Правовая роль компании
Устанавливаю, является ли компания субъектом КИИ и какие её системы подпадают под требования к системе безопасности значимого объекта.
Категорирование объектов КИИ и защита значимых объектов
Категория значимости объекта КИИ определяет требования к его защите, поэтому ошибка в исходных данных может повлиять и на документы комиссии, и на состав мер безопасности. Как адвокат проверяю, какие системы компания отнесла к объектам, чем обоснованы показатели значимости и согласованы ли акт категорирования, перечень объектов и модель угроз. Разбираю запросы уполномоченного органа, распределение обязанностей с интегратором и основания пересмотра категории при изменении процессов. По итогам консультации определяю, какие материалы нужно дополнить, какие решения комиссии проверить и как подготовить правовую позицию по спорным требованиям к защите значимого объекта.
Коротко
Проверяю категорию значимости объекта КИИ и модель его угроз. Сверяю акт категорирования с перечнем систем, решениями комиссии и данными о последствиях отказа объекта. Оцениваю документы системы безопасности значимого объекта КИИ и готовлю позицию для ответа органу или обжалования его требований.
Когда нужна помощь
Перед запуском новой системы проверяю необходимость категорирования и требования к её защите.
- Запуск проектаКомпания внедряет информационную систему, которая может относиться к КИИ. До запуска проверяю, нужно ли категорирование, и оцениваю, какой должна быть система безопасности значимого объекта КИИ.
- Запрос второй стороныПолучен запрос второй стороны. Для ответа нужен полный комплект материалов: акт категорирования, перечень объектов, модель угроз и сведения ГосСОПКА.
- Изменение моделиМеняется архитектура, процессы или назначение систем. Проверяю, нужно ли заново провести категорирование объектов критической информационной инфраструктуры.
- ИнцидентПроизошёл инцидент. Проверяю сведения ГосСОПКА и то, отражает ли акт категорирования критической информационной системы её состояние.
- Требование органаУполномоченный орган запросил документы или провёл проверку. Готовлю ответ и проверяю, подтверждает ли акт категорирования объектов критической информационной инфраструктуры выбранную категорию.
- СпорВозник спор о категории или требованиях к защите. Проверяю акт категорирования объекта критической информационной инфраструктуры, процедуру его составления и требования закона 187-ФЗ о критической информационной инфраструктуре.
До изменений сохраните акт категорирования, перечень объектов, модель угроз и сведения ГосСОПКА: по ним проверяется соблюдение закона 187-ФЗ о критической информационной инфраструктуре.
Чего делать нельзя
Ошибки, которые осложняют правовую защиту компании — Категорирование объектов КИИ и защита значимых объектов
- Не подтверждайте факты и обязательства без проверки. До подписания акта, объяснения или ответа сопоставьте изложенное с документами. Неточная формулировка может повлиять на доказательства и последующую позицию компании.
- Не откладывайте проверку полученных документов. Срок и порядок ответа, возражений или обжалования зависят от вида документа и применимой процедуры. Зафиксируйте дату получения и выясните, какое действие требуется именно в вашей ситуации.
- Не поручайте правовую переписку без согласования позиции. Рабочие письма и сообщения могут стать доказательствами. Отделяйте подтверждённые факты от предположений, указывайте реальные полномочия сотрудника и сохраняйте исходную переписку.
- Не подменяйте и не уничтожайте документы. Сохраните оригиналы, электронные файлы и сведения об их отправке. Исправление текущей работы не должно сопровождаться оформлением доказательств задним числом.
Суть дела
Выясняю роль компании как субъекта КИИ, границы объекта и основания присвоенной категории.
Границы объекта
Определяю технические и юридические границы объекта: какие системы входят в него, какая категория значимости присвоена и какая модель угроз принята.
Применимое основание
Для категорирования, учёта в реестре и создания системы безопасности проверяю разные требования. Выясняю, какое решение уже принято, какие сведения направлены органу и какие обязанности возникли именно у владельца или оператора объекта.
Надёжность доказательственной базы
Отбираю материалы и связываю каждый файл с автором, датой и событием: акт категорирования, перечень объектов, модель угроз, сведения ГосСОПКА.
