26 февраля 2026 года опубликовано распоряжение Правительства РФ № 360-р, которым утверждён перечень типовых отраслевых объектов критической информационной инфраструктуры. Это не вспомогательный список “для ориентира”, а прямое продолжение реформы 187-ФЗ: после изменений, вступивших в силу с 1 сентября 2025 года, Правительство получило полномочие утверждать перечни типовых отраслевых объектов КИИ и отраслевые особенности категорирования.
Что реально изменилось после 360-р
Главное изменение не в том, что “появились новые объекты”, а в том, что изменилась логика входа в категорирование. Теперь отправной точкой становится не внутреннее мнение организации о том, считать ли конкретную систему объектом КИИ, а вопрос: соответствует ли она типовому отраслевому объекту из утверждённого перечня. Именно эту логику закрепили сначала поправки в 187-ФЗ, а затем обновлённые Правила категорирования.
Само распоряжение № 360-р охватывает типовые объекты в нескольких крупных сферах, включая здравоохранение, науку, транспорт, связь, энергетику, банки и иные сегменты финансового рынка. То есть документ рассчитан не на одну узкую отрасль, а на широкий круг субъектов КИИ.
Что 360-р не делает
Распоряжение № 360-р не присваивает категорию значимости автоматически. Категорирование по-прежнему проводится по Правилам, утверждённым постановлением Правительства РФ № 127, а новая редакция этих Правил прямо увязывает процедуру с перечнями типовых отраслевых объектов КИИ. Иными словами, перечень — это не замена комиссии, не замена расчёту показателей и не замена оформлению результатов; это нормативная рамка, в пределах которой теперь нужно обосновывать свою позицию.
Практически это означает простую вещь: после 360-р стало заметно сложнее защищать позицию “мы не считаем эту систему объектом КИИ” только потому, что она внутри организации называется иначе или исторически не попадала в фокус комиссии. Если объект по функции и роли соответствует типовому отраслевому объекту, его уже нельзя оставлять вне анализа без внятного документального обоснования. Это уже не вопрос удобства, а вопрос качества категорирования.
Как применять перечень правильно
Главная методическая ошибка — искать в 360-р буквальное совпадение по названию. Перечень нужен не для сопоставления с вашими внутренними ярлыками вроде “единая платформа”, “контур управления” или “сервис мониторинга”, а для сопоставления по сути объекта: какую функцию он выполняет, в каком процессе участвует, в какой отрасли используется и к какому типу относится — информационная система, информационно-телекоммуникационная сеть или автоматизированная система управления. Такой подход прямо вытекает из конструкции 187-ФЗ и новых Правил категорирования, где речь идёт именно о типах объектов КИИ и об их соответствии утверждённым перечням.
На практике рабочая последовательность выглядит так: сначала поднимается инвентарь систем, сетей и АСУ, затем по каждому объекту проверяется его функциональная роль в процессе, после чего делается сопоставление с типовым отраслевым объектом из 360-р. Если соответствие есть, дальше нужно не спорить “по ощущениям”, а запускать или пересматривать процедуру категорирования и фиксировать вывод комиссии. Если соответствия нет, это тоже лучше оформлять письменно, с аргументацией. Такой подход наиболее устойчив и перед внутренним контролем, и перед вопросами регулятора.
Почему после 360-р многим нужно пересмотреть уже поданные сведения
ФСТЭК России ещё в информационном сообщении от 22 октября 2025 года отдельно разъяснила логику заполнения пункта 1.7 формы: до утверждения перечней типовых отраслевых объектов КИИ в этом пункте ставится прочерк, после утверждения перечней необходимо направлять актуализированные сведения об объектах КИИ. Это один из самых практичных сигналов для субъектов КИИ: после выхода 360-р вопрос стал не только методическим, но и отчётным.
Дальше вступает в силу уже процессуальная часть. В действующей редакции Правил категорирования указано, что при изменении сведений новые сведения направляются во ФСТЭК России не позднее 20 рабочих дней со дня таких изменений. Поэтому организациям, которые раньше подавали сведения без возможности заполнить блок про типовой отраслевой объект, сейчас стоит проверить, не возникла ли обязанность по актуализации.
Какие ошибки теперь будут встречаться чаще всего
Первая ошибка — формальный поиск совпадения по названию. После 360-р смотреть нужно на функцию объекта, а не на внутреннее имя системы. Вторая ошибка — считать, что сам факт совпадения с типовым отраслевым объектом уже автоматически означает присвоенную категорию значимости. Это неверно: перечень запускает правильную процедуру, но не подменяет её. Третья ошибка — не возвращаться к уже направленным сведениям и материалам категорирования, хотя после утверждения перечня они могут требовать актуализации. Все три ошибки вытекают из неправильного понимания связки 187-ФЗ, 360-р и Правил категорирования.
Что сделать субъекту КИИ прямо сейчас
Оптимальный минимум действий такой: поднять инвентарь объектов, сопоставить их с перечнем 360-р, перепроверить материалы категорирования, оценить необходимость актуализации ранее направленных сведений и оформить позицию комиссии по каждому спорному объекту. Это и есть практический, защищаемый подход: не спорить с нормативной конструкцией в целом, а по каждому объекту иметь доказуемое объяснение — почему он соответствует или почему не соответствует типовому отраслевому объекту КИИ.
Вместо вывода
Распоряжение № 360-р не отменило категорирование, но сильно сузило пространство для произвольных трактовок. С марта 2026 года безопасная позиция субъекта КИИ строится уже не вокруг вопроса “считаем ли мы это объектом КИИ”, а вокруг другого вопроса: чем именно мы можем подтвердить, что наш объект соответствует — или не соответствует — типовому отраслевому объекту из утверждённого перечня. Именно такая логика сегодня лучше всего выдерживает и внутреннюю проверку, и диалог с регулятором.
