций также есть обязательства по 152-ФЗ о персональных данных — категорирование КИИ и защита персональных данных регулируются разными нормами и разными процедурами, но нередко ложатся на один и тот же ИТ-контур.

Категории значимости КИИ и показатели

187-ФЗ устанавливает три категории значимости объектов КИИ — первую (высшую), вторую и третью (низшую). Категория присваивается по показателю с наивысшим значением: если объект подпадает под первую категорию хотя бы по одному показателю, категория присваивается сразу, без расчёта по остальным показателям оценка. Если объект не соответствует ни одному из показателей, ему не присваивается категория вовсе — но это тоже официально фиксируемое решение, а не повод не подавать сведения.

Перечень показателей критериев значимости (приложение к постановлению Правительства РФ № 127 от 08.02.2018) традиционно включает 14 показателей в 5 группах: социальная, политическая, экономическая, экологическая значимость и значимость для обороны страны, безопасности государства и правопорядка. Реформа 2025 года уточнила часть показателей — по транспорту и связи, добавила новые показатели для операторов цифрового рубля, микрофинансовых компаний и бюро кредитных историй, а также отдельный показатель для участников гособоронзаказа — по статусу в кооперации головного исполнителя (соисполнитель/субподрядчик, исполнитель контракта, головной исполнитель).

Ниже — дословный текст приложения к ПП-127 в действующей редакции, свёрнутый по группам. Разверните нужную или пройдите самопроверку по всем показателям.

I. Социальная значимость11 показателей

1Причинение ущерба жизни и здоровью людей (человек)

IIIболее или равно 1, но менее или равно 50

IIболее 50, но менее или равно 500

Iболее 500

2. Прекращение или нарушение функционирования объектов обеспечения жизнедеятельности населения, оцениваемые:

2аа) на территории, на которой возможно нарушение обеспечения жизнедеятельности населения

IIIв пределах территории одного муниципального образования (численностью от 2 тыс. чел.) или одной внутригородской территории города федерального значения

IIвыход за пределы территории одного муниципального образования (численностью от 2 тыс. чел.) или одной внутригородской территории города федерального значения, но не за пределы территории одного субъекта Российской Федерации или территории города федерального значения

Iвыход за пределы территории одного субъекта Российской Федерации или территории города федерального значения

2бб) по количеству людей, условия жизнедеятельности которых могут быть нарушены (тыс. человек)

IIIболее или равно 2, но менее 1 000

IIболее или равно 1 000, но менее 5 000

Iболее или равно 5 000

3. Прекращение или нарушение функционирования объектов транспортной инфраструктуры, организаций, осуществляющих деятельность в области грузовых и пассажирских перевозок, транспортных средств, в том числе высокоавтоматизированных транспортных средств, оцениваемые:

3аа) на территории, на которой возможно нарушение транспортного сообщения или предоставления транспортных услуг (пассажирских и грузовых перевозок)

3бб) по количеству людей, для которых могут быть недоступны транспортные услуги (тыс. человек)

IIIболее или равно 2, но менее 1000

IIболее или равно 1000, но менее 5000

Iболее или равно 5000

3вв) по типам нарушенных перевозок и грузов

IIIмультимодальные и интермодальные перевозки

IIперевозка, погрузка, разгрузка, хранение опасных грузов, на перевозку которых требуется специальное разрешение, и (или) грузов повышенной опасности в пределах территории одного субъекта Российской Федерации

Iперевозка, погрузка, разгрузка, хранение опасных грузов, на перевозку которых требуется специальное разрешение, и (или) грузов повышенной опасности в пределах территорий 2 и более субъектов Российской Федерации

3гг) по категорированию объектов транспортной инфраструктуры

IIIобъект транспортной инфраструктуры 3-й или 4-й категории

IIобъект транспортной инфраструктуры 2-й категории

Iобъект транспортной инфраструктуры 1-й категории

4. Прекращение или нарушение функционирования сети связи, оцениваемые:

4аа) по количеству абонентов, для которых могут быть недоступны услуги связи (тыс. человек)