Действия второй стороны
Проверяю, как уполномоченный орган оценил сведения компании и внёс ли объект в реестр значимых объектов КИИ. Сопоставляю его замечания с направленной редакцией акта и приложениями, чтобы отделить недостаток сведений от спора о категории.
Исполнимость требования
Категорирование объектов критической информационной инфраструктуры (КИИ) оцениваю по фактам и полномочиям комиссии. Проверяю, к какому объекту относится требование о защите, какие действия оно предполагает и позволяют ли исходные данные обосновать выбранную категорию.
Кто участвует
Собственник продукта описывает последствия отказа, а руководитель создаёт комиссию и утверждает её выводы.
| Участник | Полномочие и документ |
|---|---|
| Собственник продукта | Определяет назначение систем и процессов, от которых зависит категория значимости объекта КИИ. Передаёт сведения о зависимых процессах и последствиях отказа, необходимые комиссии для оценки значимости. |
| Руководитель компании | Создаёт комиссию, утверждает результаты, по которым проводится категорирование объектов критической информационной инфраструктуры, и отвечает за их исполнение. Полномочия комиссии и ответственных за передачу сведений должны прослеживаться в приказах и протоколах. |
| Технический специалист | Описывает архитектуру, права доступа и технические события и подтверждает их воспроизводимыми материалами. Уточняет состав объекта и изменения конфигурации; правовая оценка опирается на эти сведения, а не заменяет техническое обследование. |
| Контрагент | Поставщик или интегратор участвует в создании системы безопасности. Проверяю договорные обязанности по обследованию, подготовке модели угроз и передаче документации, а также условия приёмки работ и устранения замечаний. |
| Компетентный орган или суд | Уполномоченный орган проверяет категорирование и меры защиты, суд рассматривает споры. Оценивают полномочия, процедуру и документы. |
| Адвокат | Проверяю документы о категорировании и защите, готовлю ответы органу и позицию в споре с учётом дат каждого решения. Разграничиваю обязанности компании и подрядчика, чтобы требования к одному участнику не подменяли обязанности другого. |
Что это за дела
Оценка значимости опирается на зависимые от системы операции и расчёт последствий их остановки.
Сначала описываю фактические процессы и системы: что относится к объекту, как он связан с деятельностью компании и какие угрозы для него значимы. Для оценки важны не только серверы и программы, но и зависимые от них процессы: какие операции остановятся при отказе и на каких данных основан расчёт последствий.
Затем собираю документы: акт категорирования, перечень объектов, модель угроз и сведения ГосСОПКА. Они показывают, как проводилось категорирование объектов критической информационной инфраструктуры (КИИ) и насколько его выводы подтверждены. Приказы и протоколы позволяют восстановить состав комиссии, исходные показатели и последовательность утверждения результатов.
Отдельно проверяю последствия категорирования: включение в реестр значимых объектов КИИ и требования к системе безопасности значимого объекта. Наличие акта само по себе не подтверждает выполнение мер защиты: нужны документы об их внедрении и сведения от ответственных специалистов.
Для критической информационной инфраструктуры акт категорирования — ключевой документ: в нём фиксируются объект, критерии оценки и присвоенная категория. Проверяю, соответствует ли он фактическому состоянию систем. Если систему перестроили, сравниваю прежнее описание с новой архитектурой и выясняю, какие выводы комиссии требуют повторной оценки.
Если объект внесён в реестр значимых объектов критической информационной инфраструктуры (КИИ), проверяю, выполнены ли требования к его защите, и готовлю позицию компании для органа или суда. В договорном споре отдельно выясняю, какие недостатки относятся к работе интегратора и были ли они зафиксированы при приёмке.
Что говорит закон: категорирование объектов КИИ
Категорирование включает оценку объекта по критериям значимости, присвоение категории и проверку сведений.
Категорирование объекта критической информационной инфраструктуры представляет собой установление соответствия объекта критической информационной инфраструктуры критериям значимости и показателям их значений, присвоение ему одной из категорий значимости, проверку сведений о результатах ее присвоения.Закон о безопасности критической информационной инфраструктуры: положение о категорировании
Комментарий адвоката Вруцкогоадвокат · рег. № 78/8790
Категория значимости присваивается по критериям, а не по названию системы, поэтому начинаю с фактического описания объекта и возможного ущерба. Акт категорирования проверяю на соответствие этим критериям до того, как сведения уйдут в уполномоченный орган.
