Сведения о результатах категорирования по форме ФСТЭК № 236 — 2026
Как заполнить сведения о результатах категорирования по форме ФСТЭК № 236 (ред. № 247): девять разделов, типовой объект по № 360-р, IP-адреса и домены, сроки 10 и 20 рабочих дней.
Коротко. Сведения о результатах категорирования направляются во ФСТЭК по форме, утверждённой приказом ФСТЭК № 236 в редакции приказа № 247 от 11.07.2025, — в течение 10 рабочих дней со дня утверждения акта категорирования. Форма заполняется и при присвоении категории, и при её отсутствии. Если сведения меняются, в том числе доменные имена и адреса, актуализированные сведения направляются не позднее 20 рабочих дней.
Структура документа
- Сведения об объекте КИИ: наименование и адрес, сфера и назначение, тип и архитектура, типовой отраслевой объект (п. 1.7), доменные имена и внешние IP-адреса (п. 1.8)
- Сведения о субъекте КИИ
- Взаимодействие объекта и сетей электросвязи
- Лицо, эксплуатирующее объект
- Программные и программно-аппаратные средства, средства защиты и их сертификаты
- Угрозы безопасности информации и категории нарушителей
- Возможные последствия компьютерных инцидентов
- Категория значимости либо отсутствие необходимости её присвоения
- Организационные и технические меры обеспечения безопасности
Состав всех уровней — на странице комплекта документов субъекта КИИ.
Когда и куда направлять
Сведения готовятся на основании утверждённого акта категорирования и направляются во ФСТЭК в течение 10 рабочих дней со дня его утверждения. Форма установлена приказом ФСТЭК № 236 от 22.12.2017 в редакции приказа № 247 от 11.07.2025. Наш шаблон и онлайн-форма повторяют разделы, номера и формулировки пунктов этой редакции; перед отправкой проверьте, не вышла ли новая редакция приказа.
Как заполнить по разделам
1. Объект. Наименование и адреса размещения (для распределённого объекта — все площадки), сфера деятельности и назначение, тип (информационная система, автоматизированная система управления или информационно-телекоммуникационная сеть) и архитектура. В п. 1.7 — типовой отраслевой объект из перечня № 360-р, в п. 1.8 — доменные имена и внешние сетевые адреса.
2. Субъект. Наименование и адрес, руководитель, должностное лицо, отвечающее за безопасность значимых объектов (или руководитель, если такого лица нет), ответственное подразделение или специалист с телефоном и почтой, ИНН и КПП обособленных подразделений, в которых размещены сегменты объекта.
3–4. Связь и эксплуатант. Категория сети электросвязи (общего пользования, выделенная, технологическая, присоединённая к сети общего пользования, специального назначения) или отсутствие взаимодействия с сетями; оператор связи или провайдер хостинга, цель и способ взаимодействия — тип доступа и протоколы. Лицо, эксплуатирующее объект: наименование, адрес, какой элемент объекта эксплуатирует, ИНН и КПП.
5. Программные и программно-аппаратные средства. Оборудование с моделями, производителями и количеством; общесистемное ПО — операционные системы и средства виртуализации; прикладные программы, на которых работает объект; средства защиты информации — модели, производители и реквизиты сертификатов соответствия или сведения о том, что оценка соответствия не проводилась.
6–7. Угрозы и инциденты. Категории нарушителей (внешний, внутренний) с характеристикой их возможностей и основные угрозы — по модели угроз; типы компьютерных инцидентов, которые возможны на объекте (отказ в обслуживании, несанкционированный доступ, утечка, подмена данных и другие), или обоснование, почему инциденты невозможны.
8–9. Категория и меры. Присвоенная категория либо её отсутствие, значения по каждому показателю критериев значимости (или неприменимость показателя) и обоснование значений — как в акте категорирования. Для значимого объекта — организационные меры (контролируемая зона, физический доступ, документы) и технические меры защиты.
Частые ошибки
- Пустой п. 1.7. Без ссылки на типовой объект из № 360-р сведения вернут на доработку.
- Только внутренние адреса в п. 1.8. Нужны внешние сетевые адреса и доменные имена объекта.
- Средства защиты без реквизитов сертификатов. В п. 5.4 нужны модели, производители и реквизиты сертификатов соответствия — или сведения, что оценка соответствия не проводилась.
- Значения показателей расходятся с актом. Пункты 8.2 и 8.3 переносятся из акта категорирования без изменений.
- Сведения не обновляют. Смена адресов или ПО — повод направить актуализированные сведения в 20 рабочих дней.
Частые вопросы
Нужно ли направлять форму, если категория не присвоена?
Да. Раздел 8 формы прямо предусматривает вариант «отсутствие необходимости присвоения категории»: в п. 8.2 — значения по каждому показателю критериев значимости или неприменимость показателя, в п. 8.3 — их обоснование.
Что указывать в п. 1.7?
Наименование типового отраслевого объекта КИИ из перечня, утверждённого Распоряжением № 360-р, которому соответствует ваш объект.
Когда направлять обновлённые сведения?
При изменении сведений — например, доменных имён, сетевых адресов, состава программных средств — актуализированные сведения направляются не позднее 20 рабочих дней.
Кто подписывает сведения?
Руководитель организации или уполномоченное им лицо. ФСТЭК проверяет сведения в течение 30 дней и при нарушениях возвращает их на доработку с обоснованием.