Защита значимых объектов КИИ: система безопасности объекта

Защита значимых объектов КИИ держится на системе безопасности, которую создаёт и поддерживает сам субъект КИИ (ч. 1 ст. 10 Закона № 187-ФЗ). Здесь — задачи системы, требования к ней, проверки, предписания, штрафы и сроки спора с органом.

Написать в мессенджер
TelegramMAXWhatsApp
Адвокат Константин Вруцкий — защита по уголовным делам, Москва
Адвокат · рег. № 78/8790

Коротко

Защита значимых объектов КИИ — обязанность субъекта критической информационной инфраструктуры: он создаёт систему безопасности значимого объекта и обеспечивает её функционирование в соответствии с требованиями, утверждёнными федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности КИИ (ч. 1 ст. 10 Закона № 187-ФЗ). Требования по обеспечению безопасности таких объектов дифференцируются в зависимости от категории значимости (ч. 1 ст. 11 Закона № 187-ФЗ).

Что делать сейчас: система безопасности значимого объекта КИИ

Ситуации, с которыми субъект КИИ приходит чаще всего, и первые шаги по каждой.

Позвонить сейчас

Объекту присвоена категория значимости, а системы безопасности ещё нет

  • Сверить то, что уже есть, с требованиями к созданию систем безопасности и обеспечению их функционирования, утверждёнными уполномоченным федеральным органом: по ним субъект создаёт систему (ч. 1 ст. 10 Закона № 187-ФЗ).
  • Выяснить категорию значимости объекта: от неё зависят требования по обеспечению его безопасности (ч. 1 ст. 11 Закона № 187-ФЗ).
  • Проверить, не установлены ли для своей сферы дополнительные требования по согласованию с уполномоченным органом (ч. 2 ст. 11 Закона № 187-ФЗ).

ч. 1 ст. 10 Закона № 187-ФЗ, ст. 11 Закона № 187-ФЗ

После проверки выдано предписание об устранении нарушения

  • Выписать каждое нарушение и срок его устранения: орган выдаёт предписание на основании акта проверки с указанием сроков (ч. 5 ст. 13 Закона № 187-ФЗ).
  • Решить, исполнять предписание или оспаривать: если оно нарушает права в сфере предпринимательской и иной экономической деятельности (ч. 1 ст. 198 АПК РФ), заявление подаётся в арбитражный суд в течение трёх месяцев со дня, когда организации стало известно о нарушении её прав, если иное не установлено федеральным законом (ч. 4 ст. 198 АПК РФ).
  • Учесть, что истечение срока выполнения предписания — основание для внеплановой проверки (п. 1 ч. 3 ст. 13 Закона № 187-ФЗ).

ч. 3, 5 ст. 13 Закона № 187-ФЗ, ч. 1, 4 ст. 198 АПК РФ

На значимом объекте произошёл компьютерный инцидент с негативными последствиями

  • Восстановить функционирование объекта, в том числе из резервных копий необходимой для этого информации, — это задача системы безопасности (п. 3 ч. 2 ст. 10 Закона № 187-ФЗ).
  • Поддерживать непрерывное взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак (п. 4 ч. 2 ст. 10 Закона № 187-ФЗ).
  • Готовить документы к внеплановой проверке: такой инцидент — основание для неё (п. 2 ч. 3 ст. 13 Закона № 187-ФЗ).

ч. 2 ст. 10 Закона № 187-ФЗ, ч. 3 ст. 13 Закона № 187-ФЗ

Чего делать нельзя: система безопасности значимого объекта КИИ

Ошибки, из-за которых система безопасности значимого объекта не выдерживает проверки или атаки.

