КИИ в здравоохранении — типовые объекты и что делать клинике (2026)
Какие системы медицинских и фармацевтических организаций — объекты КИИ по перечню № 360-р: МИС, лабораторные системы, лучевая диагностика и терапия, мониторинг пациентов. Что делать клинике.
Коротко. Здравоохранение — одна из сфер 187-ФЗ, а перечень типовых отраслевых объектов № 360-р называет в ней 12 позиций. Среди них — информационные системы медицинских и фармацевтических организаций, системы клинико-лабораторных исследований, управления оборудованием лучевой диагностики и терапии, наблюдения пациентов и хирургических вмешательств. Если такая система есть у клиники или аптеки, организация — субъект КИИ и обязана провести категорирование.
Кого касается
Субъект КИИ в здравоохранении — госорган, учреждение или российское юрлицо, которому принадлежат информационные системы, сети или АСУ, работающие в сфере охраны здоровья. Это государственные и частные клиники, лаборатории, диагностические центры, аптечные организации и операторы медицинских информационных систем. Индивидуальные предприниматели с 1 сентября 2025 года исключены из числа субъектов.
Что в перечне № 360-р
Раздел «Сфера здравоохранения» — 12 позиций. Помимо государственных систем (ЕГИСЗ, системы ОМС, ЦОД), в нём системы, которые есть почти в любой медицинской организации: информационные системы медицинских организаций, системы фармацевтических организаций, иные системы, взаимодействующие с ЕГИСЗ. Отдельно — системы управления медицинским оборудованием: клинико-лабораторные исследования, лучевая диагностика и лучевая терапия, принудительная подача газовой смеси, постоянное наблюдение пациентов, хирургические вмешательства. Полный список с типовыми процессами — ниже.
Что делать клинике
- Сопоставить свои системы с позициями перечня — от МИС и лабораторной системы до оборудования с управляющим ПО.
- Если совпадения есть — издать приказ о комиссии по категорированию.
- Провести категорирование каждого объекта и направить сведения по форме № 236 в течение 10 рабочих дней после утверждения акта.
- Утвердить порядок информирования НКЦКИ и завести журнал учёта инцидентов.
Как обосновать, что объект не значимый
В акте категорирования по каждому показателю значимости указывается оценка последствий в наихудшем сценарии с расчётами: сколько пациентов обслуживает система, что будет при её остановке, есть ли резервный режим работы. Если ни один показатель не достигает установленных значений ПП № 127, комиссия принимает решение не присваивать категорию — и это решение тоже направляется во ФСТЭК.
Типовые объекты КИИ — 12 позиций
Наименования — дословно из перечня в редакции от 27.05.2026. Раскройте позицию, чтобы увидеть типовые процессы (функции) объекта. Номер — сквозной номер позиции в перечне, его указывают в акте и в сведениях по форме № 236.
1Информационные системы, информационно-телекоммуникационные сети, размещенные в центре обработки данных и обеспечивающие предоставление информационных, вычислительных и телекоммуникационных ресурсов, возможностей и услуг для функционирования значимых объектов критической информационной инфраструктуры Российской Федерации (далее - критическая информационная инфраструктура) в сфере здравоохранения
Типовые процессы: сбор, хранение, обработка и представление информации, необходимой для информационной поддержки управления деятельностью в сфере охраны здоровья граждан Российской Федерации, включая информацию о медицинских и фармацевтических организациях на территориях субъектов Российской Федерации и об осуществлении этими организациями медицинской и фармацевтической деятельности на территории Российской Федерации с использованием связанной системы информационно-телекоммуникационной инфраструктуры (в том числе облачной инфраструктуры) и инженерной инфраструктуры, оборудование которых размещено в зданиях или помещениях, подключенных к внешним сетям (инженерным и телекоммуникационным); предоставление виртуальных ресурсов для размещения значимых объектов критической информационной инфраструктуры и хранения данных; обеспечение создания, развития и эксплуатации значимых объектов критической информационной инфраструктуры
2Единая государственная информационная система в сфере здравоохранения, государственные информационные системы в сфере здравоохранения субъектов Российской Федерации
Типовые процессы: обеспечение доступа граждан к услугам в сфере здравоохранения в электронной форме (в части единой государственной информационной системы в сфере здравоохранения); обеспечение взаимодействия информационных систем в сфере здравоохранения; сбор, хранение, обработка и представление информации, необходимой для информационной поддержки управления деятельностью в сфере охраны здоровья граждан в субъекте Российской Федерации, включая информацию о медицинских и фармацевтических организациях на территории субъекта Российской Федерации и об осуществлении этими организациями медицинской и фармацевтической деятельности на территории субъекта Российской Федерации
3Информационные системы медицинских организаций
Типовые процессы: сбор, хранение, обработка и представление информации, необходимой для автоматизации процессов оказания и учета медицинской помощи и информационной поддержки медицинских работников, включая информацию о пациентах, об оказываемой им медицинской помощи и о медицинской деятельности медицинских организаций