IIIболее или равно 3, но менее 1 000

IIболее или равно 1 000, но менее 5 000

Iболее или равно 5 000

4бб) по уровню органа государственной власти (количеству органов) или организации, для которых могут быть нарушены или недоступны услуги связи

IIIорган государственной власти субъекта Российской Федерации

IIфедеральный орган государственной власти, государственная корпорация, Центральный банк Российской Федерации, 2 и более органа государственной власти субъекта Российской Федерации

IАдминистрация Президента Российской Федерации, Правительство Российской Федерации, Федеральное Собрание Российской Федерации, Совет Безопасности Российской Федерации, Верховный Суд Российской Федерации, Конституционный Суд Российской Федерации, 2 и более федеральных органа государственной власти

5. Отсутствие доступа к государственной услуге, оцениваемое:

5аа) в максимальном допустимом времени, в течение которого государственная услуга может быть недоступна для получателей такой услуги (часов)

IIIменее или равно 24, но более 12

IIменее или равно 12, но более 6

Iменее или равно 6

5бб) во времени с момента приема запроса о предоставлении государственной услуги органом, предоставляющим государственную услугу, или подведомственной государственному органу организацией, участвующей в предоставлении государственной услуги, в течение которого государственная услуга не может быть оказана (в процентах от времени предоставления услуги, предусмотренного административным регламентом)

IIIменее или равно 30

IIболее 30, но менее или равно 70

Iболее 70

II. Политическая значимость2 показателя

6Прекращение или нарушение функционирования государственного органа или организации, созданной на основании федерального закона, в части невыполнения возложенной на них функции (полномочия)

IIIпрекращение или нарушение функционирования органа государственной власти субъекта Российской Федерации

IIпрекращение или нарушение функционирования федерального органа государственной власти, государственной корпорации, Центрального банка Российской Федерации, 2 и более органов государственной власти субъекта Российской Федерации

Iпрекращение или нарушение функционирования Администрации Президента Российской Федерации, Правительства Российской Федерации, Федерального Собрания Российской Федерации, Совета Безопасности Российской Федерации, Верховного Суда Российской Федерации, Конституционного Суда Российской Федерации, 2 и более федеральных органов государственной власти

7Нарушение условий международного договора Российской Федерации, срыв переговоров или подписания планируемого к заключению международного договора Российской Федерации, оцениваемые по уровню международного договора Российской Федерации

IIIнарушение условий договора межведомственного характера (срыв переговоров или подписания)

IIнарушение условий межправительственного договора (срыв переговоров или подписания)

Iнарушение условий межгосударственного договора (срыв переговоров или подписания)

III. Экономическая значимость10 показателей

8Возникновение ущерба субъекту критической информационной инфраструктуры, который является государственной корпорацией, государственным унитарным предприятием, государственной компанией, организацией оборонно-промышленного комплекса, стратегическим акционерным обществом, стратегическим предприятием, оцениваемого в снижении уровня дохода (с учетом налога на добавленную стоимость, акцизов и иных обязательных платежей) по всем видам деятельности (процентов от годового объема доходов, усредненного за прошедший пятилетний период)

IIIболее или равно 1, но менее или равно 10

IIболее 10, но менее или равно 20

Iболее 20

9Возникновение ущерба бюджету Российской Федерации, оцениваемого в снижении выплат (отчислений) в бюджет, осуществляемых субъектом критической информационной инфраструктуры (процентов прогнозируемого годового дохода федерального бюджета, усредненного за планируемый 3-летний период)

IIIболее 0,0003, но менее или равно 0,0006

IIболее 0,0006, но менее или равно 0,001

Iболее 0,001

10Прекращение или нарушение проведения клиентами операций по осуществлению перевода денежных средств, осуществляемых субъектом критической информационной инфраструктуры, являющимся в соответствии с законодательством Российской Федерации оператором платформы цифрового рубля, системно значимой кредитной организацией, кредитной организацией, выполняющей функции оператора услуг платежной инфраструктуры системно и социально значимых платежных систем, кредитной организацией, значимой на рынке платежных услуг, оператором услуг платежной инфраструктуры, оказывающим услуги платежной инфраструктуры в рамках системно значимых платежных систем, оцениваемые среднедневным (по отношению к числу календарных дней в году) количеством осуществляемых операций (млн. единиц) (расчет осуществляется по итогам года, а для создаваемых объектов — на основе прогнозных значений)

