Субъект КИИ: касается ли вас 187-ФЗ — чек-лист
Кто такой субъект критической информационной инфраструктуры по 187-ФЗ, по каким сферам деятельности определяется этот статус и чем он отличается от наличия значимого объекта. Простой чек-лист, чтобы понять, относятся ли к вашей организации требования по КИИ, и что делать, если да.
Тема КИИКритическая информационная инфраструктура — Информационные системы и сети госорганов и организаций ключевых отраслей; режим защиты установлен 187-ФЗ. пугает, но первый вопрос простой: касается ли 187-ФЗ вообще вашу организацию. Многие либо зря игнорируют требования, либо наоборот пытаются выполнять то, что к ним не относится. Разберёмся, кто такой субъект КИИ и как это понять.
Кто такой субъект КИИ
Субъект критической информационной инфраструктуры (187-ФЗ) — это государственный орган, государственное учреждение или российское юридическое лицо, которому принадлежат на праве собственности, аренды или ином законном основании информационные системы, информационно-телекоммуникационные сети или автоматизированные системы управления, функционирующие в одной из значимых сфер. То есть статус определяется сферой деятельности, а не размером бизнеса.
В каких сферах
Сферы перечислены в 187-ФЗ — в частности: здравоохранение, наука, транспорт, связь, энергетика, банковская сфера и иные сферы финансового рынка, топливно-энергетический комплекс, атомная энергетика, оборонная, ракетно-космическая, горнодобывающая, металлургическая и химическая промышленность, а также сфера государственной регистрации прав на недвижимое имущество и сделок с ним. Если ваши ИС/сети/АСУ обеспечивают деятельность в такой сфере — вы, как правило, субъект КИИ.
Чек-лист: касается ли вас
- Относится ли деятельность организации к одной из сфер 187-ФЗ?
- Есть ли у вас ИС, сети или АСУ, обеспечивающие эту деятельность?
- Принадлежат ли они вам на законном основании?
Если на всё «да» — вы субъект КИИ и обязаны провести категорирование своих объектов.
Субъект КИИ и значимый объект — не одно и то же
Статус субъекта КИИ возникает не от одной только сферы, а при наличии у организации ИС, сетей или АСУ, функционирующих в перечисленных сферах. А вот значимые объекты (категории К1–К3) есть не у каждого субъекта: это определяется в ходе категорирования по показателям значимости. У субъекта без значимых объектов обязанностей меньше, но провести категорирование и направить сведения во ФСТЭКФедеральная служба по техническому и экспортному контролю — Регулятор технической защиты информации (ИСПДн, ГИС, КИИ); ведёт реестр сертифицированных СЗИ. всё равно нужно. Как это сделать — в статье «Категорирование КИИ пошагово».
Что делать, если вы субъект КИИ
- Провести категорирование объектов и направить результаты во ФСТЭК.
- Для значимых объектов — обеспечить систему безопасности (приказы ФСТЭК) и взаимодействие с ГосСОПКА.
- Оформить организационно-распорядительные документы по безопасности КИИ.
Главное
Субъект КИИ определяется по сфере деятельности (187-ФЗ), а не по размеру: если ваши ИС, сети или АСУ обеспечивают работу в одной из значимых сфер — вы субъект и обязаны провести категорирование. Значимые объекты есть не у всех, но категорирование и уведомление ФСТЭК нужны в любом случае.