4Информационные системы фармацевтических организаций
Типовые процессы: автоматизация процессов осуществления фармацевтической деятельности и информационной поддержки фармацевтических работников, включая информацию о фармацевтических организациях и об осуществлении ими фармацевтической деятельности
5Иные информационные системы, взаимодействующие с единой государственной информационной системой в сфере здравоохранения
Типовые процессы: сбор, хранение, обработка и представление информации, касающейся деятельности медицинских организаций и предоставляемых ими услуг; информационное взаимодействие с единой государственной информационной системой в сфере здравоохранения, информационными системами в сфере здравоохранения медицинских организаций
6Государственная информационная система обязательного медицинского страхования и региональные информационные системы обязательного медицинского страхования
Типовые процессы: обеспечение ведения персонифицированного учета сведений о застрахованных лицах; обеспечение ведения персонифицированного учета сведений о медицинской помощи, оказанной застрахованным лицам; формирование документов в сфере обязательного медицинского страхования, предусмотренных Федеральным законом "Об обязательном медицинском страховании в Российской Федерации" и принятыми в соответствии с указанным Федеральным законом иными нормативными правовыми актами, а также обмен такими документами; формирование и ведение единого реестра медицинских организаций; формирование и ведение единого реестра страховых медицинских организаций; формирование и ведение единого реестра экспертов качества медицинской помощи; формирование отчетности в сфере обязательного медицинского страхования; обеспечение доступа к сведениям, содержащимся в государственной информационной системе обязательного медицинского страхования, представление таких сведений в электронном виде; обеспечение информационного взаимодействия государственной информационной системы обязательного медицинского страхования с единой государственной информационной системой в сфере здравоохранения и с иными государственными информационными системами; осуществление контроля достоверности, полноты и актуальности данных персонифицированного учета сведений о застрахованных лицах и сведений о медицинской помощи, оказанной застрахованным лицам
7Информационные системы, предназначенные для обеспечения выполнения клинико-лабораторных исследований
Типовые процессы: обеспечение процесса анализа образцов биоматериалов при их поступлении в лабораторию; обобщение всех видов лабораторных результатов, полученных как ручными, так и автоматизированными методами, применительно к одному пациенту
8Информационные системы, предназначенные для обеспечения управления аппаратами и оборудованием лучевой диагностики
Типовые процессы: формирование изображений пациента, полученных на диагностических приборах; обеспечение возможности просмотра изображений из базы данных, полученных на диагностических приборах
9Информационные системы, предназначенные для обеспечения управления оборудованием лучевой терапии
Типовые процессы: обеспечение проведения противоопухолевой терапии; расчет режима лучевого воздействия
10Информационные системы, предназначенные для обеспечения управления оборудованием принудительной подачи газовой смеси
Типовые процессы: обеспечение процесса искусственной вентиляции легких; обеспечение подачи ингаляционных анестетиков в легкие пациентов и контроля за их дозировкой
11Информационные системы, предназначенные для обеспечения управления оборудованием постоянного (интенсивного) наблюдения пациентов
Типовые процессы: обеспечение наблюдения в режиме реального времени за показателями здоровья пациентов в послеоперационных палатах (реанимационных отделениях, ожоговых центрах, лечебно-профилактических учреждениях); обеспечение безопасности пациентов с помощью клинического и аппаратного мониторинга
12Информационные системы, предназначенные для обеспечения проведения хирургических вмешательств
Типовые процессы: обеспечение проведения хирургических вмешательств
Перед категорированием сверьте формулировку позиции с действующей редакцией наофициальном портале. Разбор перечня — «Перечень типовых отраслевых объектов КИИ».
Частые вопросы
Частная клиника — субъект КИИ?
Если клинике как российскому юрлицу принадлежит информационная система медицинской организации или другая система из раздела «Сфера здравоохранения» перечня № 360-р, она субъект КИИ. Индивидуальные предприниматели с 01.09.2025 из числа субъектов исключены.
Медицинская информационная система — обязательно значимый объект?
Нет. Совпадение с позицией перечня означает, что систему нужно категорировать. Категория присваивается, только если последствия возможного инцидента достигают установленных значений показателей значимости.
Нужны ли клинике документы по персональным данным?
Да, это отдельный режим: медицинские данные — специальная категория персональных данных по 152-ФЗ. 187-ФЗ не заменяет обязанностей оператора ПДн.
Какие комплекты нужны
За несколько направлений в одном заказе — скидка до 20 %.
КИИ
Категорирование объектов, сведения во ФСТЭК, взаимодействие с НКЦКИ и защита значимых объектов.
Персональные данные
Документы оператора персональных данных — от минимума к проверке РКН до модели угроз.
Справочный материал, не является юридической консультацией.