IIIменее или равно 70

IIболее 70, но менее или равно 120

Iболее 120

10.1Прекращение или нарушение проведения операций по исполнению обязательств, осуществляемых субъектом критической информационной инфраструктуры, являющимся центральным контрагентом, среднедневной размер обязательств которого по передаче денежных средств в валюте Российской Федерации по итогам клиринга за последние 12 месяцев (трлн. рублей)новый

IIIменее 1

IIболее или равно 1, но менее 10

Iболее или равно 10

10.2Прекращение или нарушение проведения учетно-расчетных операций, осуществляемых субъектом критической информационной инфраструктуры, являющимся центральным депозитарием и регистратором финансовых транзакций, среднедневное количество ценных бумаг (ISIN) российских эмитентов, которые учитывались на счетах в центральном депозитарии (оцениваемые за последние 12 месяцев в тыс. штук)новый

IIIменее 10

IIболее или равно 10, но менее 25

Iболее или равно 25

10.3Прекращение или нарушение проведения операций по выплатам, передаче и размещению денежных средств, осуществляемых субъектом критической информационной инфраструктуры, являющимся негосударственным пенсионным фондом, которые оцениваются объемом активов (суммой пенсионных накоплений и пенсионных резервов) негосударственного пенсионного фонда (млрд. рублей)новый

IIIболее или равно 50, но менее 1000

IIболее или равно 1000, но менее 2000

Iболее или равно 2000

10.4Прекращение или нарушение проведения операций по выплатам, перестрахованию, инвестициям, осуществляемых субъектом критической информационной инфраструктуры, являющимся страховой организацией, которые оцениваются объемом активов страховой организации (млрд. рублей)новый

IIIболее или равно 100, но менее 1500

IIболее или равно 1500, но менее 5000

Iболее или равно 5000

10.5Прекращение или нарушение выполнения функций по переводу денежных средств, осуществляемых субъектом критической информационной инфраструктуры, являющимся оператором услуг информационного обмена (некредитной организацией), который оценивается количеством заключенных договоров с кредитными организацияминовый

IIIболее или равно 25, но менее 100

IIболее или равно 100, но менее 150

Iболее или равно 150

10.6Прекращение или нарушение выполнения деятельности по предоставлению потребительских займов субъектом критической информационной инфраструктуры, являющимся микрофинансовой компанией, которые оцениваются суммой микрозаймов, выданных за годовой отчетный период (млрд. рублей)новый

IIIболее или равно 100, но менее 1000

IIболее или равно 1000, но менее 5000

Iболее или равно 5000

10.7Прекращение или нарушение предоставления пользователям кредитных историй и субъектам кредитных историй услуг, предусмотренных Федеральным законом «О кредитных историях», субъектом критической информационной инфраструктуры, являющимся бюро кредитных историй, которые оцениваются количеством кредитных историй, хранящихся в бюро кредитных историй (млн. единиц)новый

IIIболее или равно 30, но менее 200

IIболее или равно 200, но менее 500

Iболее или равно 500

IV. Экологическая значимость2 показателя

11. Вредные воздействия на окружающую среду, оцениваемые:

11аа) на территории, на которой окружающая среда может подвергнуться вредным воздействиям

IIIв пределах территории одного муниципального образования (численностью от 2 тыс. чел.) или одной внутригородской территории города федерального значения, с выходом вредных воздействий за пределы территории субъекта критической информационной инфраструктуры

Iвыход за пределы территории одного субъекта Российской Федерации или территории города федерального значения, с выходом вредных воздействий за пределы территории субъекта критической информационной инфраструктуры

11бб) по количеству людей, которые могут быть подвержены вредным воздействиям (тыс. человек)

