Современное регулирование и защита критической информационной инфраструктуры в России: руководство от «ПромНавигатор»
В условиях цифровизации и роста киберугроз объекты критической информационной инфраструктуры (КИИ) становятся приоритетом для государства. Их правовой статус и требования к безопасности строго регламентированы на законодательном уровне. Эксперты «ПромНавигатор» подготовили подробное руководство, позволяющее разобраться в действующих нормативных актах, процедурах категорирования и практических аспектах защиты КИИ, с учетом последних изменений и актуальной практики применения.
Ключевые нормативные акты для КИИ: структура регулирования
- Постановление Правительства РФ № 127 от 8 февраля 2018 г. — основной документ, определяющий критерии включения объектов в реестр КИИ, деление по категориям значимости, а также базовые требования к их технической и организационной защите.
- Постановление Правительства РФ № 832 от 17 июля 2019 г. — устанавливает правила лицензирования деятельности по технической защите конфиденциальной информации на объектах КИИ, особенно актуален для организаций, имеющих доступ к сведениям, составляющим государственную тайну.
- Постановление Правительства РФ № 2299 от 31 декабря 2020 г. — определяет специальные меры по обеспечению безопасности персональных данных в информационных системах, входящих в состав КИИ.
- Постановление Правительства РФ № 1564 от 9 декабря 2020 г. — дополнительно регулирует объекты энергетического сектора.
Каждое постановление охватывает отдельные аспекты: от общих принципов категорирования до специфики обработки персональных данных и технической защиты. Выбор нужного нормативного акта зависит от отрасли, типа информации и уровня значимости объекта.
Пошаговый алгоритм определения применимых требований
-
1. Определение отраслевой специфики:
- Здравоохранение: применяется № 127 с учетом особенностей обработки медицинских сведений и дополнительно № 2299 для защиты персональных данных.
- Энергетика: кроме № 127, действует № 1564, устанавливающий дополнительные правила для энергетических систем.
- Финансовые организации: комбинация № 127, № 2299 и указаний Банка России.
- Транспорт и связь: основное регулирование — № 127, с учетом отраслевых разъяснений.
-
2. Категорирование объекта:
Категория присваивается на основании критериев, изложенных в приложениях к № 127:
- Первая категория: сбои приведут к масштабным социальным последствиям.
- Вторая категория: объекты, влияющие на государственную безопасность.
- Третья категория: базовый уровень — нарушения ограничивают функционирование, но не влекут катастрофических последствий.
-
3. Анализ типа информации:
Если на объекте обрабатываются персональные данные, государственная или коммерческая тайна — применяются дополнительные постановления, а также требования по криптографической защите (согласования с ФСБ России).
-
4. Взаимодействие с надзорными ведомствами:
Получение методических разъяснений и письменных консультаций ФСТЭК России до начала процедуры категорирования позволяет избежать ошибок и ускорить согласование документов.
Документальное оформление и порядок подачи
Для прохождения процедуры категорирования КИИ организация должна подготовить следующий комплект:
- Заявление о присвоении категории значимости объекту КИИ;
- Информацию об объекте по утвержденной ФСТЭК форме;
- Акт обследования объекта на предмет соответствия требованиям безопасности;
- Техническое задание на внедрение системы защиты;
- План мероприятий по обеспечению устойчивой и безопасной работы объекта;
Дополнительно, в зависимости от специфики:
- Лицензия на техническую защиту информации (при работе с гостайной);
- Заключения о соответствии требованиям по защите персональных данных;
- Согласования на использование криптографических средств защиты;
- Сертификаты на используемые средства безопасности.
Срок рассмотрения пакета документов — от 30 до 90 рабочих дней, а для пересмотра категории — до 120 дней. Поданный неполный комплект возвращается без рассмотрения, что приводит к задержкам в запуске или эксплуатации объектов.
Актуальные вопросы и практические рекомендации
-
Медицинская организация с электронными картами пациентов:
Следует руководствоваться № 127, а при обработке значительного объема данных пациентов — также № 2299. Если в год обрабатывается более 100 000 записей, объект может быть отнесен ко второй или третьей категории.
-
Банки и кредитные организации:
Необходимо комплексное соблюдение требований № 127 и № 2299, а также учитывать отраслевые акты Банка России. При несоблюдении хотя бы одного из нормативов организация может быть привлечена к административной ответственности.
-
Категорирование транспортных объектов:
Рассчитывается по критериям пропускной способности, стратегической значимости и потенциальному ущербу. Крупные транспортные узлы (например, аэропорты федерального значения) чаще всего попадают в первую категорию.
-
Изменение категории объекта:
Возможно при существенных изменениях в работе, модернизации или изменении законодательства. Потребуется новый пакет документов и повторная процедура.
Типичные ошибки и советы по оптимизации
- Применение только базового постановления без учета отраслевых нюансов;
- Игнорирование требований по защите персональных данных при внедрении комплексных систем;
- Использование устаревших версий нормативных документов;
- Ошибки при определении категории значимости объекта;
- Отсутствие взаимодействия с надзорными органами на этапе подготовки документов.
Рекомендации «ПромНавигатор»:
- Начинайте подготовку за 6 месяцев до запуска объекта;
- Привлекайте профильных экспертов для анализа нормативных требований;
- Ведите детальный учет всех этапов категорирования и согласований — это упростит подготовку к проверкам;
- Постоянно отслеживайте изменения в законодательстве и реестре Минпромторга — актуальные данные доступны на официальном сайте Минпромторга и в реестре сертифицированных продуктов и решений для КИИ.
Дополнительная информация: Реестр Минпромторга РФ
Реестр Минпромторга РФ — это официальный перечень программных и аппаратных средств, допущенных к применению на объектах КИИ. Он помогает организациям выбирать сертифицированные решения, соответствующие требованиям безопасности. Ведение реестра позволяет:
- Проверить, соответствует ли используемое ПО/оборудование стандартам российского законодательства;
- Получить актуальные сведения о сертификации и совместимости решений;
- Минимизировать риски отказа при проверках со стороны ФСТЭК и других надзорных органов.
Регулярная проверка обновлений реестра обязательна для всех организаций, занятых в сфере КИИ.
Заключение: Комплексная поддержка от «ПромНавигатор»
Грамотный выбор нормативных актов, корректное определение категории значимости и соблюдение всех этапов документирования — залог успешной и безопасной работы объектов КИИ. Постановление № 127 является фундаментом, однако применение дополнительных актов определяется отраслевой принадлежностью и спецификой обрабатываемой информации.
«ПромНавигатор» оказывает всестороннюю поддержку по вопросам категорирования, подбора нормативной базы и выбора сертифицированных решений. Благодаря сотрудничеству с более чем 17 экспертными партнерами и наличию собственного каталога документов, компания обеспечивает индивидуальный подход и сопровождение на всех этапах работы с КИИ.
Обратитесь за консультацией к специалистам «ПромНавигатор» — своевременно выполненные требования законодательства и правильно выбранная нормативная база гарантируют устойчивую работу вашей критической инфраструктуры и успешное прохождение проверок надзорных органов.