Что нужно доказать
Для конкретной системы нужно обосновать категорию значимости и подтвердить полномочия утвердивших её лиц.
- Квалификация. Каждый объект оценивается по критериям значимости; общий документ по всей компании не заменяет обоснование категории конкретной системы.
- Законное основание. Для категорирования, учёта в реестре и создания системы безопасности проверяю применимые требования и документы об их исполнении.
- Полномочия. Проверяю, кто в компании утверждал акт категорирования критической информационной инфраструктуры и в каких пределах действовала комиссия.
- Документирование. Документы не должны расходиться с реальными процессами: сверяю акт категорирования, перечень объектов, модель угроз и сведения ГосСОПКА.
- Контроль исполнения. Отслеживаю исполнение акта категорирования объектов критической информационной инфраструктуры и состав сведений, внесённых в реестр.
- Способ защиты. Способ защиты должен быть конкретным и исполнимым: возражения на оценку, уточнение категории или обжалование решения — выбираю по фактам категорирования объектов.
Порядок действий
Сначала уточняю состав объекта с техническим специалистом, затем сохраняю версии актов и протоколы комиссии.
- 1Описать объектЗафиксировать границы объекта и участников: какие системы входят в объект КИИ, какая категория значимости и модель угроз. Уточнить владельца, оператора и процессы, зависящие от работоспособности системы, вместе с ответственным техническим специалистом.
- 2Сохранить материалыСохранить исходные версии и метаданные: акт категорирования, перечень объектов, модель угроз и сведения ГосСОПКА. Приложить приказы о комиссии и протоколы, сохранив даты утверждения и отправки сведений органу.
- 3Сверить нормыРазделить требования к категорированию, реестру значимых объектов и системе безопасности. Проверить, какие обязанности относятся к компании, а какие работы поручены интегратору и описаны в договоре.
- 4Оценить рискОценить последствия и доказуемость: правильно ли проведено категорирование объектов критической информационной инфраструктуры и чем это подтверждается. Сопоставить показатели значимости с источниками расчёта последствий отказа; отметить неподтверждённые допущения комиссии.
- 5Выбрать маршрутВыбрать маршрут: для объекта критической информационной инфраструктуры, по которому оспаривается акт категорирования, — возражения, обращение в орган или суд. Выделить спорное решение и желаемое изменение: уточнение сведений, исправление документа или оспаривание требования органа.
- 6Исполнить решениеИсполнить решение по системе безопасности значимого объекта КИИ; вывод строю на фактических мерах, а не на названии документа. Согласовать ответственных за доработку документов и получить подтверждения внедрения мер от технических исполнителей.
- 7Сверить результатСверить исполнение и оформить подтверждение: категорирование объектов критической информационной инфраструктуры подтверждают датированные материалы компании. Сохранить доказательства направления уточнений и проверить, какие замечания органа остались открытыми.
Досудебный порядок
Перед подготовкой позиции сверяю сведения реестра значимых объектов с утверждённым актом категорирования.
- Зафиксировать обстоятельства и исходные данные: акт категорирования, перечень объектов, модель угроз и сведения ГосСОПКА.
- Проверить, внесён ли объект в реестр значимых объектов КИИ, какие сведения учтены и совпадают ли они с утверждённым актом категорирования. Расхождения перечислить в письменной позиции с приложением соответствующих редакций документов.
- Направить документ способом, который даёт основание установить дату, содержание и состав приложений.
- Проверить сроки и даты по каждому шагу категорирования объектов критической информационной инфраструктуры; каждая дата получает своё подтверждение.
- Разграничить фактические действия компании и правовое основание для включения объекта в реестр значимых объектов КИИ.
Результат зависит от того, как в компании реально работает система безопасности значимого объекта КИИ; по одному названию документа вывод не делаю.
