Сроки по КИИ — категорирование, ФСТЭК и НКЦКИ (2026)
Все сроки субъекта КИИ в одной таблице: сведения о категорировании во ФСТЭК, их изменения, пересмотр категории, метрики Кзи и Узи, уведомление НКЦКИ за 3 и 24 часа, план реагирования.
Коротко. Категорирование измеряется днями и годами, реагирование на инциденты — часами. Сведения о результатах категорирования — во ФСТЭК за 10 рабочих дней после утверждения акта, изменения сведений — за 20 рабочих дней, пересмотр категории — не реже раза в 5 лет. Об инциденте на значимом объекте нужно сообщить в НКЦКИ за 3 часа с момента обнаружения, на ином объекте КИИ — за 24 часа.
Рассчитать свои сроки → Введите дату утверждения акта — календарь посчитает рабочие дни с праздниками и добавит сроки в Outlook или Яндекс Календарь.
Категорирование
| Действие | Срок |
|---|---|
| Направить во ФСТЭК сведения о результатах (акт) | 10 рабочих дней после утверждения акта |
| Направить во ФСТЭК изменившиеся сведения об объекте | 20 рабочих дней со дня изменения |
| Пересмотреть присвоенную категорию | не реже 1 раза в 5 лет (если отраслевые особенности не задают иной срок), а также при изменениях и после инцидента |
| Утвердить перечень объектов, направить его во ФСТЭК, уложиться в год | отменено с 27.12.2024 (ПП № 1281) |
Сроки категорирования приведены по действующей редакции ПП № 127 (с изменениями ПП № 1281 и № 1762). Отраслевые особенности вашей сферы могут их уточнять — например, в ОПК незначимые объекты пересматривают ежегодно.
Метрики защищённости значимых объектов (с 01.03.2027)
| Действие | Срок |
|---|---|
| Рассчитать показатель защищённости (Кзи) | не реже 1 раза в 6 месяцев |
| Оценить уровень зрелости (Узи) | не реже 1 раза в 3 года и до допуска подрядчика к объекту |
| Направить результаты во ФСТЭК | 5 рабочих дней после расчёта |
| Доложить руководителю, если показатель ниже нормы | 3 календарных дня |
Основание — изменения в требования № 235, внесённые приказом ФСТЭК № 220 от 16.07.2026. Для ГИС похожие сроки уже действуют с 01.09.2026 по приказу ФСТЭК № 117 (в ред. № 137): Узи там — раз в 2 года. Порядок по шагам — на странице «Категорирование объектов КИИ».
Инциденты и реагирование
| Действие | Срок |
|---|---|
| Уведомить НКЦКИ об инциденте на значимом объекте | 3 часа с момента обнаружения |
| Уведомить НКЦКИ об инциденте на ином объекте КИИ | 24 часа с момента обнаружения |
| Ответить НКЦКИ о мерах по предупреждению готовящейся атаки | 24 часа после получения сведений |
| Сообщить в НКЦКИ о результатах реагирования | 48 часов после завершения мероприятий |
| Разработать план реагирования | 90 дней после включения объекта в реестр значимых |
| Направить копию плана реагирования в НКЦКИ | 7 календарных дней после утверждения |
Для банковской сферы и финансового рынка информация об инциденте направляется также в Банк России в те же сроки. Подробнее — на странице «Взаимодействие с НКЦКИ».
Смежные сроки
Субъект КИИ почти всегда ещё и оператор персональных данных. Об утечке ПДн Роскомнадзор нужно уведомить в течение 24 часов с момента выявления, о результатах расследования — в течение 72 часов (комплект по персональным данным). Требование прокурора о представлении документов по общему правилу исполняется не позднее 5 рабочих дней (ответы надзорным органам).
Как не пропустить сроки
- Записать даты в календарь сразу после утверждения акта. От него считаются 10 рабочих дней на сведения во ФСТЭК и 5 лет до пересмотра категории.
- Назначить ответственного за уведомление НКЦКИ. У дежурного должна быть инструкция и доступ к каналу связи круглосуточно — 3 часа не ждут утра.
- Вести журнал учёта инцидентов. В нём фиксируется момент обнаружения, от которого считаются сроки.
- Поставить напоминание о пересмотре категории. Пять лет — долго, и о сроке забывают чаще всего.
Частые вопросы
От какой даты считать год на категорирование?
От даты утверждения перечня объектов, подлежащих категорированию.
С какого момента считать 3 и 24 часа?
С момента обнаружения компьютерного инцидента, а не с начала следующего рабочего дня.
Есть ли сроки для субъектов без значимых объектов?
Да: сроки категорирования и направления сведений во ФСТЭК, пересмотр категории и уведомление НКЦКИ об инциденте в течение 24 часов действуют для всех субъектов КИИ.
Справочный материал, не является юридической консультацией. Полная памятка — на главной.