Комплект документов субъекта КИИ — 2026

Кому нужен комплект

Субъект КИИ — госорган, государственное учреждение или российское юридическое лицо, которому принадлежат информационные системы, сети или АСУ в одной из 14 сфер, перечисленных в п. 8 ст. 2 187-ФЗ: здравоохранение, наука, транспорт, связь, энергетика, банки и финансовый рынок, ТЭК, атомная энергия, оборонная, ракетно-космическая, горнодобывающая, металлургическая и химическая промышленность, госрегистрация прав на недвижимость. С 1 сентября 2025 года индивидуальные предприниматели из числа субъектов исключены.

Статус субъекта возникает раньше, чем вопрос о значимости: он не зависит от того, есть ли у организации значимые объекты. Если вы не уверены, относитесь ли к субъектам, начните с уровня «Проверка применимости» или с проверки за минуту.

Три уровня — по итогам категорирования

Проверка применимости — для тех, кто сомневается: заключение о применимости 187-ФЗ и приказ о мониторинге изменений. Вывод «не субъект» тоже нужно оформить — он пригодится при проверке.

Категорирование — обязательный минимум каждого субъекта. Комиссия, перечень объектов с сопоставлением по № 360-р, акт категорирования по каждому объекту, сведения во ФСТЭК по форме № 236, порядок информирования НКЦКИ и журнал учёта компьютерных инцидентов. Полномочия по Указу № 250 и положение о подразделении — там же.

Значимые объекты — если хотя бы одному объекту присвоена категория К1–К3. Добавляет политику безопасности значимых объектов (№ 235), модель угроз, план реагирования на компьютерные инциденты и план мероприятий по обеспечению безопасности.

Сроки, о которых чаще всего забывают

• сведения о результатах категорирования — во ФСТЭК в течение 10 рабочих дней после утверждения акта;
• изменившиеся сведения об объекте — во ФСТЭК в течение 20 рабочих дней;
• инцидент на значимом объекте — уведомить НКЦКИ в течение 3 часов, на ином объекте КИИ — 24 часов;
• план реагирования — в течение 90 дней после включения объекта в реестр значимых.

Подробно — в разделе памятки «Сроки и дедлайны».

Частые ошибки

• «Значимых объектов нет — значит, ничего не делаем». Категорирование и сведения во ФСТЭК обязательны и при отсутствии значимых объектов; за непредставление сведений — штраф по ст. 19.7.15 КоАП.
• Регламент категорирования не обновлён под ПП № 1762. С новой логикой сначала проверяется отраслевой перечень типовых объектов, и только затем — критерии значимости.
• Категорию присвоили «навсегда». Пересмотр — не реже одного раза в 5 лет, а также при изменении показателей значимости или после инцидента.
• Порядок информирования НКЦКИ «на потом». Обязанность сообщать об инцидентах есть у всех субъектов, а не только у владельцев значимых объектов.