Через суд
Для спора о категории или включении в реестр определяю компетентный суд, участников и предмет требования.
| Вопрос | Что подтверждаю |
|---|---|
| Компетенция суда | Определяю, какой суд рассматривает спор о категорировании объектов критической информационной инфраструктуры, и подтверждаю это датированными материалами компании. |
| Надлежащие стороны | Устанавливаю надлежащих участников спора о включении в реестр значимых объектов КИИ: компанию, эксплуатирующее лицо и орган, ведущий реестр. |
| Предмет требования | Формулирую требование по результатам категорирования объектов критической информационной инфраструктуры и подкрепляю его сведениями о том, как устроена система безопасности значимого объекта КИИ. |
| Цифровые материалы дела | Сведения из реестра значимых объектов критической информационной инфраструктуры (КИИ) сверяю с фактами и полномочиями. Комплект: акт категорирования, перечень объектов, модель угроз и сведения ГосСОПКА. |
| Нормативное основание | Разделяю требования к категорированию, реестровым сведениям и мерам защиты. Для каждого довода указываю, какое действие органа оспаривается, какие документы он оценивал и в чём компания видит нарушение своих прав. |
| Исполнение решения | Проверяю, какие действия потребуются после решения суда: уточнение сведений реестра, повторное рассмотрение материалов или устранение конкретного нарушения. Судебный акт не подменяет работу комиссии и техническое внедрение защиты. |
Акт категорирования объектов критической информационной инфраструктуры сопоставляю с исходными расчётами и протоколами комиссии. Для спора о мерах защиты дополнительно нужны документы об их внедрении и замечания органа по конкретному объекту.
Документы
Схема процесса, договоры и технические материалы позволяют проверить меры защиты и обязанности оператора.
| Документ | Что он даёт основание установить |
|---|---|
| Схема процесса | Показывает, как устроена система безопасности значимого объекта КИИ, какая категория значимости присвоена и какая модель угроз принята. |
| Договорная база | Подтверждает, кто эксплуатирует объект и кто отвечает за подготовку и передачу сведений для включения в реестр значимых объектов КИИ. |
| Технические материалы | Акт категорирования, перечень объектов, модель угроз и сведения ГосСОПКА сопоставляю с описанием архитектуры и документами о внедрении мер защиты. Проверяю даты и границы каждого объекта. |
| Деловые письма контрагентов | Даёт основание установить получение уведомления, возражения или требования вместе с приложениями. |
| Документ органа | Показывает позицию органа по системе безопасности значимого объекта КИИ и основания его требований к компании. |
| Расчёт последствий | Показывает, какие меры системы безопасности значимого объекта КИИ потребуются и как рассчитаны расходы. Позволяет отделить обычные затраты на защиту от расходов, возникших из-за спорных действий подрядчика. |
Главное доказательство — сведения о том, как на деле проведено категорирование объектов критической информационной инфраструктуры.
Размер и расчёт
Объём аудита зависит от числа объектов и редакций актов, а доработка — от замечаний и состояния систем.
| Элемент | Как подтверждается |
|---|---|
| Правовой аудит | Анализ документов и процессов; объём зависит от числа объектов, по которым проводилось категорирование. Учитываю число редакций актов, замечания органа и наличие расчётов показателей значимости. |
| Доработка документов | Подготовка новых редакций акта категорирования, перечня объектов и модели угроз с учётом фактического состояния систем. Разделяю исправление описания объекта и пересмотр выводов комиссии: для них могут потребоваться разные исходные сведения. |
| Технические меры | Расходы на меры защиты зависят от присвоенной категории и состава объекта. Смету сопоставляю с перечнем необходимых работ и документами об их приёмке, исключая повторный учёт одной меры. |
| Договорные платежи | Платежи интеграторам и поставщикам за создание системы безопасности значимого объекта КИИ. Проверяю этапы договора, оплаченные работы и документы о передаче результатов обследования и настройки защиты. |
| Подтверждённые убытки | Расходы на пересмотр категории, если акт категорирования объекта критической информационной инфраструктуры оказался неточным, а также связанные с тем, что объект включён в реестр значимых объектов критической информационной инфраструктуры (КИИ); учитываются только подтверждённые документами. |
| Судебные расходы | Госпошлина и расходы на представителя в споре о категорировании или требованиях к защите. Их распределение оценивается отдельно от затрат на исполнение требований к безопасности объекта. |
Каждую сумму подтверждаю договором, актом или платёжным документом с датой и связью с конкретным объектом.
