Категорирование КИИ для предприятия ОПК в Воронеже

Руководитель машиностроительного завода или конструкторского бюро в Воронеже получает письмо от головного исполнителя гособоронзаказа: «Подтвердите, что вы провели категорирование объектов КИИ». Лицензии ФСБ нет, гостайны нет, но договор по 275-ФЗ подписан. Возникает вопрос: а мы вообще субъект критической информационной инфраструктуры? Оборонная промышленность — сфера, прямо названная в 187-ФЗ, и отсутствие гостайны от обязанностей не освобождает. Разберём, как за 7–10 рабочих дней определить статус, выявить объекты, рассчитать категорию и направить сведения во ФСТЭК.

Из статьи вы узнаете: по каким признакам соисполнитель ГОЗ становится субъектом КИИ, какие системы обычно попадают в перечень типовых отраслевых объектов, как работает показатель «статус в кооперации ГОЗ» и почему для соисполнителя уже III категория, какие сроки и штрафы действуют в 2025–2026 годах, и что подготовить, чтобы пройти проверку ФСТЭК без замечаний.

Является ли предприятие оборонно-промышленного комплекса субъектом КИИ

Критерий один: у организации есть информационные системы, информационно-телекоммуникационные сети или автоматизированные системы управления, которые функционируют в сфере оборонной промышленности. Не важны форма собственности, наличие лицензии ФСБ или режима гостайны. Частный завод, который делает комплектующие для гособоронзаказа, может быть субъектом КИИ, если его АСУ ТП, САПР или испытательные стенды соответствуют типовым объектам из распоряжения № 360-р.

Проверить статус можно по ОКВЭД, уставу и фактическим видам деятельности: если код относится к производству вооружения, военной техники или комплектующих, а в работе используются станки с ЧПУ, CAD/PLM или MES — скорее всего, вы субъект. Точный ответ даёт инвентаризация систем и сопоставление с перечнем типовых объектов.

Какие системы обычно становятся объектами КИИ в отрасли

Отраслевых особенностей для оборонной промышленности теперь два уровня: общий порядок по ПП № 127 и особенности, утверждённые ПП № 796. Сам перечень типовых объектов — единый для всех сфер, он содержится в распоряжении № 360-р. Для ОПК это раздел X: от АСУ ТП и ЧПУ до СКУД, пожаротушения и ЛВС. Ниже типовые примеры.

Как присваивают категорию: показатели значимости для предприятий ОПК

Категория присваивается по наихудшему сценарию целенаправленной атаки: прекращение функционирования или нарушение штатного режима. Для оборонной промышленности ключевые показатели из ПП № 127:

• Показатель 13(1) — статус в кооперации ГОЗ. Соисполнитель или субподрядчик — III категория; исполнитель по контракту с головным — II; головной исполнитель — I. Пороговых значений нет: сам статус уже определяет категорию.
• Показатель 13а — снижение объёма производства ГОЗ. Более 0% и до 10% — III; более 10% и до 15% — II; более 15% — I.
• Показатель 13б — рост времени изготовления продукции ГОЗ. Более 0% и до 10% — III; более 10% и до 40% — II; более 40% — I.
• Показатель 8 — ущерб предприятию. Снижение годового дохода (среднее за 5 лет) от 1% до 10% — III; более 10% и до 20% — II; более 20% — I.
• Показатель 1 — вред жизни и здоровью. От 1 до 50 человек — III (актуально для опасных производств, связанных с ОПК).

Если ни один показатель не превысил порог III категории, категория не присваивается. Это тоже результат, который нужно оформить: сведения об отсутствии необходимости присвоения категории направляются во ФСТЭК в том же порядке.

Порядок и сроки категорирования

Особенности отрасли, о которых забывают

• ✓ Пересечение с гостайной. Режим защиты государственной тайны — отдельный. Если объект обрабатывает гостайну, в комиссию включают подразделение по защите гостайны, учитываются требования по линии ФСБ. Но отсутствие гостайны не освобождает от категорирования.
• ✓ Показатель 13(1). Для соисполнителя или субподрядчика уже III категория, даже если аварийные последствия незначительны. Это часто становится неожиданностью.
• ✓ Доверенные ПАК. Требование о переходе на доверенные программно-аппаратные комплексы действует только для значимых объектов (категории I, II, III). Для объектов без категории не обязательно, но при получении III категории придётся планировать переход до 01.01.2030.
• ✓ ПП 796 для ОПК. Протоколы и акты категорирования дополнительно направляются в организацию, определённую Минпромторгом.
• ✓ Ускоренный пересмотр. В ОПК сроки пересмотра сокращены: для объектов без категории — ежегодно, для III категории — раз в 2 года, для II — раз в 3 года, для I — раз в 5 лет. Общий пятилетний срок не действует.