  • Считать систему безопасности разовым проектом Закон требует от субъекта КИИ не только создать систему безопасности значимого объекта, но и обеспечивать её функционирование (ч. 1 ст. 10 Закона № 187-ФЗ). Цена ошибки — нарушение требований к обеспечению функционирования систем безопасности: юридическому лицу за него может быть назначен штраф от пятидесяти тысяч до ста тысяч рублей, если действия (бездействие) не содержат признаков уголовно наказуемого деяния (ч. 1 ст. 13.12.1 КоАП РФ).
  • Не создавать и не хранить резервные копии Восстановление функционирования значимого объекта — задача системы безопасности, и обеспечивается оно в том числе за счёт создания и хранения резервных копий необходимой для этого информации (п. 3 ч. 2 ст. 10 Закона № 187-ФЗ). Без копий после атаки объект восстанавливать не из чего, а инцидент с негативными последствиями сам по себе — основание для внеплановой проверки (п. 2 ч. 3 ст. 13 Закона № 187-ФЗ).
  • Прерывать взаимодействие с госсистемой обнаружения атак Непрерывное взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации закон называет задачей системы безопасности (п. 4 ч. 2 ст. 10 Закона № 187-ФЗ). Отключение или «временная пауза» — уже отступление от задачи, которую система обязана решать.
  • Строить защиту без учёта категории значимости Требования по обеспечению безопасности значимых объектов дифференцируются в зависимости от категории значимости (ч. 1 ст. 11 Закона № 187-ФЗ). Меры, подобранные «как у всех», не совпадут с требованиями для своей категории, а параметры и характеристики программных и программно-аппаратных средств защиты требования устанавливают отдельно (п. 3 ч. 1 ст. 11 Закона № 187-ФЗ).
  • Тянуть с исполнением предписания Предписание выдаётся с указанием сроков устранения нарушения (ч. 5 ст. 13 Закона № 187-ФЗ), а истечение срока его выполнения — основание для внеплановой проверки (п. 1 ч. 3 ст. 13 Закона № 187-ФЗ). Если предписание спорное, срок на заявление в арбитражный суд — три месяца со дня, когда организации стало известно о нарушении её прав, если иное не установлено федеральным законом (ч. 4 ст. 198 АПК РФ).

Когда нужна помощь юриста: система безопасности значимого объекта КИИ

Случаи, когда требования закона к системе безопасности нужно применить к своему объекту.

  • Объект внесён в реестр значимых объектов, и требования к созданию системы безопасности нужно перевести во внутренние документы и меры.ч. 1 ст. 10 Закона № 187-ФЗ, ч. 1 ст. 11 Закона № 187-ФЗ
  • Назначена плановая или внеплановая проверка соблюдения требований по обеспечению безопасности значимого объекта.ч. 1 ст. 13 Закона № 187-ФЗ
  • Выдано предписание, и нужно решить, исполнять его или оспаривать в арбитражном суде.ч. 5 ст. 13 Закона № 187-ФЗ, ч. 1 ст. 198 АПК РФ
  • Возбуждено дело об административном правонарушении за нарушение требований к созданию систем безопасности значимых объектов или требований по обеспечению их безопасности.ч. 1 ст. 13.12.1 КоАП РФ
  • Категорию значимости изменили по результатам проверки, и систему нужно привести к требованиям новой категории.п. 1 ч. 12 ст. 7 Закона № 187-ФЗ, ч. 1 ст. 11 Закона № 187-ФЗ

Кто участвует: система безопасности значимого объекта КИИ

Кто создаёт систему, кто устанавливает требования и кто проверяет.

УчастникОбязанность или правоНорма
Субъект критической информационной инфраструктурыСоздаёт систему безопасности значимого объекта и обеспечивает её функционирование в соответствии с утверждёнными требованиямич. 1 ст. 10 Закона № 187-ФЗ
Федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности КИИУстанавливает требования по обеспечению безопасности значимых объектов и требования к созданию систем безопасности (для значимых информационно-телекоммуникационных сетей — по согласованию с органом в области связи, в банковской сфере и иных сферах финансового рынка — по согласованию с Центральным банком), осуществляет государственный контроль, составляет акт проверки и выдаёт предписаниеп. 4, 5 ч. 3 ст. 6 Закона № 187-ФЗ, ч. 4, 5 ст. 13 Закона № 187-ФЗ
Федеральный орган исполнительной власти, уполномоченный в области обеспечения функционирования государственной системы обнаружения компьютерных атакПроводит оценку безопасности КИИ и организует установку средств поиска признаков компьютерных атак в сетях электросвязич. 1, 3 ст. 12 Закона № 187-ФЗ
Государственные органы и российские юридические лица, регулирующие сферу деятельностиПо согласованию с уполномоченным органом могут устанавливать дополнительные требования с особенностями функционирования объектов в своей сфереч. 2 ст. 11 Закона № 187-ФЗ
ПрокурорТребованием об осуществлении внеплановой проверки даёт основание для приказа руководителя уполномоченного органа о такой проверкеп. 3 ч. 3 ст. 13 Закона № 187-ФЗ
Руководители и другие работники организацииДля привлечения работника за нарушение требований к безопасности КИИ в качестве должностного лица нужна связь нарушения с его организационно-распорядительными или административно-хозяйственными функциямист. 2.4 КоАП РФ

Что это значит: система безопасности значимого объекта КИИ

Для какого объекта нужна система и из чего складываются требования к ней.