Сроки давности
Отдельно отслеживаю сроки судебного обжалования, передачи сведений о категории и исполнения требований к защите.
| Действие | Срок | Начало и условие | Норма |
|---|---|---|---|
| Претензия по денежному требованию | 30 календарных дней | Для денежного спора с интегратором фиксирую дату направления претензии и её приложения. Проверяю, действует ли общий период ожидания ответа либо закон или договор устанавливает иной срок; это не срок подачи возражений на категорию объекта. | ч. 5 ст. 4 АПК РФ |
| Оспаривание решения органа | 3 месяца | Для требования к органу важна дата получения компанией сведений о нарушении её прав. Сохраняю уведомление о решении по объекту и подтверждение его доставки; отдельно проверяю наличие специального срока и основания восстановления при пропуске. | ч. 4 ст. 198 АПК РФ |
| Апелляционная жалоба | 1 месяц | Отсчёт связан с принятием решения в окончательной форме. Проверяю дату судебного акта по спору о категории или мерах защиты и применимость общего срока апелляции; переписка с органом не заменяет подачу жалобы. | ч. 1 ст. 259 АПК РФ |
| Кассационная жалоба | 2 месяца | Проверяю дату вступления обжалуемого акта в законную силу и применимость общего срока кассации. Акт категорирования объекта критической информационной инфраструктуры и ранее представленные расчёты сохраняю вместе с материалами судебного дела. | ч. 1 ст. 276 АПК РФ |
Сроки обращения в суд и обжалования судебных актов отличаются от сроков передачи сведений о категорировании и исполнения требований к защите. Для каждого действия фиксирую основание, начальную дату и доказательство отправки документа.
Виды дел
Проверяю категорию и модель угроз, готовлю правовую часть материалов и согласовываю условия работы подрядчиков.
Предварительный аудит
Сравниваю заявленную модель с фактическими операциями: категория значимости объекта КИИ и модель его угроз.
Разработка записей
Готовлю правовую часть документов системы безопасности значимого объекта КИИ, опираясь на описание процессов и технические материалы. Проверяю полномочия подписантов и распределение обязанностей.
Согласование условий
Согласовываю с подрядчиками условия обследования и защиты объекта: состав результата, исходные данные для категорирования, приёмку документов и порядок исправления замечаний.
Ответ регулятору
Готовлю ответ регулятору: категорирование объектов критической информационной инфраструктуры (КИИ) подтверждаю материалами компании, по каждому объекту — отдельный вывод с расчётами и протоколами комиссии.
Досудебная претензия
Направляю претензию, когда спор касается категорирования объектов критической информационной инфраструктуры; каждое условие подтверждаю отдельным документом.
Судебное представительство
Представляю компанию в суде по спору о реестре значимых объектов критической информационной инфраструктуры (КИИ). Сопоставляю оспариваемое решение со сведениями, которые орган получил от компании.
Что влияет на исход
Для оценки исполнения важны роль владельца и оператора, категория объекта и редакция акта на дату события.
Верная правовая роль
Обязанности по защите зависят от роли компании, состава объекта и присвоенной категории. Проверяю, кто владеет системой, кто её эксплуатирует и какие обязанности закреплены в договорах.
Действующая редакция
Используется редакция документа, действовавшая в момент события; позднее изменение не даёт основание установить прежнее исполнение.
Достоверный цифровой след
Категорирование объектов критической информационной инфраструктуры подтверждается расчётами, протоколами комиссии и версиями документов. Сверяю исходные показатели с состоянием системы на дату оценки.
Согласованные данные
Сведения для включения в реестр значимых объектов КИИ должны соответствовать утверждённому акту и описанию объекта. Проверяю расхождения в категории, границах системы и датах отправки материалов.
Своевременная реакция
Вовремя подготовленные сведения для включения в реестр значимых объектов КИИ снижают риск спора с органом о категории объекта.
Исполнимое требование
Требование должно указывать на конкретное нарушение и действие по его устранению. Акт категорирования критической информационной инфраструктуры сопоставляю с тем, какие изменения компания просит внести в сведения об объекте.
Возможные исходы
В итоговом комплекте можно проследить исходные показатели, решение комиссии и выявленные расхождения в акте.
- Подготовлен итоговый комплект документов: категорирование объектов критической информационной инфраструктуры подтверждено датированными материалами компании. В комплекте прослеживаются исходные показатели значимости, состав комиссии и основание принятого решения.
- Акт категорирования критической информационной инфраструктуры проверен по исходным данным и полномочиям комиссии. Выявленные расхождения перечислены с указанием расчётов и документов, которые требуют дополнения или пересмотра.