IIIболее или равно 2, но менее 1 000

IIболее или равно 1 000, но менее 5 000

Iболее или равно 5 000

V. Значимость для обеспечения обороны страны, безопасности государства и правопорядка5 показателей

12Прекращение или нарушение функционирования (невыполнение установленных показателей) пункта управления (ситуационного центра), оцениваемое в уровне (значимости) пункта управления или ситуационного центра

IIIпрекращение или нарушение функционирования пункта управления или ситуационного центра органа государственной власти субъекта Российской Федерации или города федерального значения

IIпрекращение или нарушение функционирования пункта управления или ситуационного центра федерального органа государственной власти или государственной корпорации

Iпрекращение или нарушение функционирования пункта управления государством или ситуационного центра Администрации Президента Российской Федерации, Правительства Российской Федерации, Федерального Собрания Российской Федерации, Совета Безопасности Российской Федерации, Верховного Суда Российской Федерации, Конституционного Суда Российской Федерации

13. Снижение показателей государственного оборонного заказа, выполняемого (обеспечиваемого) субъектом критической информационной инфраструктуры, оцениваемое:

13аа) в снижении объемов продукции (работ, услуг) в заданный период времени (процентов заданного объема продукции)

IIIболее 0, но менее или равно 10

IIболее 10, но менее или равно 15

Iболее 15

13бб) в увеличении времени изготовления единицы продукции с заданным объемом (процентов установленного времени на изготовление единицы продукции)

IIIболее 0, но менее или равно 10

IIболее 10, но менее или равно 40

Iболее 40

13.1Снижение показателей государственного оборонного заказа, выполняемого (обеспечиваемого) субъектом критической информационной инфраструктуры, оцениваемое по его статусу в кооперации головного исполнителя поставок продукции по государственному оборонному заказуновый

IIIсоисполнитель, субподрядчик или поставщик части продукции, работ и услуг в рамках контракта по государственному оборонному заказу совместно с исполнителем, заключившим контракт с головным исполнителем государственного оборонного заказа

IIисполнитель контракта по государственному оборонному заказу, заключивший контракт с головным исполнителем государственного оборонного заказа

Iголовной исполнитель поставок продукции, работ и услуг по государственному оборонному заказу

14Прекращение или нарушение функционирования (невыполнение установленных показателей) информационной системы в области обеспечения обороны страны, безопасности государства и правопорядка, оцениваемое в максимально допустимом времени, в течение которого информационная система может быть недоступна пользователю (часов)

IIIменее или равно 4, но более 2

IIменее или равно 2, но более 1

Iменее или равно 1

Источник таблицы. Формулировки показателей и все пороговые значения перенесены дословно из официального текста: Постановление Правительства РФ от 08.02.2018 № 127, перечень показателей критериев значимости объектов кии и их значения, в ред. ПП РФ от 13.04.2019 № 452, от 20.12.2022 № 2360, от 07.11.2025 № 1762 — текст на сайте ФСТЭК России (сверено 25.08.2026). Совпадение каждого значения с текстом нормы проверяется автоматически при каждой пересборке страницы.

Сноски к перечню.

1) Прекращение — полное прекращение процессов (функций), выполняемых (контролируемых) объектом. Состояние такого прекращения может быть определено в отраслевых особенностях категорирования объектов КИИ.
2) Нарушение функционирования — отклонение значений процессов (функций), выполняемых (контролируемых и (или) обеспечиваемых) объектом, от заданных параметров, в том числе временных параметров и параметров надежности, от проектных или штатных режимов функционирования.
3) Объекты обеспечения жизнедеятельности населения — объекты, обеспечивающие водо-, тепло-, газо- и электроснабжение населения.
4) Стратегическое предприятие или стратегическое акционерное общество — включённое в перечень, утверждённый Указом Президента РФ от 04.08.2004 № 1009.
5) Вредные воздействия на окружающую среду — ухудшение качества воды в поверхностных водоемах, обусловленное сбросами загрязняющих веществ, повышение уровня вредных загрязняющих веществ, в том числе радиоактивных, в атмосфере, ухудшение состояния земель в результате выбросов или сбросов загрязняющих веществ или иные вредные воздействия.
6) Показатель 14 не распространяется на системы технических средств для обеспечения оперативно-разыскных мероприятий.
7) Категорирование объектов транспортной инфраструктуры — в соответствии с требованиями Федерального закона «О транспортной безопасности».

