Нормативная основа обязанности уведомления
Обязанность направления результатов категорирования следует из:
-
Федерального закона от 26.07.2017 № 187-ФЗ
«О безопасности критической информационной инфраструктуры Российской Федерации»; -
Правил категорирования объектов КИИ, утверждённых Постановлением Правительства РФ от 08.02.2018 № 127.
Эти документы прямо предусматривают информирование ФСТЭК России о результатах категорирования объектов КИИ.
Основной случай: завершение категорирования объекта КИИ
Результаты категорирования подлежат направлению в ФСТЭК России после завершения процедуры категорирования объекта КИИ, то есть после:
-
принятия решения комиссией по категорированию;
-
оформления акта категорирования;
-
утверждения результатов субъектом КИИ.
При этом не имеет значения, признан объект значимым или незначимым.
Направляются ли сведения по незначимым объектам КИИ
Да, направляются.
Если объект КИИ признан незначимым:
-
сведения о результатах категорирования всё равно подлежат направлению в ФСТЭК России;
-
регулятор оценивает обоснованность вывода о незначимости;
-
отсутствие уведомления рассматривается как нарушение требований законодательства.
Незначимость объекта не освобождает от обязанности уведомления регулятора.
Направление сведений при повторном или внеплановом категорировании
Результаты категорирования подлежат направлению в ФСТЭК также в случаях:
-
пересмотра категории значимости;
-
повторного категорирования;
-
внепланового категорирования, вызванного изменениями объекта КИИ или его функций.
Если по результатам пересмотра категория изменилась либо была подтверждена, сведения направляются повторно.
Направление сведений при изменении исходных данных
Если в результате изменений:
-
состава объекта КИИ;
-
его архитектуры;
-
обеспечиваемых процессов;
-
последствий нарушения функционирования
проведено новое категорирование или подтверждена категория, обновлённые результаты подлежат направлению в ФСТЭК России.
Что именно направляется в ФСТЭК
В ФСТЭК направляются:
-
сведения о результатах категорирования объекта КИИ;
-
информация о присвоенной категории значимости либо о признании объекта незначимым;
-
данные, предусмотренные Правилами категорирования и установленными форматами.
Важно: направляются сведения, а не полный комплект внутренних аналитических материалов, однако субъект КИИ обязан иметь их для проверок.
Сроки и форма направления сведений
Сведения направляются:
-
в сроки, установленные Правилами категорирования (ПП РФ № 127);
-
в установленной форме и по предусмотренным каналам взаимодействия.
Нарушение сроков или формы направления квалифицируется как несоблюдение требований 187-ФЗ.
Типовые ошибки при направлении результатов
На практике регулятор чаще всего выявляет:
-
ненаправление сведений по незначимым объектам;
-
направление сведений без оформленного акта категорирования;
-
несоответствие направленных сведений фактическим документам;
-
несвоевременное уведомление при пересмотре категории.
Эти нарушения рассматриваются как недостоверность или неполнота сведений о КИИ.
Ключевой вывод
Результаты категорирования КИИ подлежат направлению в ФСТЭК России:
-
всегда после завершения категорирования, независимо от категории значимости;
-
при признании объекта как значимым, так и незначимым;
-
при повторном, внеплановом или пересмотренном категорировании.
Направление сведений в ФСТЭК — обязательный элемент выполнения требований 187-ФЗ и неотъемлемая часть процедуры категорирования.
