Какие государственные органы контролируют безопасность КИИ?

Алексей Ветров

Эксперт по защите данных IC-TECH

Задать вопрос

Если очень просто: за “контроль” КИИ в России отвечают два ключевых госцентра – ФСТЭК и ФСБ.
ФСТЭК – это про требования к защите и проверки (надзор) для значимых объектов КИИ.
ФСБ – это про кибератаки и инциденты: как о них сообщать, как реагировать и как взаимодействовать с ГосСОПКА/НКЦКИ.

Что говорит законодательство

В 187-ФЗ закреплено распределение ролей:

• Президент РФ определяет основные направления госполитики в области безопасности КИИ и определяет уполномоченный федеральный орган в этой сфере.
• Государственный контроль (надзор) за безопасностью значимых объектов КИИ проводится уполномоченным федеральным органом через плановые и внеплановые проверки соблюдения требований 187-ФЗ и подзаконных актов, включая проверку правильности отнесения объектов к значимым.
• Уполномоченным органом в области обеспечения безопасности КИИ в РФ фактически выступает ФСТЭК России (это закреплено изменениями в положении о ФСТЭК).
• В части реагирования на компьютерные атаки и инциденты действует ГосСОПКА, а НКЦКИ координирует деятельность субъектов КИИ по вопросам обнаружения/предупреждения/ликвидации последствий атак и реагирования на инциденты.
• Порядок информирования ФСБ России о компьютерных инцидентах и реагирования на них по значимым объектам КИИ установлен отдельным нормативным актом ФСБ (приказ № 282).

Как это работает на практике

Обычно “контроль безопасности КИИ” выглядит так:

1. ФСТЭК России (надзор и требования)

• проверяет, выполняет ли субъект КИИ требования по безопасности значимых объектов;
• может прийти с плановой/внеплановой проверкой;
• смотрит, корректно ли объект отнесён к значимым и выполняются ли требования подзаконных актов.

1. ФСБ России / НКЦКИ / ГосСОПКА (инциденты и кибератаки)

• если по значимому объекту происходит компьютерный инцидент, действует установленный порядок уведомления и взаимодействия;
• НКЦКИ – “координационный центр”, который помогает выстраивать взаимодействие и реагирование в рамках ГосСОПКА.

1. Президент/Правительство (уровень управления и регулирования)
   Это не “проверяющие на объекте”, а уровень, который задаёт рамку: кто уполномочен, какие направления политики и какие базовые правила действуют.

Выводы и рекомендации

Ключевые контролирующие органы по КИИ:

• ФСТЭК России – требования к защите + госнадзор (проверки) значимых объектов КИИ.
• ФСБ России (через ГосСОПКА/НКЦКИ) – координация и порядок действий при кибератаках и инцидентах по значимым объектам КИИ.

Чтобы быть готовыми к любому “контролю”, держите в порядке две линии:

1. надзорная (ФСТЭК): понимание, какие объекты значимые и какие требования к ним применимы;
2. инцидентная (ФСБ/ГосСОПКА): понятный внутри организации порядок обнаружения, фиксации и уведомления об инцидентах по значимым объектам.

Возникли трудности с категорированием КИИ?

Проведем категорирование за Вас

Выявим объекты КИИ, проведем категорирование, разработаем полный пакет документации и проконсультируем по взаимодействию с органами.

Заказать

О услуге