Комиссия по категорированию КИИ: состав, приказ, порядок работы

Комиссия по категорированию объектов КИИ — обязательный орган, который субъект КИИ создаёт для проведения процедуры категорирования по 187-ФЗ. От правильного формирования комиссии зависит корректность всей процедуры и юридическая защищённость актов категорирования. Разбираем требования ПП-127, типовой состав, форму приказа, порядок работы.

Обязательность комиссии

Согласно п. 11 Постановления Правительства РФ № 127 от 08.02.2018 (в актуальной редакции с учётом изменений, внесённых Постановлением №1281 от 19.09.2024):

«Категорирование осуществляется постоянно действующей комиссией по категорированию, создаваемой субъектом критической информационной инфраструктуры, в состав которой включаются…»

Ключевые слова: постоянно действующая. Комиссия — не разовая, она работает как минимум:

При первичном категорировании
При появлении новых объектов КИИ
При модернизации существующих объектов
При плановом пересмотре (не реже 1 раза в 5 лет)
При изменениях законодательства или отраслевых перечней

Состав комиссии

Согласно ПП-127 в состав комиссии включаются представители:

Руководство субъекта КИИ или уполномоченное лицо — обычно председатель комиссии (заместитель директора, IT-директор, директор по безопасности)
Подразделения, эксплуатирующего объект КИИ — руководитель или ведущий специалист, отвечающий за объект (IT-подразделение)
Подразделения информационной безопасности — руководитель службы ИБ или CISO. В отсутствие внутреннего специалиста — привлечённый эксперт
Специалистов по функционированию объекта КИИ — люди, знающие бизнес-процессы (представители профильных подразделений, для которых объект является инструментом работы)
Специалистов по обеспечению безопасности объекта — инженеры-практики, знающие текущую архитектуру защиты
Финансово-экономического блока — при оценке экономических последствий инцидента
Юридического подразделения — юрист для правовой корректности процедуры

Внешние эксперты

По решению руководителя субъекта КИИ, в состав комиссии могут быть включены внешние эксперты. Это допустимо и практикуется в случаях:

У субъекта КИИ нет собственной службы ИБ или её компетенций недостаточно
Нужна методологическая экспертиза (юридическая, техническая)
Категорирование проводится впервые и нужна помощь в организации процедуры
Ошибка ФСТЭК при направлении на доработку — нужна экспертная оценка

Внешний эксперт включается на основании: (а) договора об оказании услуг между субъектом КИИ и внешней организацией, (б) внутреннего распоряжения руководителя о включении в комиссию, (в) соглашения о неразглашении конфиденциальной информации.

Мы работаем как внешние эксперты по такой схеме регулярно.

Приказ о создании комиссии

Что должно быть в приказе

Основание — 187-ФЗ, ПП-127, обязанность субъекта КИИ провести категорирование
Цель создания комиссии
Утверждение персонального состава комиссии — с ФИО, должностями, ролью в комиссии (председатель / заместитель / секретарь / член)
Назначение председателя и его прав
Утверждение положения о комиссии (или ссылка на утверждаемое отдельно)
Сроки проведения категорирования
Ответственные за организационное обеспечение (кто готовит документы, ведёт протоколы, обеспечивает доступ к данным)
Контроль исполнения — как правило, оставляется за руководителем

Скачать шаблон приказа

Мы подготовили шаблон приказа о создании комиссии и положение о комиссии с учётом актуальных требований 2024-2025 гг. Скачать после короткой регистрации — заполните форму, укажите отрасль, и мы пришлём подходящий пакет документов.

Порядок работы комиссии

Первое заседание — знакомство с задачей, распределение ролей, утверждение регламента работы, определение перечня объектов для категорирования. Оформляется протоколом.
Инвентаризация — комиссия обеспечивает сбор данных: техпаспорта объектов, схемы, состав пользователей, взаимодействия с другими системами. Часть работ делегируется профильным подразделениям.
Экспертиза каждого объекта — по каждому проводится оценка показателей значимости. Результаты фиксируются в рабочих документах.
Заседание по расчёту категории — комиссия рассматривает представленные материалы, обсуждает спорные показатели, утверждает расчёты. Оформляется протоколом.
Оформление акта категорирования — на каждый объект отдельный акт (Приказ ФСТЭК № 236). Подписывают все члены комиссии, утверждает руководитель субъекта КИИ.
Направление во ФСТЭК — секретарь комиссии обеспечивает подготовку сопроводительных материалов и отправку в течение 10 рабочих дней с даты утверждения акта.
Работа при уточнениях от ФСТЭК — если ФСТЭК запрашивает дополнительную информацию или возвращает на доработку — комиссия обеспечивает корректировку.
Плановая работа — далее комиссия остаётся действующей, проводит плановые пересмотры (не реже 1 раза в 5 лет), рассматривает изменения в объектах, новые объекты.

Типичные ошибки при формировании комиссии

Слишком узкий состав — только IT-специалисты, без представителей бизнеса. Такая комиссия не может корректно оценить последствия инцидентов для бизнеса — и её акты возвращает ФСТЭК.
Разовое создание «под задачу» — комиссия распускается после категорирования. Это нарушение п. 11 ПП-127 о постоянно действующей комиссии.
Отсутствие юриста — приводит к юридически некорректным формулировкам в актах, которые ФСТЭК отклоняет.
Формальность работы — комиссия собирается 1 раз, всё делает 1 человек, остальные подписывают. При проверке ФСТЭК просит протоколы заседаний с обсуждениями — их не оказывается.
Не учтены отраслевые особенности. Для банков, транспорта, ТЭК — есть отраслевые перечни и методуказания, которые должны быть отражены в работе комиссии.

Стоимость поддержки работы комиссии

Услуга	Стоимость
Разработка приказа, положения о комиссии, регламента работы	от 80 000 ₽
Работа в составе комиссии как внешний эксперт (1 объект)	от 250 000 ₽
Полный цикл категорирования с поддержкой работы комиссии (см. услугу «Категорирование КИИ»)	от 700 000 ₽

Частые вопросы

А если у нас в организации нет специалиста по ИБ?

По ПП-127 в состав комиссии должен входить представитель ИБ. Если такого нет — привлекается внешний эксперт (например, мы) по договору. В таком случае наш эксперт числится в приказе о комиссии с указанием представляющей организации.

Можно ли одну комиссию создать на группу компаний?

Нет. Каждое юрлицо — отдельный субъект КИИ, у каждого своя комиссия. При этом в разных комиссиях могут быть одни и те же люди (например, представитель материнской компании, ИТ-директор группы, наш эксперт).

Что если член комиссии уволился?

Издаётся приказ об изменении состава комиссии, назначается новый член. Если это ключевая роль (председатель или ИБ-эксперт) — временно приостанавливается работа комиссии до восстановления состава.

Обязаны ли члены комиссии проходить обучение?

Обучение не обязательно по букве 187-ФЗ, но крайне желательно. Наш опыт: если ключевые члены комиссии проходят краткий курс (2-3 дня) по 187-ФЗ, работа идёт значительно быстрее и качественнее. Мы можем провести такой семинар в рамках проекта — с сертификатом об обучении.

Оставить заявку

Позвоните +7 (495) 933-6-999 или напишите info@qbs.ru.