Пример расчёта. У объекта два расчётных показателя. По прерыванию услуг связи он даёт 800 тыс. абонентов без доступа — это диапазон III категории (от 3 до 1000 тыс. абонентов). Но тот же сценарий, по оценке комиссии, ведёт к нарушению систем жизнеобеспечения с выходом за пределы региона — а это порог I категории. Присваивается I категория: берётся наивысшее из достигнутых значений показателей, остальные показатели её не понижают оценка.

Порядок категорирования: этапы пошагово

Категорирование объекта КИИ проводит постоянно действующая комиссия субъекта КИИ — он создаёт её сам, приказом руководителя (состав комиссии — в разделе «Частые вопросы» ниже). Комиссия оценивает показатели значимости и присваивает категорию, решение оформляется актом, который утверждает руководитель субъекта.

После реформы 2025 года последовательность действий выглядит так:

Формирование комиссии. Субъект КИИ создаёт или подтверждает постоянно действующую комиссию по категорированию приказом руководителя.
Сверка с единым перечнем типовых объектов. Комиссия проверяет, какие системы субъекта соответствуют типам объектов из единого перечня типовых отраслевых объектов КИИ (Распоряжение Правительства РФ № 360-р), и одновременно выявляет системы, которые в перечень не попадают, но по масштабу возможных последствий подпадают под критерии значимости.
Формирование перечня объектов КИИ, подлежащих категорированию, — утверждается руководителем субъекта.
Направление перечня во ФСТЭК России — в течение нескольких рабочих дней после утверждения (см. раздел о сроках ниже).
Оценка показателей значимости по каждому объекту — с учётом отраслевых особенностей категорирования, если они уже утверждены для соответствующей сферы, и с проработкой наихудшего сценария, включая целенаправленные компьютерные атаки.
Присвоение категории (1, 2 или 3) либо решение об отсутствии необходимости присвоения категории — оформляется актом комиссии и утверждается руководителем субъекта КИИ.
Направление сведений о результатах категорирования во ФСТЭК России по форме приказа ФСТЭК № 236.

До реформы (правила до 07.11.2025) устарело

Определение критических процессов организации
Выявление объектов, обеспечивающих эти процессы
Формирование перечня объектов
Направление перечня во ФСТЭК
Оценка по показателям, присвоение категории

После реформы (с ПП № 1762 и Распоряжением № 360-р) актуально

Сверка систем с единым перечнем типовых объектов КИИ
Формирование перечня объектов — без отдельного этапа «критических процессов»
Направление перечня во ФСТЭК
Оценка по показателям с учётом отраслевых особенностей
Присвоение категории, направление сведений во ФСТЭК

Ключевое отличие — не в количестве шагов, а в том, откуда комиссия отталкивается: раньше отправной точкой были внутренние процессы организации, теперь — типовые объекты из утверждённого правительством перечня, что делает процедуру более предсказуемой и сверяемой, но требует свериться с перечнем и с отраслевыми особенностями, если они уже приняты для вашей сферы.

Сроки категорирования и пересмотра

Направление перечня объектов во ФСТЭК — в течение 5 рабочих дней после его утверждения субъектом КИИ оценка.
Максимальный срок самого категорирования — не более 1 года со дня утверждения перечня объектов оценка.
Направление сведений о результатах присвоения категории (или об отсутствии необходимости присвоения) во ФСТЭК — в течение 10 рабочих дней со дня утверждения акта комиссии оценка.
Актуализация сведений об объекте при изменении его характеристик — не позднее 20 рабочих дней со дня соответствующих изменений оценка.
Периодический пересмотр категории значимости — не реже 1 раза в 5 лет, если иное не установлено отраслевыми особенностями категорирования, а также при изменении самих показателей или их значений оценка.