Что реально изменилось после 360-р
Главное изменение не в том, что “появились новые объекты”, а в том, что изменилась логика входа в категорирование. Теперь отправной точкой становится не внутреннее мнение организации о том, считать ли конкретную систему объектом КИИ, а вопрос: соответствует ли она типовому отраслевому объекту из утверждённого перечня. Именно эту логику закрепили сначала поправки в 187-ФЗ, а затем обновлённые Правила категорирования.
Само распоряжение № 360-р охватывает типовые объекты в нескольких крупных сферах, включая здравоохранение, науку, транспорт, связь, энергетику, банки и иные сегменты финансового рынка. То есть документ рассчитан не на одну узкую отрасль, а на широкий круг субъектов КИИ.
Что 360-р не делает
Распоряжение № 360-р не присваивает категорию значимости автоматически. Категорирование по-прежнему проводится по Правилам, утверждённым постановлением Правительства РФ № 127, а новая редакция этих Правил прямо увязывает процедуру с перечнями типовых отраслевых объектов КИИ. Иными словами, перечень — это не замена комиссии, не замена расчёту показателей и не замена оформлению результатов; это нормативная рамка, в пределах которой теперь нужно обосновывать свою позицию.
Практически это означает простую вещь: после 360-р стало заметно сложнее защищать позицию “мы не считаем эту систему объектом КИИ” только потому, что она внутри организации называется иначе или исторически не попадала в фокус комиссии. Если объект по функции и роли соответствует типовому отраслевому объекту, его уже нельзя оставлять вне анализа без внятного документального обоснования. Это уже не вопрос удобства, а вопрос качества категорирования.
Как применять перечень правильно
Главная методическая ошибка — искать в 360-р буквальное совпадение по названию. Перечень нужен не для сопоставления с вашими внутренними ярлыками вроде “единая платформа”, “контур управления” или “сервис мониторинга”, а для сопоставления по сути объекта: какую функцию он выполняет, в каком процессе участвует, в какой отрасли используется и к какому типу относится — информационная система, информационно-телекоммуникационная сеть или автоматизированная система управления. Такой подход прямо вытекает из конструкции 187-ФЗ и новых Правил категорирования, где речь идёт именно о типах объектов КИИ и об их соответствии утверждённым перечням.
На практике рабочая последовательность выглядит так: сначала поднимается инвентарь систем, сетей и АСУ, затем по каждому объекту проверяется его функциональная роль в процессе, после чего делается сопоставление с типовым отраслевым объектом из 360-р. Если соответствие есть, дальше нужно не спорить “по ощущениям”, а запускать или пересматривать процедуру категорирования и фиксировать вывод комиссии. Если соответствия нет, это тоже лучше оформлять письменно, с аргументацией. Такой подход наиболее устойчив и перед внутренним контролем, и перед вопросами регулятора.
Почему после 360-р многим нужно пересмотреть уже поданные сведения
ФСТЭК России ещё в информационном сообщении от 22 октября 2025 года отдельно разъяснила логику заполнения пункта 1.7 формы: до утверждения перечней типовых отраслевых объектов КИИ в этом пункте ставится прочерк, после утверждения перечней необходимо направлять актуализированные сведения об объектах КИИ. Это один из самых практичных сигналов для субъектов КИИ: после выхода 360-р вопрос стал не только методическим, но и отчётным.
Дальше вступает в силу уже процессуальная часть. В действующей редакции Правил категорирования указано, что при изменении сведений новые сведения направляются во ФСТЭК России не позднее 20 рабочих дней со дня таких изменений. Поэтому организациям, которые раньше подавали сведения без возможности заполнить блок про типовой отраслевой объект, сейчас стоит проверить, не возникла ли обязанность по актуализации.
Какие ошибки теперь будут встречаться чаще всего
Первая ошибка — формальный поиск совпадения по названию. После 360-р смотреть нужно на функцию объекта, а не на внутреннее имя системы. Вторая ошибка — считать, что сам факт совпадения с типовым отраслевым объектом уже автоматически означает присвоенную категорию значимости. Это неверно: перечень запускает правильную процедуру, но не подменяет её. Третья ошибка — не возвращаться к уже направленным сведениям и материалам категорирования, хотя после утверждения перечня они могут требовать актуализации. Все три ошибки вытекают из неправильного понимания связки 187-ФЗ, 360-р и Правил категорирования.
Что сделать субъекту КИИ прямо сейчас
Оптимальный минимум действий такой: поднять инвентарь объектов, сопоставить их с перечнем 360-р, перепроверить материалы категорирования, оценить необходимость актуализации ранее направленных сведений и оформить позицию комиссии по каждому спорному объекту. Это и есть практический, защищаемый подход: не спорить с нормативной конструкцией в целом, а по каждому объекту иметь доказуемое объяснение — почему он соответствует или почему не соответствует типовому отраслевому объекту КИИ.
Вместо вывода
Распоряжение № 360-р не отменило категорирование, но сильно сузило пространство для произвольных трактовок. С марта 2026 года безопасная позиция субъекта КИИ строится уже не вокруг вопроса “считаем ли мы это объектом КИИ”, а вокруг другого вопроса: чем именно мы можем подтвердить, что наш объект соответствует — или не соответствует — типовому отраслевому объекту из утверждённого перечня. Именно такая логика сегодня лучше всего выдерживает и внутреннюю проверку, и диалог с регулятором.
