Какие объекты КИИ являются значимыми

Чтобы определить, является ли объект КИИ значимым, нужно установить два факта: присвоена ли ему категория значимости и включён ли он в реестр значимых объектов. Оба условия входят в определение значимого объекта по п. 3 ст. 2 187-ФЗ (КИИ). Решение о присвоении категории и внесение сведений в реестр — разные этапы, поэтому при определении статуса объекта учитывают каждый из них.

Сначала нужно понять, относится ли система к объектам критической информационной инфраструктуры, сокращённо КИИ. Это информационные системы, информационно-телекоммуникационные сети и автоматизированные системы управления субъектов КИИ. Последние представляют собой комплексы программных и программно-аппаратных средств для контроля технологического или производственного оборудования и процессов, а также управления ими — п. 1 и 7 ст. 2 187-ФЗ (КИИ).

Имеет значение и то, кому принадлежит система и где она работает. Субъектами КИИ могут быть государственные органы, учреждения, российские юридические лица и индивидуальные предприниматели. Системы могут принадлежать им на праве собственности, аренды или другом законном основании. Закон охватывает, в частности, здравоохранение, науку, транспорт, связь, энергетику, банковскую сферу и другие перечисленные отрасли, а также обеспечение взаимодействия соответствующих систем или сетей — п. 8 ст. 2 187-ФЗ (КИИ).

При категорировании оценивают возможные последствия для людей, жизнедеятельности населения, транспорта, связи и доступа к государственным услугам. Учитывают также ущерб политическим интересам Российской Федерации, экономический ущерб, воздействие на окружающую среду и значение объекта для обороны, безопасности государства и правопорядка. Именно эти направления оценки определяют значимость объекта — ч. 2 ст. 7 О безопасности критической информационной инфраструктуры Российской Федерации.

Категорий три: первая, вторая и третья. Любая из них может быть присвоена объекту субъектом КИИ по результатам сопоставления с критериями значимости и показателями их значений. Если объект им не соответствует, категорию не присваивают. Следовательно, принадлежность системы к КИИ ещё не делает её значимой — ч. 3 и 4 ст. 7.

После принятия решения субъект письменно направляет сведения в федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации. Срок направления — десять дней со дня решения. Проверка занимает тридцать дней со дня получения сведений. При правильном присвоении категории и соблюдении процедуры орган вносит объект в реестр и уведомляет субъекта в десятидневный срок — ч. 5–7 ст. 7.

Если сведения возвращены с мотивированным обоснованием причин, субъект устраняет отмеченные недостатки и повторно направляет сведения не более чем в десятидневный срок после получения обоснования. Этот порядок применяется и при ошибочном присвоении категории, и при необоснованном решении не присваивать её — ч. 8 и 9 ст. 7.