Для финансового сектора отраслевые особенности категорирования (постановление Правительства РФ № 92 от 06.02.2026) вводят более частый цикл — ежегодное направление актуального перечня значимых объектов в Банк России или Минфин, а не раз в 5 лет. Это первый принятый после реформы отраслевой документ такого рода; для других сфер отраслевые особенности принимаются поочерёдно, и сроки по ним нужно уточнять отдельно по мере утверждения.

Проверьте перед подачей. Точные формулировки сроков в этом разделе стоит свести к официальному тексту Правил категорирования (в редакции от 07.11.2025) на pravo.gov.ru или docs.cntd.ru — часть цифр в открытых источниках указана с разночтениями, особенно там, где путают срок направления перечня со сроком направления сведений о результатах категорирования.

Что дальше: требования к значимым объектам и какие СЗИ нужны

После присвоения категории значимый объект КИИ подпадает под требования приказа ФСТЭК России от 25.12.2017 № 239 «Об утверждении Требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации» — они дифференцированы по категории значимости и по этапам жизненного цикла системы безопасности: создание, эксплуатация, вывод из эксплуатации.

Отдельно приказ ФСТЭК от 21.12.2017 № 235 задаёт требования к самой системе безопасности значимого объекта — организационную структуру, документацию, назначение ответственных, ведение журналов событий и взаимодействие с НКЦКИ. В августе 2024 года в приказ № 239 добавлен блок требований по защите от DDoS-атак — в первую очередь для объектов I категории.

Готовится и следующая правка: проект новой редакции приказов № 235 и № 239 (версия на апрель 2026 года) вводит показатели готовности Кзи (проверка раз в 6 месяцев) и Пзи (раз в 2 года), ожидаемая дата вступления в силу — 01.09.2026. Пока это проект, а не принятая норма, но при планировании бюджета на вторую половину 2026 года его стоит учитывать оценка.

В отраслевых обзорах распространена связка: объектам I категории нужны средства защиты не ниже 4 класса, II категории — не ниже 5 класса, III категории — не ниже 6 класса оценка; эту связку стоит сверять с текстом действующих НПА о классах СЗИ отдельно под конкретный проект, а не принимать как окончательную цифру.

На практике для значимого объекта типового набора требований редко достаточно одного класса средств защиты — обычно нужен комплекс:

Мониторинг и реагирование

SIEM

Сбор и корреляция событий безопасности, обязательное условие для взаимодействия с ГосСОПКА и НКЦКИ. Российские SIEM из реестра →

Сетевой периметр

NGFW

Защита периметра и сегментация сети значимого объекта от внешних и внутренних угроз. Каталог NGFW →

Конечные точки

Антивирус / EDR

Защита рабочих станций и серверов объекта от вредоносного ПО, часть базового набора мер по приказу № 239. Каталог антивирусов и EDR →

Доверенная загрузка

СДЗ

Контроль целостности среды на этапе загрузки значимого объекта — типовое требование к системам I–II категории. Каталог СДЗ →

Помимо этого набора, для значимых объектов КИИ регулярно требуются сертифицированные средства защиты от несанкционированного доступа (СЗИ от НСД), средства криптографической защиты информации (СКЗИ) для каналов передачи данных и резервное копирование как часть требований по обеспечению доступности — для промышленных объектов и АСУ ТП к этому добавляется отдельный класс СЗИ для АСУ ТП;

их выбор сильно завязан на категорию объекта и отраслевые особенности, поэтому единого списка «на все случаи» не существует.

Ответственность за нарушение

За нарушения в области категорирования и безопасности КИИ предусмотрена административная и уголовная ответственность — по трём разным нормам, которые применяются независимо друг от друга.