Система безопасности нужна объекту КИИ, которому присвоена одна из категорий значимости — первая, вторая или третья (ч. 3 ст. 7 Закона № 187-ФЗ). Если объект не соответствует критериям значимости, показателям этих критериев и их значениям, категория ему не присваивается (ч. 4 ст. 7 Закона № 187-ФЗ), а система по ч. 1 ст. 10 Закона № 187-ФЗ создаётся именно для значимого объекта.

Субъект КИИ создаёт систему по требованиям к созданию систем безопасности и обеспечению их функционирования, утверждённым уполномоченным федеральным органом, и отвечает не только за её запуск, но и за работу (ч. 1 ст. 10 Закона № 187-ФЗ). Основные задачи системы закреплены в ч. 2 ст. 10 Закона № 187-ФЗ.

Требования по обеспечению безопасности значимых объектов дифференцируются в зависимости от категории значимости и предусматривают: планирование, разработку, совершенствование и осуществление внедрения мероприятий по обеспечению безопасности значимых объектов критической информационной инфраструктуры; принятие организационных и технических мер для обеспечения безопасности значимых объектов критической информационной инфраструктуры; установление параметров и характеристик программных и программно-аппаратных средств, применяемых для обеспечения безопасности значимых объектов критической информационной инфраструктуры (ч. 1 ст. 11 Закона № 187-ФЗ).

Сверх общих требований государственные органы и российские юридические лица, регулирующие сферу деятельности, по согласованию с уполномоченным органом могут устанавливать дополнительные требования с особенностями функционирования объектов в этой сфере (ч. 2 ст. 11 Закона № 187-ФЗ).

Что говорит закон: система безопасности значимого объекта КИИ

Задачи системы безопасности — дословно из закона.

Основными задачами системы безопасности значимого объекта критической информационной инфраструктуры являются: 1) предотвращение неправомерного доступа к информации, обрабатываемой значимым объектом критической информационной инфраструктуры, уничтожения такой информации, ее модифицирования, блокирования, копирования, предоставления и распространения, а также иных неправомерных действий в отношении такой информации; 2) недопущение воздействия на технические средства обработки информации, в результате которого может быть нарушено и (или) прекращено функционирование значимого объекта критической информационной инфраструктуры; 3) восстановление функционирования значимого объекта критической информационной инфраструктуры, обеспечиваемого в том числе за счет создания и хранения резервных копий необходимой для этого информации; 4) непрерывное взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации.ч. 2 ст. 10 Закона № 187-ФЗ
Адвокат Константин Вруцкий — защита по уголовным делам, Москва

Комментарий адвоката Вруцкогоадвокат · рег. № 78/8790

Задачи сформулированы как результат, которого должна достигать система, а не как набор документов. Восстановление работы закон прямо связывает с созданием и хранением резервных копий. При проверке я сопоставляю меры субъекта с каждой задачей отдельно.

Нормы по теме: система безопасности значимого объекта КИИ

Статьи закона, на которых держится тема, — с названиями из официального текста

  • ст. 10 187-ФЗ (КИИ) Система безопасности значимого объекта критической информационной инфраструктуры
  • ст. 11 187-ФЗ (КИИ) Требования по обеспечению безопасности значимых объектов критической информационной инфраструктуры
  • ст. 12 187-ФЗ (КИИ) Оценка безопасности критической информационной инфраструктуры

Официальный текст: О безопасности критической информационной инфраструктуры Российской Федерации

Виды дел: система безопасности значимого объекта КИИ

С чем приходят субъекты КИИ.

Создание системы с нуля

Объект внесён в реестр значимых объектов, о чём субъект получил уведомление (ч. 7 ст. 7 Закона № 187-ФЗ), а системы безопасности нет. Разбираю требования к её созданию и функционированию и порядок внедрения мер (ч. 1 ст. 10 Закона № 187-ФЗ, ч. 1 ст. 11 Закона № 187-ФЗ).

Плановая проверка

Прошло три года со дня внесения сведений об объекте в реестр или со дня окончания последней плановой проверки — это основание для новой (ч. 2 ст. 13 Закона № 187-ФЗ). Субъект готовит документы о системе безопасности и мерах по каждой её задаче.

