Акт категорирования объекта КИИ — итоговый документ, в котором комиссия фиксирует результат категорирования: присвоенную категорию значимости (К1, К2 или К3) либо обоснованное отсутствие необходимости присвоения категории. Акт оформляется по каждому объекту из перечня объектов КИИ и служит основанием для направления сведений во ФСТЭК.
Есть ли утверждённая форма акта категорирования
Единой формы акта категорирования, утверждённой нормативным актом, не существует — в отличие от формы сведений о результатах категорирования, которая утверждена приказом ФСТЭК России. Поэтому субъект КИИ разрабатывает акт самостоятельно, но обязан включить в него состав сведений, закреплённый Правилами категорирования (ПП РФ № 127). Именно по этому составу ФСТЭК и проверяет документ, а не по «правильному бланку».
Акт оформляется по каждому объекту КИИ отдельно. Сведения о результатах категорирования направляются во ФСТЭК России в течение 10 рабочих дней со дня утверждения акта.
Структура акта категорирования: что должно быть в документе
Ниже — состав акта категорирования объекта КИИ по разделам. Это же и есть проверочный чек-лист: если какого-то блока в вашем акте нет, документ с высокой вероятностью вернут на доработку.
| РАЗДЕЛ АКТА | ЧТО В НЁМ УКАЗЫВАЮТ |
|---|---|
| Сведения об объекте КИИ | Наименование, назначение и место размещения объекта, его состав и архитектура. |
| Сведения о субъекте КИИ | Наименование организации, реквизиты, сфера деятельности из числа критических. |
| Взаимодействие с сетями электросвязи | Как объект подключён к сетям связи, в том числе к сетям общего пользования. |
| Лицо, эксплуатирующее объект | Подразделение или сторонняя организация, фактически обслуживающая объект. |
| Программные и аппаратные средства | Перечень ПО и программно-аппаратных средств, применяемых на объекте. |
| Угрозы и категории нарушителей | Актуальные угрозы безопасности информации и модели нарушителей для объекта. |
| Возможные последствия инцидентов | Что произойдёт при нарушении или прекращении работы объекта КИИ. |
| Оценка показателей значимости | Результат по каждому показателю и итоговая категория — либо её отсутствие. |
| Меры обеспечения безопасности | Организационные и технические меры, применяемые на значимом объекте. |
Состав сведений, включаемых в акт, определён Правилами категорирования (ПП РФ № 127).
Образец таблицы оценки показателей значимости
Ключевая часть акта — таблица оценки показателей значимости: по каждому показателю фиксируется рассчитанное значение и вывод, достигнут порог или нет. Ниже — упрощённый фрагмент с примерными пороговыми значениями; полный перечень показателей и порогов приведён в критериях значимости по ПП РФ № 127.
| ПОКАЗАТЕЛЬ | К3 | К2 | К1 |
|---|---|---|---|
| Ущерб жизни и здоровью, чел. | 1–50 | 50–500 | > 500 |
| Прекращение услуги, чел. | < 2 тыс | 2 тыс – 1 млн | > 1 млн |
| Ущерб бюджету РФ | — | до 0,5 % | > 0,5 % |
| Экологический ущерб | локальный | региональный | федеральный |
| Значимость для обороны | — | косвенная | прямая |
* значения приведены для примера. Полный перечень — в приложении к ПП РФ №127.
Категория присваивается по наивысшему достигнутому показателю: если хотя бы один показатель дотягивает до порога К1, объекту присваивается К1, даже когда остальные показатели соответствуют К3. Подробнее — в разборе категорий К1, К2 и К3.
Акт на значимый объект и акт об отсутствии категории
Если объект не достигает порогов ни по одному показателю, он не является значимым — но акт категорирования всё равно оформляется. В нём фиксируется отсутствие необходимости присвоения категории значимости, и такие сведения тоже направляются во ФСТЭК. Разница между двумя видами акта только в итоговом разделе: у значимого объекта дополнительно описываются применяемые меры обеспечения безопасности, у объекта без категории этот раздел не заполняется.
Кто подписывает и утверждает акт
Акт подписывают все члены комиссии по категорированию и утверждает руководитель субъекта КИИ. Решение, зафиксированное в акте, должно соответствовать протоколу заседания комиссии — расхождение между протоколом и актом само по себе становится замечанием при проверке.
Частые замечания к акту категорирования
Оценены не все показатели значимости — часть просто пропущена вместо вывода «порог не достигнут».
Значения показателей не обоснованы: указан результат, но не видно, из каких исходных данных он получен.
Состав объекта в акте не совпадает с перечнем объектов КИИ, направленным во ФСТЭК.
Категория присвоена не по наивысшему достигнутому показателю.
Акт не подписан всеми членами комиссии или не утверждён руководителем субъекта КИИ.
Большинство этих замечаний — следствие того, что показатели значимости оценивали «на глаз», без исходных данных, которыми результат можно подтвердить. Если разбираться с этим внутри организации некому, оформление акта можно заказать под ключ — вместе с обследованием объекта и обоснованием каждой оценки.
Что происходит с актом дальше
После утверждения акта у субъекта есть 10 рабочих дней, чтобы направить сведения о результатах категорирования во ФСТЭК России по утверждённой форме. Ведомство проверяет их и при отсутствии замечаний вносит значимый объект в реестр. Сам акт остаётся у субъекта КИИ и предъявляется при проверках, а при повторном категорировании — не реже одного раза в 5 лет — оформляется заново.