Распоряжение Правительства РФ № 360-р не присваивает категорию значимости автоматически и не заменяет Постановление Правительства РФ № 127. Его основная задача — определить, какие информационные системы, ИТКС и АСУ должны пройти процедуру категорирования КИИ.

📌 Постановление № 127 отвечает на второй ключевой вопрос:

какая категория значимости КИИ присваивается объекту или требуется ли её присвоение.

Таким образом, современная процедура категорирования КИИ включает три этапа:

  1. Выявление объектов КИИ, соответствующих типовым отраслевым перечням (360-р).
  2. Оценка возможных последствий компьютерного инцидента по критериям Постановления № 127.
  3. Присвоение категории значимости или принятие решения об отсутствии необходимости её присвоения.

Шаг 1. Сопоставление объектов КИИ с перечнем (360-р)

На первом этапе комиссия по категорированию КИИ проводит инвентаризацию всех информационных систем. Главная задача — определить, соответствует ли система типовым объектам, указанным в Распоряжении № 360-р.

Примеры отраслевых объектов КИИ:

⚡ Энергетика
АСУ ТП электросетей
Системы диспетчеризации станций
🚆 Транспорт
Управление движением поездов
Авиадиспетчерские системы
📡 Связь
Центры связи
Системы маршрутизации трафика
⚠️ Включение системы в 360-р не означает автоматическую значимость.

Решение о значимости принимается после оценки последствий по Постановлению № 127.

💡 Экспертная оценка необходима

для систем, которые не входят в перечень, но могут иметь критическое влияние на инфраструктуру.

Шаг 2. Формирование внутреннего перечня объектов КИИ

После сопоставления с перечнем комиссия формирует внутренний список объектов КИИ, подлежащих категорированию.

Основные принципы:

  • Включаются только значимые системы, соответствующие отраслевому перечню.
  • Обязательно документировать, почему одни системы включены, а другие — исключены.
✅ Примеры включения:
  • Энергетика: АСУ ТП подстанций и диспетчерские системы.
  • Транспорт: Системы управления движением поездов и авиадиспетчерские системы.
  • Связь: Центральные узлы передачи данных.
❌ Примеры исключения без обоснования:

бухгалтерские системы, локальные офисные приложения.

Шаг 3. Оценка последствий по Постановлению № 127

На этом этапе комиссия оценивает возможные последствия инцидента для КИИ:

  • Социальные — например, перебои в работе транспортных систем.
  • Экономические — остановка энергосети или телеком-сервисов.
  • Политические — нарушение работы критических коммуникаций.
  • Экологические — аварии на промышленных объектах.
💡 Экспертное заключение особенно важно

для объектов, не включённых в перечень 360-р, но имеющих потенциально значимое влияние.

На основе оценки присваивается категория значимости КИИ, либо фиксируется решение об отсутствии необходимости её присвоения.

Шаг 4. Оформление результатов и направление во ФСТЭК

После завершения процедуры:

  1. Формируется акт категорирования КИИ.
  2. Руководитель организации утверждает документ.
  3. Сведения направляются во ФСТЭК России в течение 10 рабочих дней, независимо от присвоения категории.
⚠️ Статья 7 Федерального закона № 187-ФЗ

связывает процедуру присвоения категории с проверкой правильности категорирования по отраслевым перечням.

Практические рекомендации по категорированию КИИ

📌 360-р — фильтр отбора

Определяет, какие системы подлежат категорированию.

📌 ПП № 127 — определяет категорию

После оценки последствий присваивается категория значимости.

📌 Экспертные заключения

Используйте для систем вне перечня.

📌 Документирование

Фиксируйте причины включения/исключения каждой системы.

Типовые ошибки

  • ❌ Использование 360-р как готовой таблицы категорий.
  • ❌ Игнорирование перечней и оценка только по критическим процессам.
  • ❌ Включение всех систем без обоснования.
  • ❌ Отсутствие документации о причинах включения/исключения систем.

Вывод

Распоряжение № 360-р применяется на старте процедуры категорирования, а Постановление № 127 — на этапе оценки последствий и присвоения категории.

Экспертная оценка — ключ к правомерному включению объектов КИИ

Чек-лист: готовность к категорированию КИИ

Отметьте пункты, которые уже выполнены в вашей компании.

Выполнено: 0 из 12
  • Проведена инвентаризация всех информационных систем
  • Системы сопоставлены с перечнем 360-р по функции
  • Сформирован внутренний перечень объектов КИИ
  • По каждому объекту есть обоснование включения/исключения
  • Оценены возможные последствия инцидента
  • Рассчитаны показатели значимости по ПП №127
  • Присвоена категория значимости (I/II/III) или принято решение
  • Оформлен акт категорирования
  • Акт утверждён руководителем организации
  • Сведения направлены во ФСТЭК в течение 10 рабочих дней
  • Проверена актуальность отраслевых перечней
  • Внесены изменения во внутренние документы по КИИ

Сохраните чек-лист, чтобы оценить готовность к категорированию КИИ.

Как МАСО ИТ помогает с категорированием КИИ

Что мы делаем в программах и курсах

Мы обучаем специалистов работе с Распоряжением № 360-р и Постановлением № 127. Наши курсы по КИИ и ЗОКИИ включают разбор практических кейсов по сопоставлению объектов, оценке последствий и оформлению актов категорирования.

Наш подход

  • Практическая направленность: отработка алгоритмов категорирования на реальных примерах.
  • Актуальная регуляторика: изучаем свежие изменения в 187-ФЗ, 360-р и ПП №127.
  • Разбор ошибок: на реальных кейсах показываем, как не попасть в ловушку формального подхода.
  • Работа с ФСТЭК: практика оформления и актуализации сведений.

Связанные материалы (статьи в блоге МАСО ИТ)

FAQ

Что такое Распоряжение № 360-р?
Распоряжение Правительства РФ, утверждающее перечень типовых отраслевых объектов КИИ. Оно используется как фильтр для определения, какие системы должны проходить категорирование.
Заменяет ли 360-р Постановление № 127?
Нет. 360-р определяет, какие системы подлежат категорированию, а ПП №127 — по каким критериям присваивается категория значимости.
Что делать, если система не входит в перечень 360-р?
Если система не входит в перечень, но может иметь критическое влияние, требуется экспертная оценка и документальное обоснование необходимости категорирования.
В какой срок нужно направить сведения во ФСТЭК?
Сведения направляются в течение 10 рабочих дней после завершения категорирования, независимо от присвоения категории.
Какие последствия за отсутствие категорирования?
Отсутствие категорирования объектов КИИ является нарушением 187-ФЗ и может повлечь административную ответственность и штрафы.
Кто принимает решение о категории значимости?
Решение принимает комиссия по категорированию, созданная в организации. Оформляется актом категорирования, который утверждает руководитель.

Об авторе

Халяпин Владислав — эксперт в области информационной безопасности и преподаватель МАСО ИТ. Имеет практический опыт категорирования объектов КИИ в различных отраслях. Специализируется на вопросах регуляторного соответствия, категорировании объектов КИИ и обучении персонала.

Страница автора: https://maso-it.ru/author

Хотите разобраться с категорированием КИИ без ошибок?

Запишитесь на консультацию по обучению →