Система безопасности значимых объектов КИИ
Приказ ФСТЭК России от 21.12.2017 № 235 «Об утверждении Требований к созданию систем безопасности значимых объектов критической информационной инфраструктуры Российской Федерации и обеспечению их функционирования».
1 Что это и зачем
Этот приказ отвечает на вопрос «как организационно построить защиту значимого объекта». Если у вас по итогам категорирования появился значимый объект КИИ (категория К1, К2 или К3), одной установки технических средств мало — нужно выстроить целую систему безопасности: назначить ответственных людей, написать правила и поддерживать всё это в рабочем состоянии. Приказ № 235 задаёт минимальный каркас такой системы.
2 Кого касается
Касается только субъектов КИИ, у которых есть значимые объекты. Если категорирование показало, что значимых объектов у вас нет, требования этого приказа на вас не распространяются. А вот при наличии хотя бы одного значимого объекта систему безопасности придётся создавать обязательно.
3 Что требует
- Создать систему безопасности значимого объекта — то есть совокупность людей, документов и средств защиты, работающих вместе.
- Назначить ответственного за безопасность (отдельного работника) либо создать структурное подразделение, отвечающее за безопасность.
- Разработать организационно-распорядительные документы (ОРД): политики, регламенты, инструкции — кто, что и в каком порядке делает для защиты объекта.
- Обеспечить функционирование системы безопасности: реагирование на инциденты, контроль, поддержание мер в актуальном состоянии, повышение квалификации сотрудников.
4 Статус и редакции
Документ действует. Применяется в редакции от 20.04.2023. Приказом ФСТЭК № 220 от 16.07.2026 (зарегистрирован 07.09.2026) добавлены пункты 36(1)–36(4), которые применяются с 01.03.2027: владелец значимого объекта рассчитывает показатель защищённости (Кзи) не реже раза в 6 месяцев и уровень зрелости (Узи) не реже раза в 3 года, направляет результаты во ФСТЭК за 5 рабочих дней, а если показатель ниже нормы — докладывает руководителю за 3 дня. Требования рассчитаны именно на значимые объекты и работают в связке с приказом № 239 (конкретные меры защиты). Перед работой сверяйтесь с действующей редакцией.