- Категорирование объектов критической информационной инфраструктуры (КИИ) сопоставлено с документами системы безопасности. Определены вопросы к техническим исполнителям и правовые обязанности компании по защите значимого объекта.
- Сведения для включения в реестр значимых объектов КИИ сверены с утверждёнными материалами комиссии. Подготовлены уточнения или пояснения по расхождениям; принятие их органом зависит от содержания документов и его оценки.
Показать все результатыСвернуть
- Подготовлены возражения по спорной оценке категории или требованию органа. Позиция опирается на акт категорирования объектов критической информационной инфраструктуры, расчёты показателей и подтверждение отправки сведений.
- Процесс категорирования объектов критической информационной инфраструктуры описан конкретно, без общих формулировок. Для доработки выделены ответственные лица, необходимые исходные сведения и подтверждения исполнения; судебный исход заранее не определяется.
Практика дел
Неточные границы объекта и расхождения между описанными мерами защиты и настройками требуют проверки.
Документ расходится с системой безопасности значимого объекта КИИ
Документы описывают одни меры, а система безопасности значимого объекта КИИ работает иначе. Исход зависит от того, что можно подтвердить по закону 187-ФЗ о критической информационной инфраструктуре; сверяю документы с настройками.
Объект описан неточно
В перечень не вошли системы, которые фактически поддерживают деятельность компании. Проверяю границы объектов и готовлю уточнения.
Доступ выдан без границ
К объекту допущены неучтённые подрядчики. Проверяю, отражён ли их доступ в акте категорирования объектов критической информационной системы.
Включение в реестр значимых объектов КИИ подтверждено поздно
Документы о категорировании составлены после запроса органа. От хронологии зависит позиция компании; фиксирую даты и сохранившиеся материалы, в том числе о включении в реестр значимых объектов КИИ.
Процедуры смешаны
Категорирование, ответ органу и работа с ГосСОПКА ведутся без общей позиции. Разделяю процедуры и готовлю документы для каждой.
Типичные ошибки
Комиссия без подтверждённых полномочий и чужая модель угроз мешают обосновать категорию и меры защиты.
- Формально назвать роль. Поручить категорирование объектов критической информационной инфраструктуры (КИИ) комиссии без полномочий и без описания процессов. Без приказа и протоколов трудно подтвердить, кто оценивал показатели значимости и утверждал выводы по конкретному объекту.
- Скопировать чужой документ. Взять чужую модель угроз, которая не описывает, как устроена система безопасности значимого объекта КИИ в компании. Несовпадение границ объекта, зависимых процессов и источников угроз делает выводы такого документа непригодными для обоснования мер защиты.
- Потерять исходную версию. Переписать акт категорирования объектов критической информационной инфраструктуры без сохранения прежней редакции: акта, перечня объектов, модели угроз и сведений ГосСОПКА. Тогда нельзя восстановить, на какой редакции основывались сведения, направленные органу, и какие изменения внесены позднее.
- Ответить без приложений. Ответить органу без документов, подтверждающих категорию значимости объекта. Перечень приложений и подтверждение отправки позволяют показать, какие расчёты и протоколы орган действительно получил.
- Смешать разные процедуры. Смешать включение в реестр значимых объектов КИИ с пересмотром категории: акт категорирования объекта критической информационной инфраструктуры и сведения реестра меняются по разным правилам.
- Попросить неисполнимое. Требовать от органа решения, которое не подтверждает акт категорирования критической информационной системы. Сначала нужно определить спорное действие и нарушение прав компании, а затем связать требование с документами комиссии.
Возмещение ущерба
Для требования к подрядчику отделяю обычные затраты на защиту от расходов, вызванных недостатками его работы.
- Затраты на создание системы безопасности значимого объекта КИИ сами по себе не означают ущерб, подлежащий взысканию. Проверяю, какие расходы компания понесла бы независимо от нарушения, а какие вызваны недостатками работы подрядчика.
- Расходы на категорирование объектов критической информационной инфраструктуры (КИИ) и на меры защиты рассчитываются раздельно. Для требования к подрядчику важны предмет договора, оплаченные этапы и связь дополнительных затрат с конкретным недостатком.
