Значимые объекты КИИ — что обязательно и какие документы нужны (2026)
Что должен субъект КИИ, у которого есть значимый объект: система безопасности по № 235, меры по № 239, модель угроз, реестр, план реагирования, план мероприятий, ГосСОПКА.
Коротко. Если хотя бы одному объекту по итогам категорирования присвоена категория К1–К3, субъект КИИ обязан создать систему безопасности значимого объекта по приказу ФСТЭК № 235, реализовать меры защиты по приказу № 239, разработать модель угроз, направить сведения в реестр значимых объектов, утвердить план реагирования на инциденты и взаимодействовать с ГосСОПКА. Основой системы служит политика безопасности значимых объектов, а выполнение мер планируется ежегодным планом мероприятий.
Когда объект становится значимым
Объект получает категорию значимости К1, К2 или К3, если последствия возможного компьютерного инцидента достигают пороговых значений хотя бы по одному показателю критериев значимости (порядок категорирования). С этого момента на субъекта распространяется «защитный» пакет требований — тяжёлый, но конечный и понятный.
Что обязательно
| Требование | Основание | Документ |
|---|---|---|
| Система безопасности: ответственные, подразделение, ОРД | приказ ФСТЭК № 235 | политика безопасности ЗОКИИ |
| Меры защиты по категории значимости | приказ ФСТЭК № 239 | документация на подсистему безопасности |
| Модель угроз безопасности информации | приказ ФСТЭК № 239, Методика ФСТЭК 2021 | модель угроз |
| Сведения в реестр значимых объектов | приказ ФСТЭК № 227 | сведения с доменами и IP-адресами |
| План реагирования, копия в НКЦКИ за 7 дней | приказ ФСБ № 547 | план реагирования |
| Ежегодное планирование и контроль | приказ ФСТЭК № 235 | план мероприятий |
Как выстроить систему
- Назначить ответственных: заместителя руководителя по ИБ и подразделение по безопасности (организация ИБ по Указу № 250).
- Утвердить политику безопасности значимых объектов — основной документ системы, который детализируется порядками и инструкциями.
- Разработать модель угроз по Методике ФСТЭК с использованием банка данных угроз и выбрать меры защиты из приказа № 239 для категории объекта.
- Направить сведения в реестр значимых объектов, утвердить план реагирования в течение 90 дней после включения в реестр и отправить его копию в НКЦКИ.
- Ежегодно утверждать план мероприятий: актуализация документов, уязвимости и обновления, тренировки по плану реагирования, контроль и обучение.
На что обратить внимание в 2027 году
В плане мероприятий из комплекта заложена подготовка к изменениям Требований № 235, которые вступают в силу 1 марта 2027 года: расчёт показателя защищённости и техническая поддержка средств защиты информации. Перед планированием сверьте действующую редакцию приказа.
Частые ошибки
- Купили средства защиты, а системы нет. Без ответственных, политики и контроля средства не превращаются в систему безопасности по № 235.
- Модель угроз «из интернета». Угрозы должны быть привязаны к архитектуре конкретного объекта и негативным последствиям, оценённым при категорировании.
- План реагирования не отправлен в НКЦКИ. Копия направляется в течение 7 календарных дней после утверждения и после каждой актуализации.
- Нет ежегодного плана мероприятий. Без него не показать, что система функционирует, а не существует на бумаге.
Документы по теме — как заполнить
Частые вопросы
Если значимых объектов нет, нужны ли эти документы?
Нет. Система безопасности по № 235, меры по № 239, модель угроз и реестр — только для значимых объектов. Объекты без категории защищаются по общим требованиям ИБ организации, но обязанность сообщать в НКЦКИ об инцидентах сохраняется.
Кто отвечает за систему безопасности?
Руководитель субъекта КИИ несёт персональную ответственность; систему организует заместитель руководителя, ответственный за ИБ, а меры реализует подразделение по безопасности — по Указу № 250 и типовым положениям ПП № 1272.
Можно ли применять иностранные средства защиты?
На значимых объектах применяются средства защиты, прошедшие оценку соответствия; с 1 января 2025 года организациям из перечня Указа № 250 запрещено использовать средства защиты из недружественных государств. Переход на доверенные программно-аппаратные комплексы — по ПП № 1912.
Как часто пересматривать политику и модель угроз?
В шаблонах комплекта: политика — не реже одного раза в 2 года и при изменениях; модель угроз — при изменении объекта, банка данных угроз ФСТЭК и после инцидентов; контроль состояния безопасности — не реже раза в год по плану мероприятий.
Справочный материал, не является юридической консультацией. Полная памятка — на главной.