Внеплановая проверка после инцидента

Компьютерный инцидент, повлёкший негативные последствия на значимом объекте, — основание для внеплановой проверки (п. 2 ч. 3 ст. 13 Закона № 187-ФЗ). Проверяется, как система решала задачу восстановления функционирования объекта (п. 3 ч. 2 ст. 10 Закона № 187-ФЗ).

Спор о предписании

По итогам проверки орган выдал предписание об устранении нарушения со сроками (ч. 5 ст. 13 Закона № 187-ФЗ), с которым субъект не согласен. Оспаривание — заявлением в арбитражный суд, если предписание нарушает права в сфере предпринимательской и иной экономической деятельности (ч. 1 ст. 198 АПК РФ).

Административное дело

Должностному лицу или юридическому лицу вменяют нарушение требований к созданию систем безопасности значимых объектов и обеспечению их функционирования либо требований по обеспечению их безопасности (ч. 1 ст. 13.12.1 КоАП РФ). Проверяю состав и срок давности — один год со дня совершения (ч. 1 ст. 4.5 КоАП РФ).

Смена категории значимости

Категорию изменили по мотивированному решению уполномоченного органа, принятому по результатам проверки (п. 1 ч. 12 ст. 7 Закона № 187-ФЗ). Требования дифференцируются по категории (ч. 1 ст. 11 Закона № 187-ФЗ), поэтому систему безопасности приходится пересматривать.

Чем отличается: система безопасности значимого объекта КИИ

Система безопасности рядом с другими институтами закона о КИИ.

ИнститутЧто этоКто отвечаетНорма
Система безопасности значимого объектаСоздаётся для конкретного значимого объекта и решает задачи его защиты и восстановленияСубъект КИИч. 1, 2 ст. 10 Закона № 187-ФЗ
Требования по обеспечению безопасностиПравила, по которым строится защита; дифференцируются по категории значимостиУполномоченный федеральный орган; дополнительные — регуляторы сферы по согласованию с нимч. 1, 2 ст. 11 Закона № 187-ФЗ
КатегорированиеУстановление соответствия объекта критериям значимости и присвоение категории — предшествует системе безопасностиСубъект КИИ; проверку сведений проводит уполномоченный органч. 1, 4, 6 ст. 7 Закона № 187-ФЗ
Оценка безопасности КИИПрогнозирование угроз и выработка мер по повышению устойчивости КИИ в целом, а не защита отдельного объектаОрган, уполномоченный в области госсистемы обнаружения компьютерных атакч. 1 ст. 12 Закона № 187-ФЗ
Государственный контрольПлановая или внеплановая проверка соблюдения субъектом требований с актом и предписаниемУполномоченный федеральный органч. 1, 4, 5 ст. 13 Закона № 187-ФЗ

Размер и расчёт: система безопасности значимого объекта КИИ

Пошлины при оспаривании предписания установлены п. 1 ст. 333.21 НК РФ, штраф за нарушение требований к системе безопасности — ч. 1 ст. 13.12.1 КоАП РФ.

Что считаемРазмерНорма
Пошлина за заявление об оспаривании предписанияСубъект КИИ — организация вносит 50 000 рублей; если предписание оспаривает физическое лицо, пошлина 10 000 рублейподп. 7 п. 1 ст. 333.21 НК РФ
Пример: предписание оспорено, решение обжалуется в апелляцииОрганизация платит 50 000 рублей за заявление и 30 000 рублей за апелляционную жалобу: 50 000 + 30 000 = 80 000 рублейподп. 7, 19 п. 1 ст. 333.21 НК РФ
Пошлина за апелляционную жалобуОрганизация, обжалующая решение по предписанию, платит 30 000 рублей; физическое лицо — 10 000 рублейподп. 19 п. 1 ст. 333.21 НК РФ
Пошлина за кассационную жалобуС организации по спору о предписании — 50 000 рублей; с физического лица — 20 000 рублейподп. 20 п. 1 ст. 333.21 НК РФ
Пошлина за кассационную жалобу в Верховный Суд Российской ФедерацииОрганизация уплачивает 80 000 рублей; физическое лицо — 30 000 рублейподп. 21 п. 1 ст. 333.21 НК РФ
Штраф за нарушение требований к системе безопасностиЮридическое лицо — от пятидесяти тысяч до ста тысяч рублей; должностное лицо — от десяти тысяч до пятидесяти тысяч рублей, если действия (бездействие) не содержат признаков уголовно наказуемого деянияч. 1 ст. 13.12.1 КоАП РФ

Цифры в примере условные. Размер затрат на систему безопасности ст. 10 Закона № 187-ФЗ и ст. 11 Закона № 187-ФЗ не устанавливают, поэтому расчёт показан на пошлине по ст. 333.21 НК РФ; её размеры применяются с учётом особенностей уплаты в арбитражном суде (п. 2 ст. 333.21 НК РФ).

