Что такое категорирование и что изменилось в 2026
Категорирование объектов КИИ это процедура, в которой комиссия субъекта определяет, какие из его систем являются объектами КИИ, и присваивает каждому категорию значимости по показателям ущерба: социального, политического, экономического, экологического, для обороны и госуправления. Три категории, первая самая высокая. Результат оформляется актом и направляется во ФСТЭК, которая ведет реестр значимых объектов.
В 2026 году процедура изменилась. Правительство утвердило перечень типовых отраслевых объектов, и теперь субъекту не нужно классифицировать свои процессы: достаточно сверить системы с перечнем. Если система подходит под типовой объект, она объект КИИ, и закрепить актом обратное нельзя. Для каждой сферы утверждены свои особенности категорирования, а сами категории обязаны пересматриваться периодически и при изменении показателей. Банк России для своих поднадзорных требует пересмотра ежегодно и ежеквартальной отчетности.
Практическое следствие: организации, которые раньше занижали категории или дробили системы, чтобы выйти из-под требований, в 2026 году обязаны пересмотреть категории по новым правилам, и требования к их объектам, скорее всего, вырастут.
Как категория связана с временем простоя
Показатели значимости описывают, что случится, если объект перестанет работать: сколько людей останется без услуги, сколько потеряет экономика, какая территория пострадает. По смыслу это оценка последствий простоя, только выраженная в категориях, а не в часах.
Анализ воздействия на бизнес отвечает на тот же вопрос с другой стороны: для каждого процесса, сколько часов он может стоять до недопустимых последствий, что теряется в каждый час и какие данные нельзя потерять. Результат выражается в трех величинах: максимально допустимый простой, целевое время восстановления (RTO) и целевая точка восстановления (RPO). Подробно об этом на опорной странице анализ воздействия на бизнес.
Связь прямая. Объект первой категории это объект, простой которого быстро дает тяжелый ущерб, значит, у зависимых процессов короткое допустимое время простоя и короткое окно переезда. Объект третьей категории может стоять дольше, и окно шире. Но категория говорит об ущербе для государства и общества, а допустимое время простоя об ущербе для компании, и они не всегда совпадают: система, не значимая для страны, может быть смертельной для конкретного бизнеса. Поэтому обе величины нужны, и анализ воздействия не заменяется категорированием.
Для перехода на российские ПАК из этого следует правило: окно переключения объекта не длиннее самого короткого допустимого простоя среди зависимых процессов, с запасом на откат. Категория подсказывает, где искать короткие окна в первую очередь.
Как провести обе процедуры за один заход
И категорирование, и анализ воздействия строятся на опросе одних и тех же людей: владельцев процессов, руководителей производства, финансов, юристов. Если опрашивать их дважды разными комиссиями, ответы разойдутся, и это расхождение потом всплывет при проверке. Порядок, который работает:
- Составить один перечень: системы, зависимые от них процессы, владельцы процессов. Сверить системы с перечнем типовых объектов.
- Провести один раунд интервью с владельцами процессов с двумя блоками вопросов: показатели ущерба по методике категорирования и допустимое время простоя с потерями в час.
- Оформить два результата из одного источника: акт категорирования для ФСТЭК и таблицу допустимого простоя для руководства. Числа в них должны не противоречить друг другу.
- Из таблицы простоя вывести окна переезда для плана перехода, а из категорий приоритет объектов.
Так регулятор получает акт, руководитель окно, а компания одну согласованную картину вместо двух.
Не ИТ и не безопасность, а тот, кто отвечает за процесс, и тот, кто отвечает за непрерывность. Второй роли в большинстве субъектов КИИ нет. Ее можно вырастить из руководителя проекта перехода или из специалиста по ИБ: анализ воздействия с допустимым временем простоя это первый модуль программы ERGP, и делается он на своей компании.
Сертификация ERGP: система непрерывности на своем случае за шесть модулей →
Ошибки, которые видит регулятор
По словам представителей ФСТЭК на публичных мероприятиях, самое частое нарушение это несоответствие фактического состава объектов сведениям в реестре и несвоевременная подача изменений. За ним идут заниженные категории и разделенные системы, которые по новому перечню обратно собираются в один типовой объект. Для перехода это означает, что план, составленный по старым категориям, придется переписывать.
Со стороны непрерывности ошибка зеркальная: анализ воздействия сделан по процессам, но не привязан к системам, и при переезде никто не может сказать, какие процессы встанут вместе с конкретным объектом. Лечится одной таблицей связи «система, процесс, владелец, допустимый простой», которая живет и в акте категорирования, и в плане перехода.
Частые вопросы
Комиссия субъекта КИИ, созданная приказом руководителя. Подрядчика можно привлечь для методической помощи, но акт подписывает комиссия, и ответственность остается у субъекта. То же с анализом воздействия: считать может консультант, утверждать простой должен владелец процесса.
Нет. Категория говорит о масштабе ущерба для государства и общества, а не о часах для компании. Объект третьей категории может останавливать процесс, который для компании не может стоять и двух часов. Допустимый простой определяется отдельно, через анализ воздействия.
Категории по правилам пересматриваются периодически и при изменении показателей; финансовый сектор ежегодно. Анализ воздействия принято обновлять раз в год и при изменениях в процессах. Удобно совместить оба пересмотра в один цикл, чтобы данные не расходились.