Лекция

КИИ: субъект вы или нет

Статус субъекта критической информационной инфраструктуры никто не присваивает. В Федеральном законе от 26.07.2017 № 187-ФЗ нет ни одной нормы, по которой регулятор признавал бы организацию субъектом, включал бы её в какой-то список и уведомлял бы об этом. Субъект — это описание фактического положения дел: если три условия пункта 8 статьи 2 выполнены, организация субъект уже сегодня, независимо от того, произносил ли кто-нибудь в ней слово «КИИ».

Лекция для системного администратора больницы, вуза, научного института, транспортной компании, оператора связи, банка, энергетической компании или завода — то есть для того, кто может оказаться внутри этого режима и не знать об этом. Разбираемся по шагам: как читается определение, какие сферы в него входят, что изменилось с 1 сентября 2025 года, как устроен перечень типовых отраслевых объектов и что придётся сделать, если ответ «да».

Главный тезис

Первый документ в этой истории — акт категорирования — появляется много позже статуса и зависит от него, а не наоборот. Отсутствие писем от регулятора означает только отсутствие писем.

Что внутри

  • Три слова, которые путают чаще всего: субъект, объект и значимый объект — и почему «наша больница — объект КИИ» неверно
  • Три условия статуса, четырнадцать сфер закрытого перечня и ещё две двери, через которые обязанности приходят помимо статуса
  • Что сделал Федеральный закон от 07.04.2025 № 58-ФЗ: индивидуальные предприниматели перестали быть субъектами с 1 сентября 2025 года
  • Новая точка входа: сначала перечень типовых отраслевых объектов из распоряжения № 360-р, потом критерии значимости
  • Комиссия, показатели, правила счёта, сроки 10 / 30 / 10 / 20 / 5 и то, что решение «категория не нужна» тоже отправляется во ФСТЭК
  • Кто проверяет, кто приходит с иском и сколько стоят три статьи КоАП, включая новую 13.12.2
Чего здесь нет

Порядок импортозамещения, процедура реагирования на инцидент и составы уголовных статей разбираются в соседних лекциях — здесь они названы одной строкой как следствия статуса. И главное: лекция не выдаёт юридического заключения о вашей организации. Она даёт нормы и алгоритм проверки, а решение принимает постоянно действующая комиссия субъекта, оформляет актом руководитель, а правильность присвоения категории проверяет ФСТЭК.

Тема 1 из 18 · Кто такой субъект

Субъект — организация, объект — система

Разговор о КИИ ломается на первой же фразе, если путать три термина. Все три определены в статье 2 187-ФЗ, и они не взаимозаменяемы.

Пункт 8 статьи 2 — субъекты

«Субъекты критической информационной инфраструктуры — государственные органы, государственные учреждения, российские юридические лица, которым на праве собственности, аренды или на ином законном основании принадлежат информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления, функционирующие в сфере здравоохранения, науки, транспорта, связи, энергетики, государственной регистрации прав на недвижимое имущество и сделок с ним, банковской сфере и иных сферах финансового рынка, топливно-энергетического комплекса, в области атомной энергии, оборонной, ракетно-космической, горнодобывающей, металлургической и химической промышленности, российские юридические лица, которые обеспечивают взаимодействие указанных систем или сетей».

Пункты 7 и 3 статьи 2 — объекты и значимые объекты

«Объекты критической информационной инфраструктуры — информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления субъектов критической информационной инфраструктуры».

«Значимый объект критической информационной инфраструктуры — объект критической информационной инфраструктуры, которому присвоена одна из категорий значимости и который включен в реестр значимых объектов критической информационной инфраструктуры».

Три следствия

  • Субъект — организация, объект — система. Субъектом становится юридическое лицо, объектом — его информационная система, сеть или автоматизированная система управления. Фраза «наша больница — объект КИИ» неверна: больница — субъект, объект — её медицинская информационная система.
  • Определение объекта круговое и потому широкое. Объект КИИ — это система субъекта КИИ. Если организация субъект, её информационные системы, сети и автоматизированные системы управления — объекты КИИ. Все, а не только те, которые она сама считает важными.
  • «Значимый» не синоним «объекта КИИ». Значимым объект становится в два шага: присвоена категория значимости и объект внесён в реестр значимых объектов. Акт комиссии сам по себе значимости не создаёт.
кто
Субъект

Госорган, госучреждение, российское юрлицо. Именно на субъекта адресованы обязанности части 2 статьи 9.

что
Объект КИИ

Информационная система, сеть или АСУ, принадлежащая субъекту. Отдельного решения о признании системы объектом закон не предусматривает.

что после категорирования
Значимый объект

Объект с присвоенной категорией, внесённый ФСТЭК в реестр. Только к нему адресованы требования к безопасности значимых объектов и государственный контроль.

Городская поликлиника владеет медицинской информационной системой. Как правильно описать роли?
Субъектом по пункту 8 статьи 2 становится организация, объектом по пункту 7 — принадлежащая ей система. Реестра субъектов закон вообще не учреждает, поэтому уведомления о статусе не существует.
Комиссия завода присвоила автоматизированной системе управления вторую категорию значимости и утвердила акт. Объект уже значимый?
Определение значимого объекта двухступенчатое: присвоена категория и объект включён в реестр. Акт комиссии запускает процедуру, но значимости сам по себе не создаёт.
Что следует из того, что определение объекта КИИ опирается на понятие субъекта?
Пункт 7 статьи 2 определяет объект через принадлежность субъекту, без отбора по важности. Отбор появляется дальше — на этапе категорирования, и он про значимость, а не про сам статус объекта.
Бесплатный доступ

Дальше нужен аккаунт

Прогресс и монеты сохранятся.