Ответственность: система безопасности значимого объекта КИИ

Санкции за нарушение требований к системе безопасности значимого объекта.

НарушениеКто отвечаетСанкцияНорма
Нарушение требований к созданию систем безопасности значимых объектов КИИ и обеспечению их функционирования либо требований по обеспечению их безопасностиСубъект КИИ — юридическое лицоЮридическое лицо: административный штраф от пятидесяти тысяч до ста тысяч рублей, если такие действия (бездействие) не содержат признаков уголовно наказуемого деянияч. 1 ст. 13.12.1 КоАП РФ
Нарушение требований к созданию систем безопасности значимых объектов КИИ и обеспечению их функционирования либо требований по обеспечению их безопасностиРуководитель или другой работник организации, совершивший нарушение в связи с выполнением организационно-распорядительных или административно-хозяйственных функцийДолжностное лицо: административный штраф от десяти тысяч до пятидесяти тысяч рублей, если такие действия (бездействие) не содержат признаков уголовно наказуемого деянияч. 1 ст. 13.12.1 КоАП РФ, ст. 2.4 КоАП РФ
Нарушение требований к созданию систем безопасности значимых объектов КИИ и обеспечению их функционирования либо требований по обеспечению их безопасностиИндивидуальный предпринимательКак должностное лицо, если Кодексом не установлено иное: штраф от десяти тысяч до пятидесяти тысяч рублей, если действия (бездействие) не содержат признаков уголовно наказуемого деянияч. 1 ст. 13.12.1 КоАП РФ, ст. 2.4 КоАП РФ

Санкция ч. 1 ст. 13.12.1 КоАП РФ применяется, только если действия (бездействие) не содержат признаков уголовно наказуемого деяния. Предприниматель отвечает как должностное лицо: ст. 13.12.1 КоАП РФ иного не устанавливает (ст. 2.4 КоАП РФ).

Не откладывайте правовую оценку

Обсудите задачу компании до следующего действия

Получили документ, готовите решение или возник спор? Позвоните или напишите: разберу обстоятельства, проверю применимый порядок и сроки, объясню возможные действия и риски для компании.
Позвонить сейчас

Комментарий адвоката Вруцкого

Адвокат Константин Вруцкий — защита по уголовным делам, Москва

адвокат · рег. № 78/8790

В делах о системе безопасности значимого объекта я начинаю не с перечня средств защиты, а с того, что закон требует именно от этого субъекта. Система создаётся по требованиям уполномоченного органа и должна работать постоянно (ч. 1 ст. 10 Закона № 187-ФЗ), а требования зависят от категории значимости (ч. 1 ст. 11 Закона № 187-ФЗ). Поэтому первым делом проверяю категорию и уведомление о внесении объекта в реестр (ч. 7 ст. 7 Закона № 187-ФЗ).

Дальше сопоставляю меры субъекта с каждой задачей из ч. 2 ст. 10 Закона № 187-ФЗ по отдельности. Частый пробел — восстановление: резервные копии есть, но никто не проверял, восстановится ли из них объект.

Если проверка уже прошла, читаю акт и предписание: какие требования названы нарушенными и какие сроки установлены (ч. 4, 5 ст. 13 Закона № 187-ФЗ). При несогласии готовлю заявление в арбитражный суд; три месяца на него считаю со дня, когда организации стало известно о нарушении её прав, если иное не установлено федеральным законом (ч. 4 ст. 198 АПК РФ). В административном деле проверяю, не истёк ли годичный срок давности (ч. 1 ст. 4.5 КоАП РФ).

Порядок действий: система безопасности значимого объекта КИИ

Шаги от присвоения категории до спора с органом.