↔ таблицу можно прокрутить вбок

Норма	Состав	Санкция
КоАП РФ, ст. 13.12.1, ч. 1	Нарушение требований к созданию системы безопасности значимого объекта	10 000–50 000 ₽ (должностные лица), 50 000–100 000 ₽ (юрлица)
КоАП РФ, ст. 13.12.1, ч. 2	Нарушение порядка информирования об инцидентах и реагирования на них	10 000–50 000 ₽ (должностные лица), 100 000–500 000 ₽ (юрлица)
КоАП РФ, ст. 19.7.15, ч. 1	Непредставление или искажение сведений о категорировании	10 000–50 000 ₽ (должностные лица), 50 000–100 000 ₽ (юрлица)
КоАП РФ, ст. 19.7.15, ч. 2	Непредставление сведений об инциденте в ГосСОПКА	10 000–50 000 ₽ (должностные лица), 100 000–500 000 ₽ (юрлица)
КоАП РФ, ст. 19.7.15, ч. 3	Повторное нарушение по ч. 1	50 000–100 000 ₽ (должностные лица), 100 000–200 000 ₽ (юрлица)
УК РФ, ст. 274.1	Неправомерное воздействие на КИИ, нарушение правил эксплуатации, повлёкшее вред	от 2 до 6 лет по базовым составам, до 8 лет при отягчающих обстоятельствах (группой лиц, с использованием служебного положения), до 10 лет при тяжких последствиях

факт ст. 13.12.1 и ст. 19.7.15 КоАП — суммы штрафов по частям факт ст. 274.1 УК РФ — санкции по частям 1–5

Статья 274.1 УК РФ применяется независимо от того, проводилось ли категорирование и присвоена ли объекту категория значимости. Это значит, что уголовная ответственность возможна и для организации, которая ошибочно не признала себя субъектом КИИ и вовсе не начинала процедуру категорирования, — определяющим фактором остаётся фактическая принадлежность системы к сферам из ст. 2 187-ФЗ и характер причинённого вреда, а не наличие акта категорирования на бумаге.

Частые вопросы

Кто обязан проводить категорирование объектов КИИ?

Категорирование проводит сам субъект КИИ — организация, которой принадлежат объекты, — силами постоянно действующей комиссии по категорированию. Регулятор категорию не присваивает: ФСТЭК проверяет присланные сведения и вносит объект в реестр, но саму оценку делает субъект. Привлечь стороннего исполнителя к работам можно, однако ответственность за результат и за сроки остаётся на субъекте. Метка: факт — ПП РФ № 127 от 08.02.2018 в редакции ПП № 1762 от 07.11.2025.

Исходя из чего проводится категорирование объекта КИИ?

Из показателей критериев значимости — их 14, они сгруппированы в пять блоков: социальная, политическая, экономическая, экологическая значимость и значимость для обороны страны и безопасности государства. Комиссия оценивает, к каким последствиям приведёт нарушение или прекращение работы объекта, и сверяет их с пороговыми значениями. Категория присваивается по показателю с наивысшим достигнутым значением — достаточно одного попадания в порог первой категории, чтобы объект стал объектом первой категории, даже если по остальным показателям он проходит как третья. Метка: факт — приложение к ПП РФ № 127.

Какая периодичность пересмотра категории значимости?

Плановый пересмотр — не реже одного раза в 5 лет, если для сферы не установлены свои отраслевые особенности; для финансового сектора пересмотр ежегодный. Кроме планового, категорию пересматривают при изменении самих показателей критериев значимости или их пороговых значений, а также при изменениях в объекте — на это даётся срок со дня наступления изменений. Не путайте это с периодичностью государственных проверок: сроки контрольных мероприятий ФСТЭК устанавливаются отдельно и к циклу пересмотра категории не привязаны. Метка: факт — ПП РФ № 127 в редакции ПП № 1762.

Кто входит в комиссию по категорированию объектов КИИ?

Комиссию создаёт сам субъект КИИ своим приказом, она действует на постоянной основе. Типовой состав: руководитель субъекта КИИ или уполномоченное им лицо как председатель, специалисты профильных технологических и производственных подразделений, специалисты по ИТ и связи, представитель подразделения информационной безопасности, при необходимости — представитель подразделения защиты гостайны и специалист по гражданской обороне, по решению руководителя — представители финансово-хозяйственных подразделений. Метка: оценка — состав подтверждён по смыслу Правил, точные формулировки нужно свести к тексту ПП-127.

Что если объектов КИИ нет — нужна ли отписка во ФСТЭК?