- Расходы, связанные с включением в реестр значимых объектов КИИ, отделяю от затрат на исправление ошибочно подготовленных сведений. Нужны прежние документы, замечания органа и подтверждение объёма повторной работы.
- Затраты на модернизацию системы безопасности значимого объекта КИИ подтверждаются сметами, актами и оплатой. Проверяю причины модернизации и исключаю из требования улучшения, которые компания заказала по собственной инициативе.
Показать все последствияСвернуть
- Расходы на повторное категорирование оцениваю по причинам пересмотра. Если прежние выводы оказались неточными из-за неполного обследования, сопоставляю задание подрядчику, переданные исходные данные и документы о выявленных недостатках.
- Расходы на юридическую помощь при проверке органа и в споре о категории значимости объекта подтверждаю соглашением, объёмом работы и оплатой. Возможность их взыскания и состав требования оцениваю отдельно от технических затрат.
Комментарий адвоката Вруцкого
адвокат · рег. № 78/8790
Сначала раскладываю факты и исходные данные, затем выбираю применимые требования и способ защиты. Акт категорирования критической информационной инфраструктуры сверяю с реальными системами компании, протоколами комиссии и расчётами показателей значимости. Если вывод основан на описании системы, которое уже изменилось, выясняю дату изменения и его влияние на категорию. Для правовой позиции важно понимать, какие материалы орган получил до принятия спорного решения, а какие компания подготовила позднее.
Отдельно разбираю документы защиты значимого объекта и договор с интегратором. Наличие модели угроз не подтверждает внедрение всех предусмотренных мер; сведения об исполнении запрашиваю у технических специалистов. Договор проверяю по составу работ, порядку приёмки и обязанности устранить недостатки. На консультации определяю, каких исходных данных не хватает для ответа органу или требования к подрядчику. Выбор способа защиты зависит от конкретного решения, доказательств и соблюдения сроков обращения.
Что я беру на себя
Проверяю последовательность решений о категории и собираю акты, модель угроз, сведения ГосСОПКА и протоколы.
- Карта фактов. Устанавливаю участников, системы и последовательность решений о категории значимости объекта КИИ.
- Правовая проверка. Сравниваю установленные факты с требованиями закона о безопасности критической информационной инфраструктуры.
- Материалы дела. Собираю доказательства: акт категорирования, перечень объектов, модель угроз и сведения ГосСОПКА, а также приказы о комиссии и протоколы.
- Процессуальные документы. Готовлю ответы, возражения и процессуальные документы: для критической информационной инфраструктуры акт категорирования — их основа.
- Представительство. Веду переговоры и представляю позицию компании перед органом и в суде.
- Контроль результата. Проверяю, что категорирование объектов критической информационной инфраструктуры (КИИ) и меры защиты отражены в документах.
Как я веду дело
Порядок работы адвоката — Категорирование объектов КИИ и защита значимых объектов
- 1Разбор ситуацииСмотрю документы компании и обстоятельства, определяю маршрут и называю перспективу без приукрашивания. Если задача решается силами самой компании — говорю об этом прямо.
- 2Сбор документовОпределяю, какие договоры, внутренние документы, переписка и материалы органа относятся к задаче. Недостающие сведения получаем доступным законным способом; судебные запросы возможны в соответствующей процедуре.
- 3Подготовка документовГотовлю необходимые по задаче документы: договор, ответ, возражения, заявление или жалобу. Согласуем содержание и порядок подписания; проверяем полномочия лица, которое направляет документ.
- 4Представительство по задачеПо согласованному поручению веду переговоры, представляю интересы в компетентном органе или суде. Заранее объясняю, когда необходимо личное участие представителя компании и какие документы потребуются.
- 5Результат и дальнейшие действияРазбираю полученное решение или подготовленный документ и объясняю последующие действия. Исполнение судебного акта, обжалование и дополнительные этапы входят в работу в объёме, предусмотренном соглашением.
- 6Связь на всех этапахСогласуем контактное лицо компании и порядок информирования. Сообщаю о значимых событиях и необходимых решениях в пределах принятого поручения.
Сам или с адвокатом
Компания описывает системы и передаёт все редакции актов с метаданными, а адвокат проводит правовую проверку.
Что делает компания
Компания описывает процессы и системы и передаёт акт категорирования критической информационной инфраструктуры.
