Кто проводит категорирование объектов КИИ

Если объект КИИ принадлежит вам как субъекту критической информационной инфраструктуры, присвоение ему категории относится к вашей обязанности. Основанием владения может быть собственность, аренда или иное законное основание. Арендованный объект также охватывается этим правилом: категорирование касается не только объектов в собственности. Именно субъект присваивает категорию с учётом критериев значимости, показателей их значений и порядка категорирования — ч. 4 ст. 7 О безопасности критической информационной инфраструктуры Российской Федерации.

Категорирование нужно для оценки значимости объекта. В ходе этой процедуры устанавливают его соответствие критериям и показателям, присваивают категорию, а затем проверяют сведения о результате. Оценка охватывает возможные последствия для жизни и здоровья людей, жизнедеятельности населения, транспорта, сетей связи и доступа к государственной услуге. Также учитываются политическое, экономическое, экологическое значение и значение для обороны, безопасности государства и правопорядка. Эти направления оценки закреплены в ч. 1 и 2 ст. 7.

Всего категорий три: первая, вторая и третья. Однако результатом оценки может стать и решение не присваивать объекту ни одну из них, если он не соответствует критериям значимости, их показателям и значениям. Такой результат тоже оформляется для передачи сведений уполномоченному органу — ч. 3–5 ст. 7.

После принятия решения субъект направляет сведения письменно по утверждённой форме в десятидневный срок. Получатель — федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации. Направить сведения нужно как при присвоении категории, так и при решении об отсутствии необходимости её присваивать. Для обоих результатов действует обязанность, предусмотренная ч. 5 ст. 7.

Проверку осуществляет этот федеральный орган в тридцатидневный срок со дня получения сведений. Он оценивает соблюдение порядка и правильность присвоения либо неприсвоения категории. При соблюдении порядка и верном присвоении категории сведения об объекте вносятся в реестр значимых объектов КИИ; субъект получает уведомление в десятидневный срок. Так распределены обязанности по ч. 6 и 7 ст. 7.

Если порядок нарушен, категория определена неверно либо сведения неполны или недостоверны, орган возвращает их письменно с мотивированным обоснованием причин. Срок возврата — десять дней со дня поступления сведений. Получив обоснование, субъект устраняет недостатки не более чем за десять дней и повторно направляет сведения. Исправление результата остаётся обязанностью субъекта — ч. 8 и 9 ст. 7.

Решение об отсутствии необходимости присваивать категорию также проходит проверку. Затем орган передаёт сведения в государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации и уведомляет субъекта в десятидневный срок. Если субъект вообще не представил сведения, орган направляет ему требование соблюдать обязанности по категорированию — ч. 10 и 11 ст. 7.