Формально да. Организация из сфер 187-ФЗ обязана провести анализ своих систем даже если по итогам значимых объектов не выявлено. Комиссия утверждает перечень с выводом об отсутствии таких объектов, и это решение направляется во ФСТЭК в установленный срок — это и есть фактическая «отписка», которая фиксирует позицию перед регулятором и снижает риск претензий по ст. 19.7.15 КоАП или ст. 274.1 УК. Метка: оценка — сложившаяся правоприменительная практика, а не дословная норма закона.

Как часто нужно пересматривать категорию значимости?

Не реже одного раза в 5 лет, а также при изменении показателей критериев значимости или их значений. Для банковской сферы и иных сфер финансового рынка отраслевые особенности категорирования (ПП № 92 от 06.02.2026) вводят более частый, ежегодный цикл отчётности об актуальном перечне значимых объектов. Метка: оценка.

Чем грозит отсутствие категорирования объекта КИИ?

Административная ответственность по ст. 13.12.1 и ст. 19.7.15 КоАП РФ — штрафы для должностных и юридических лиц. Отдельно и независимо от факта категорирования применяется ст. 274.1 УК РФ за неправомерное воздействие на КИИ — она может грозить организации и её должностным лицам, даже если категорирование вовсе не проводилось, если система по факту относится к сферам 187-ФЗ и вред причинён. Метка: факт — нормы, их предмет и суммы штрафов по ст. 19.7.15 подтверждены текстом КоАП РФ.

Обязательно ли согласовывать перечень объектов КИИ с ФСТЭК?

Нет. Перечень утверждает сам субъект КИИ, а во ФСТЭК его направляют — это не то же самое, что согласование. Отдельная процедура согласования нужна только субъектам КИИ, подведомственным государственному органу или госкорпорации: тогда перечень согласовывается с профильным ведомством, а не напрямую с ФСТЭК. Метка: факт по сути разграничения.

Постановление Правительства № 127 — действует ли оно сейчас?

Да, действует. Постановление Правительства РФ от 08.02.2018 № 127 — базовый акт, которым утверждены Правила категорирования объектов КИИ и перечень показателей критериев значимости. Реформа 2025 года его не отменила, а изменила: постановление № 1762 от 07.11.2025 внесло правки в текст ПП-127 (вступили в силу 15.11.2025), ранее правки вносило постановление № 2360 от 20.12.2022. Поэтому ссылаться нужно на ПП-127 в действующей редакции, а не на исходный текст 2018 года: перечень показателей значимости и порядок работы комиссии в ней уже другие. Метка: факт — статус и реквизиты редакций сверены с текстом на publication.pravo.gov.ru.

С какой даты действуют новые правила категорирования?

Постановление Правительства РФ № 1762 подписано 7 ноября 2025 года и опубликовано 8 ноября 2025 года. Отдельного пункта о дате вступления в силу в тексте постановления нет, поэтому действует общее правило для актов Правительства, которые затрагивают права и обязанности организаций, — 7 дней после официального опубликования. Постановление вступило в силу 15 ноября 2025 года. С февраля 2026 года действует единый типовой перечень объектов КИИ (Распоряжение № 360-р), отраслевые особенности категорирования утверждаются поочерёдно по сферам начиная с банковской. Метка: факт — дата вступления в силу выводится по общему правилу (7 дней после официального опубликования 08.11.2025), отдельно в самом постановлении не прописана.

Нужно ли заново категорировать объекты, если категорирование уже проведено?

По общей логике реформы — да. Если категорирование проведено до вступления в силу ПП № 1762, субъект КИИ обязан актуализировать сведения об объектах с учётом единого перечня типовых объектов и отраслевых особенностей по мере их принятия для соответствующей сферы. Единого дедлайна для всех отраслей на момент публикации не установлено. Метка: оценка.

Хаб «КИИ» на SecRadar

187-ФЗ, ГосСОПКА, реестр значимых объектов и требования ФСТЭК к значимым объектам — независимый разбор регуляторики КИИ без привязки к вендору.

Открыть хаб «КИИ» →