  1. 1
    Подтвердить статус объектаУполномоченный орган вносит сведения об объекте в реестр значимых объектов, если порядок категорирования соблюдён и категория присвоена правильно, и в десятидневный срок уведомляет об этом субъекта (ч. 7 ст. 7 Закона № 187-ФЗ). От категории зависят требования к защите объекта (ч. 1 ст. 11 Закона № 187-ФЗ).
  2. 2
    Собрать применимые требованияОснова — требования к созданию систем безопасности и обеспечению их функционирования, утверждённые уполномоченным федеральным органом (ч. 1 ст. 10 Закона № 187-ФЗ). К ним добавляются дополнительные требования для своей сферы, если регулятор установил их по согласованию с этим органом (ч. 2 ст. 11 Закона № 187-ФЗ).
  3. 3
    Спланировать и внедрить мерыТребования предусматривают планирование, разработку, совершенствование и осуществление внедрения мероприятий по обеспечению безопасности, а также принятие организационных и технических мер (п. 1, 2 ч. 1 ст. 11 Закона № 187-ФЗ). На этом шаге внутри организации распределяются ответственные и сроки.
  4. 4
    Подобрать средства защиты и резервированиеПараметры и характеристики программных и программно-аппаратных средств задают требования (п. 3 ч. 1 ст. 11 Закона № 187-ФЗ). Для восстановления функционирования объекта создаются и хранятся резервные копии необходимой для этого информации (п. 3 ч. 2 ст. 10 Закона № 187-ФЗ).
  5. 5
    Наладить взаимодействие с госсистемойСистема безопасности должна непрерывно взаимодействовать с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации (п. 4 ч. 2 ст. 10 Закона № 187-ФЗ).
  6. 6
    Пройти проверку и ответить на предписаниеПо итогам проверки составляется акт, а при выявлении нарушения выдаётся предписание со сроками устранения (ч. 4, 5 ст. 13 Закона № 187-ФЗ). Предписание исполняется в срок или оспаривается заявлением в арбитражный суд в течение трёх месяцев, если иное не установлено федеральным законом (ч. 1, 4 ст. 198 АПК РФ).

Документы: система безопасности значимого объекта КИИ

Что собрать для проверки или спора с органом.

ДокументЗачемКто подписывает, форма
Сведения о присвоении категории значимостиПодтверждают, что объект значимый, и показывают его категориюСубъект КИИ, в письменном виде, по форме уполномоченного органа (ч. 5 ст. 7 Закона № 187-ФЗ)
Уведомление о внесении в реестрПодтверждает внесение объекта в реестр; трёхлетний срок до плановой проверки считается со дня внесения сведений, а не со дня уведомленияУполномоченный орган (ч. 7 ст. 7 Закона № 187-ФЗ, п. 1 ч. 2 ст. 13 Закона № 187-ФЗ)
Внутренние документы о мерах защитыПоказывают планирование и внедрение мероприятий, организационные и технические мерыСубъект КИИ (п. 1, 2 ч. 1 ст. 11 Закона № 187-ФЗ)
Документы о резервном копированииПодтверждают, как обеспечено восстановление функционирования объектаСубъект КИИ (п. 3 ч. 2 ст. 10 Закона № 187-ФЗ)
Акт проверкиФиксирует итоги плановой или внеплановой проверкиУполномоченный орган, по утверждённой им форме (ч. 4 ст. 13 Закона № 187-ФЗ)
Предписание об устранении нарушенияНазывает нарушения и сроки их устранения; его оспаривают в арбитражном судеУполномоченный орган (ч. 5 ст. 13 Закона № 187-ФЗ)
Документ об уплате государственной пошлиныНужен при подаче заявления о признании ненормативного правового акта органа недействительнымЗаявитель; для организаций — 50 000 рублей (подп. 7 п. 1 ст. 333.21 НК РФ)

Сроки: система безопасности значимого объекта КИИ

Сроки категорирования, проверок, спора с органом и давности.

ДействиеСрокС какого дняНорма
Сведения о категорировании в уполномоченный органДесятидневный срокСо дня принятия решенияч. 5 ст. 7 Закона № 187-ФЗ
Проверка сведений уполномоченным органомТридцатидневный срокСо дня получения сведенийч. 6 ст. 7 Закона № 187-ФЗ
Плановая проверка значимого объектаПо истечении трёх летСо дня внесения сведений в реестр или окончания последней плановой проверкич. 2 ст. 13 Закона № 187-ФЗ
Обращение организации в арбитражный суд против предписания органа контроля безопасности КИИНа оспаривание предписания у организации есть три месяца; иной срок должен следовать из федерального закона. Уважительная причина задержки обращения позволяет суду восстановить срок по этому споруСо дня, когда организация узнала, что предписание нарушает её права и законные интересы в экономической деятельностич. 4 ст. 198 АПК РФ
Давность по ч. 1 ст. 13.12.1 КоАП РФОдин годСо дня совершения правонарушенияч. 1, 1.1 ст. 4.5 КоАП РФ
Давность при длящемся правонарушенииОдин годСо дня обнаружения правонарушенияч. 1, 2 ст. 4.5 КоАП РФ

