Субъект КИИ: касается ли вас 187-ФЗ — чек-лист

Тема КИИКритическая информационная инфраструктура — Информационные системы и сети госорганов и организаций ключевых отраслей; режим защиты установлен 187-ФЗ. пугает, но первый вопрос простой: касается ли 187-ФЗ вообще вашу организацию. Многие либо зря игнорируют требования, либо наоборот пытаются выполнять то, что к ним не относится. Разберёмся, кто такой субъект КИИ и как это понять.

Кто такой субъект КИИ

Субъект критической информационной инфраструктуры (187-ФЗ) — это государственный орган, государственное учреждение или российское юридическое лицо, которому принадлежат на праве собственности, аренды или ином законном основании информационные системы, информационно-телекоммуникационные сети или автоматизированные системы управления, функционирующие в одной из значимых сфер. То есть статус определяется сферой деятельности, а не размером бизнеса.

В каких сферах

Сферы перечислены в 187-ФЗ — в частности: здравоохранение, наука, транспорт, связь, энергетика, банковская сфера и иные сферы финансового рынка, топливно-энергетический комплекс, атомная энергетика, оборонная, ракетно-космическая, горнодобывающая, металлургическая и химическая промышленность, а также сфера государственной регистрации прав на недвижимое имущество и сделок с ним. Если ваши ИС/сети/АСУ обеспечивают деятельность в такой сфере — вы, как правило, субъект КИИ.

Чек-лист: касается ли вас

• Относится ли деятельность организации к одной из сфер 187-ФЗ?
• Есть ли у вас ИС, сети или АСУ, обеспечивающие эту деятельность?
• Принадлежат ли они вам на законном основании?

Если на всё «да» — вы субъект КИИ и обязаны провести категорирование своих объектов.

Субъект КИИ и значимый объект — не одно и то же

Статус субъекта КИИ возникает не от одной только сферы, а при наличии у организации ИС, сетей или АСУ, функционирующих в перечисленных сферах. А вот значимые объекты (категории К1–К3) есть не у каждого субъекта: это определяется в ходе категорирования по показателям значимости. У субъекта без значимых объектов обязанностей меньше, но провести категорирование и направить сведения во ФСТЭКФедеральная служба по техническому и экспортному контролю — Регулятор технической защиты информации (ИСПДн, ГИС, КИИ); ведёт реестр сертифицированных СЗИ. всё равно нужно. Как это сделать — в статье «Категорирование КИИ пошагово».

Что делать, если вы субъект КИИ

• Провести категорирование объектов и направить результаты во ФСТЭК.
• Для значимых объектов — обеспечить систему безопасности (приказы ФСТЭК) и взаимодействие с ГосСОПКА.
• Оформить организационно-распорядительные документы по безопасности КИИ.

Главное

Субъект КИИ определяется по сфере деятельности (187-ФЗ), а не по размеру: если ваши ИС, сети или АСУ обеспечивают работу в одной из значимых сфер — вы субъект и обязаны провести категорирование. Значимые объекты есть не у всех, но категорирование и уведомление ФСТЭК нужны в любом случае. ГрамотаИБ помогает определить статус и пройти категорирование — попробовать можно в сервисе.