Разбор на примере: машиностроительный соисполнитель ГОЗ

Как делали:

• Запросили ОКВЭД, устав, список систем, сведения о договорах ГОЗ. Подтвердили: организация — российское юрлицо, не ИП, есть деятельность в оборонной промышленности.
• Сопоставили системы с разделом X 360-р: АСУ ТП и САПР/PLM совпали напрямую, ERP/MES совпала как система управления производством, СКУД — как инженерная система безопасности. HR-система не совпала.
• Для каждой совпавшей системы рассчитали показатели. АСУ ТП автоматически получила III категорию по показателю 13(1) — статус соисполнителя. Остальные системы не превысили пороги III категории по показателям 1, 8, 13а, 13б.
• Подготовили единый акт на 4 объекта: один — III категория, три — без категории. Направили сведения во ФСТЭК в течение 10 рабочих дней после утверждения.
• После принятия сведений объект с III категорией включён в реестр значимых. Дальше — выполнение требований к значимым объектам (приказы ФСТЭК 235, 239), подключение к ГосСОПКА, планирование перехода на доверенные ПАК.

Что будет, если не провести категорирование

Если вы субъект КИИ и не направили сведения во ФСТЭК, применяется ст. 19.7.15 КоАП РФ: штраф для должностных лиц от 10 до 50 тыс. ₽, для юридических — от 50 до 100 тыс. ₽. Повторное нарушение — для юрлиц от 100 до 200 тыс. ₽. ФСТЭК также может вынести предписание и провести внеплановую проверку.

Если на некатегорированном объекте произойдёт инцидент с негативными последствиями, возможна уголовная ответственность по ст. 274.1 УК РФ (вредоносные программы, неправомерный доступ, нарушение правил эксплуатации). Отраслевой мониторинг Минпромторга выявляет объекты без категорирования и передаёт информацию во ФСТЭК. Для предприятий, участвующих в гособоронзаказе, это репутационный и контрактный риск.

После категорирования: что обязательно для значимых и незначимых объектов

Даже если все объекты признаны без категории, субъект КИИ обязан информировать НКЦКИ об инцидентах: для значимых объектов — не позднее 3 часов с момента обнаружения, для иных объектов КИИ — не позднее 24 часов (приказ ФСБ № 547). Также требуется непрерывное взаимодействие с ГосСОПКА для владельцев значимых объектов.

Для значимых объектов (I, II, III категории) действуют требования приказов ФСТЭК № 235 и № 239: создание системы безопасности, меры защиты информации, оценка защищённости. С 01.01.2030 нужно перейти на доверенные ПАК (доля 100% к 31.12.2029). По модели угроз и организационным документам по ИБ даём методическое сопровождение: документ готовит ваш специалист по нашему шаблону, мы консультируем и проверяем, а внедрение сертифицированных СЗИ и аттестацию выполняет партнёр-лицензиат ФСТЭК.

Что мы подготовим и сколько это стоит

Состав работ для предприятий ОПК:

• Проверка, является ли организация субъектом КИИ (по ОКВЭД, лицензиям, уставу и фактическим видам деятельности);
• Проект приказа о постоянно действующей комиссии;
• Инвентаризация ИС, ИТКС и АСУ, сопоставление с перечнем 360-р и отраслевыми особенностями ПП 796;
• Расчёт показателей значимости по наихудшему сценарию (ПП 127, ПП 796);
• Проект акта категорирования (допускается единый на несколько объектов);
• Сведения по форме ФСТЭК (приказ № 236 в ред. № 247), в том числе об отсутствии необходимости категории;
• Сопровождение до принятия сведений ФСТЭК, правки по замечаниям бесплатно.

Цена ниже рыночной, потому что мы работаем дистанционно, используем отработанные типовые решения и передаём документы, подготовленные специалистом по защите информации. Без накладных расходов на командировки и без потери качества.

Частые вопросы

Если вы не уверены, касается ли 187-ФЗ вашего предприятия, начните с проверки статуса. Мы бесплатно проанализируем ОКВЭД, устав и перечень систем при заказе категорирования. Подробнее о составе работ — на странице категорирования объектов КИИ. Для значимых объектов потребуется модель угроз ИБ. Актуальную нормативную базу смотрите в разделе нормативная база.