Как я веду дело

Как адвокат ведёт поручение компании

  1. 1
    Разбор ситуацииСмотрю документы компании и обстоятельства, определяю маршрут и называю перспективу без приукрашивания. Если задача решается силами самой компании — говорю об этом прямо.
  2. 2
    Сбор документовОпределяю, какие договоры, внутренние документы, переписка и материалы органа относятся к задаче. Недостающие сведения получаем доступным законным способом; судебные запросы возможны в соответствующей процедуре.
  3. 3
    Подготовка документовГотовлю необходимые по задаче документы: договор, ответ, возражения, заявление или жалобу. Согласуем содержание и порядок подписания; проверяем полномочия лица, которое направляет документ.
  4. 4
    Представительство по задачеПо согласованному поручению веду переговоры, представляю интересы в компетентном органе или суде. Заранее объясняю, когда необходимо личное участие представителя компании и какие документы потребуются.
  5. 5
    Результат и дальнейшие действияРазбираю полученное решение или подготовленный документ и объясняю последующие действия. Исполнение судебного акта, обжалование и дополнительные этапы входят в работу в объёме, предусмотренном соглашением.
  6. 6
    Связь на всех этапахСогласуем контактное лицо компании и порядок информирования. Сообщаю о значимых событиях и необходимых решениях в пределах принятого поручения.

Кто ведёт дело

Правовая помощь компаниям и предпринимателям — кто отвечает за ваше поручение

Адвокат Константин Вруцкий — защита по уголовным делам, Москва

Константин Александрович Вруцкий

№ 78/8790 · адвокат

Поручение ведёт адвокат Константин Александрович Вруцкий лично. При обращении обсуждаем задачу компании, необходимые действия и объём сопровождения, который будет закреплён в соглашении.

Адвокатская тайна действует с первого слова, ещё до заключения соглашения: сведения о компании, её сделках и контрагентах не могут быть раскрыты, а адвоката нельзя допросить о том, что он узнал от доверителя.

Личное ведениеВеду дело сам — от первого разговора до исполнения. Доверитель — компания или индивидуальный предприниматель, работа идёт по письменному соглашению с адвокатом — ст. 25 ФЗ «Об адвокатской деятельности и адвокатуре».
Честная оценкаНе обещаю результата: называю реальную перспективу и цену промедления в рублях. Если задача решается силами компании, говорю прямо. Обещать положительный результат адвокату запрещено — п. 2 ст. 10 Кодекса профессиональной этики адвоката.
Адвокатская тайнаСведения о компании, её сделках, контрагентах и финансах, полученные в связи с делом, охраняются законом — рассказать можно всё, включая неудобное. Это адвокатская тайна — ст. 8 ФЗ «Об адвокатской деятельности и адвокатуре».
Понятные следующие шагиОбъясняю значение документа или решения и следующие действия компании. Представительство, обжалование и исполнение входят в согласованный объём помощи по соглашению — ст. 25 ФЗ «Об адвокатской деятельности и адвокатуре».

Частые вопросы: система безопасности значимого объекта КИИ

Ответы на вопросы о защите значимых объектов КИИ.

Кто обязан обеспечивать защиту значимых объектов КИИ?

Субъект критической информационной инфраструктуры: он создаёт систему безопасности значимого объекта и обеспечивает её функционирование по требованиям уполномоченного федерального органа (ч. 1 ст. 10 Закона № 187-ФЗ). Для руководителя или другого работника организации статус должностного лица при нарушении требований к безопасности КИИ определяется связью нарушения с организационно-распорядительными или административно-хозяйственными функциями (ст. 2.4 КоАП РФ).

Что входит в защиту значимых объектов КИИ по закону?