- Сообщить, внесён ли объект в реестр значимых объектов, когда и на основании какого решения.
- Передать исходные материалы без удаления метаданных: акт категорирования, перечень объектов, модель угроз и сведения ГосСОПКА.
- Собрать все редакции, в том числе акт категорирования объектов критической информационной инфраструктуры.
Работа адвоката
Анализирую документы компании о категорировании объектов, модели угроз и о мерах их защиты.
- Соотнести факты с требованиями закона о КИИ.
- Проверить, соответствует ли система безопасности значимого объекта КИИ документам компании.
- Подготовить ответ органу и позицию компании в споре о категории значимости.
Сведения о системах — за компанией, а правовая оценка и позиция перед органом — задача адвоката.
Стоимость зависит от объёма работы и того, до какой инстанции дойдёт дело. Размер вознаграждения определяется соглашением об оказании юридической помощи и фиксируется в нём вместе с объёмом работ — ст. 25 ФЗ «Об адвокатской деятельности и адвокатуре». Скрытых платежей нет: всё, что не в соглашении, не оплачивается.
| Этап работы | Когда нужен | Что вы получаете | Цена |
|---|---|---|---|
| Разбор задачи компании | До подписания, ответа на требование или иска | Оценка рисков и план действий; если справитесь своими силами — скажу прямо | от 10 000 ₽ |
| Документы и переписка | Договор, протокол разногласий, претензия, ответ органу | Проект документа, согласованный с вами до подписания или отправки | по соглашению |
| Представительство в компетентном суде | Спор дошёл до суда | Иск или отзыв, расчёты, доказательства, участие в заседаниях | по соглашению |
| Апелляция и кассация | Решение не устроило | Жалоба и участие в вышестоящем суде | по соглашению |
| Выезд по вопросу бизнеса | Проверка, переговоры, встреча в офисе компании | Разбор на месте и план ближайших действий | от 50 000 ₽ |
Константин Александрович Вруцкий
№ 78/8790 · адвокат · в профессии с 2006 года
Я веду поручение лично. При обращении разбираю задачу, необходимые действия и объём помощи, который закрепляю в соглашении.
Сведения, полученные в связи с обращением за юридической помощью, охраняются адвокатской тайной.
Личное ведениеВеду дело лично по письменному соглашению с адвокатом; в нём закрепляю поручение и объём помощи.
Честная оценкаНе обещаю результата. Оцениваю перспективы и риски; если задача решается своими силами, говорю прямо.
Адвокатская тайнаСведения, полученные в связи с обращением за юридической помощью, охраняются адвокатской тайной.
Понятные следующие шагиОбъясняю значение документа или решения и следующие действия. Объём представительства и обжалования закрепляю в соглашении.
Частые вопросы
Перед включением в реестр разбираю исходное описание систем, состав акта и применимые к объекту требования.
С чего начать, если предстоит включение в реестр значимых объектов КИИ?
С описания процессов и систем и проверки, как составлен акт категорирования критической информационной инфраструктуры.
Какие нормы применяются к категорированию объектов?
Закон о безопасности критической информационной инфраструктуры и принятые в его развитие требования; применимость зависит от роли компании и объекта.
Подойдёт ли типовой документ для системы безопасности значимого объекта КИИ?
Нет. Акт категорирования объекта критической информационной инфраструктуры должен отражать ваши процессы и системы.
Что сохранить до исправления: акт категорирования объектов критической информационной инфраструктуры?
Все редакции акта категорирования, перечень объектов, модель угроз и сведения ГосСОПКА с датами.
Показать все вопросыСвернуть
Обязательна ли досудебная процедура, если спор касается реестра значимых объектов критической информационной инфраструктуры (КИИ)?
Это зависит от вида спора и органа. Проверяю применимый порядок и сроки.
Как определить компетентный суд в споре о категорировании?
Решение органа организация оспаривает в арбитражном суде. Проверяю предмет требования и материалы.
Допустимо ли заранее обещать результат?
Нет. Исход зависит от того, как проведено категорирование объектов критической информационной инфраструктуры (КИИ) и какие документы это подтверждают. Могу оценить риски.
Какие материалы передаются компании по итогам проверки категорирования?
Проверенные документы, где для критической информационной инфраструктуры акт категорирования, перечень объектов и модель угроз согласованы, и план доработки мер защиты.