Основные задачи системы безопасности закреплены в ч. 2 ст. 10 Закона № 187-ФЗ, в их числе — восстановление функционирования объекта, обеспечиваемое в том числе за счёт создания и хранения резервных копий необходимой для этого информации. Требования к мерам защиты дифференцируются в зависимости от категории значимости объекта (ч. 1 ст. 11 Закона № 187-ФЗ).

Какой штраф за нарушение требований к защите значимых объектов КИИ?

За нарушение требований к созданию систем безопасности значимых объектов и обеспечению их функционирования либо требований по обеспечению их безопасности должностное лицо платит штраф от десяти тысяч до пятидесяти тысяч рублей, юридическое лицо — от пятидесяти тысяч до ста тысяч рублей, если такие действия (бездействие) не содержат признаков уголовно наказуемого деяния (ч. 1 ст. 13.12.1 КоАП РФ).

Как часто проверяют защиту значимых объектов КИИ?

Плановая проверка проводится по истечении трёх лет со дня внесения сведений об объекте в реестр значимых объектов или со дня окончания последней плановой проверки (ч. 2 ст. 13 Закона № 187-ФЗ). Внеплановая — по истечении срока выполнения предписания, при компьютерном инциденте с негативными последствиями на значимом объекте или по приказу руководителя уполномоченного органа, изданному по поручению Президента или Правительства либо на основании требования прокурора (ч. 3 ст. 13 Закона № 187-ФЗ).

Показать все вопросыСвернуть
Можно ли оспорить предписание по защите значимых объектов КИИ?

Организация вправе обратиться в арбитражный суд, если полагает, что предписание не соответствует закону и нарушает её права в сфере предпринимательской и иной экономической деятельности (ч. 1 ст. 198 АПК РФ). Для предписания органа контроля КИИ отсчёт трёх месяцев начинается, когда организация узнаёт о нарушении им своих прав (ч. 4 ст. 198 АПК РФ). Федеральный закон может изменить этот срок; суд может восстановить его при уважительной причине опоздания с оспариванием предписания (ч. 4 ст. 198 АПК РФ).

Кто ещё может устанавливать требования к защите значимых объектов КИИ?

Государственные органы и российские юридические лица, выполняющие функции по разработке, проведению или реализации государственной политики и (или) нормативно-правовому регулированию в установленной сфере деятельности, по согласованию с уполномоченным органом могут устанавливать дополнительные требования с особенностями функционирования объектов в своей сфере (ч. 2 ст. 11 Закона № 187-ФЗ).

Чем оценка безопасности КИИ отличается от системы безопасности объекта?

Систему безопасности создаёт субъект для своего значимого объекта (ч. 1 ст. 10 Закона № 187-ФЗ). Оценку безопасности КИИ проводит федеральный орган, уполномоченный в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак, — в целях прогнозирования угроз и выработки мер по повышению устойчивости КИИ (ч. 1 ст. 12 Закона № 187-ФЗ).

Зачем резервные копии в защите значимых объектов КИИ?

Восстановление функционирования значимого объекта — одна из основных задач системы безопасности, и закон прямо указывает, что оно обеспечивается в том числе за счёт создания и хранения резервных копий необходимой для этого информации (п. 3 ч. 2 ст. 10 Закона № 187-ФЗ).

Услуги и темы рядом: система безопасности значимого объекта КИИ

Где нужна помощь адвоката и что прочитать дальше по этому вопросу

Категорирование объектов КИИ и защита значимых объектовЮридическое сопровождение бизнеса. Предмет: категория значимости объекта КИИ и модель его угроз. Проверяю нормы и документы, готовлю позицию для переговоров, регулятора или суда.Субъект критической информационной инфраструктуры (КИИ)Какие компании относятся к субъектам КИИ по отраслям и объектам, с чего начинаются их обязанности.Требования ФСТЭК и сертифицированные средства защиты информацииРазбор темы: нормы, сроки и порядок действийОбязанности субъекта КИИ: ГосСОПКА и компьютерные инцидентыИнформирование о компьютерных инцидентах, реагирование на атаки, взаимодействие с государственной системой обнаружения атак.Защита информации в информационных системах компанииОбязанности обладателя информации и оператора информационной системы по защите данных и размещению баз в России.Роскомнадзор, ФСБ, ФСТЭК и КИИЮридическая помощь по теме «Роскомнадзор, ФСБ, ФСТЭК и КИИ». Выберите нужную услугу ниже.

Обсудите задачу до подписания и ответа

Запишитесь на консультацию

+7 (495) 198-70-77
Позвонить сейчас
Цвет настроения