Закон о безопасности критической информационной инфраструктуры обязывает субъектов КИИ провести категорирование принадлежащих им объектов (ст. 7 187-ФЗ). Значимые объекты вносятся в реестр, который ведет уполномоченный федеральный орган (ст. 8), и для них действуют отдельные требования к безопасности. Субъекты КИИ – организации, чьи системы функционируют в здравоохранении, науке, транспорте, связи, энергетике, банковской сфере и финансовом рынке, топливно-энергетическом комплексе, атомной энергии, оборонной, ракетно-космической, горнодобывающей, металлургической и химической промышленности. КИИ – отдельная область регулирования, она не заменяет требований 152-ФЗ: одна и та же система может быть и ИСПДн, и объектом КИИ.

• Создать комиссию по категорированию во главе с руководителем субъекта КИИ или уполномоченным им лицом.
• Выявить информационные системы, сети и автоматизированные системы управления, соответствующие типовым отраслевым объектам из перечня, утвержденного распоряжением Правительства РФ № 360-р.
• Рассмотреть возможные действия нарушителей и источники угроз, проанализировать угрозы, которые могут привести к компьютерным инцидентам, включая наихудшие сценарии целенаправленных атак.
• Оценить масштаб возможных последствий инцидентов по показателям критериев значимости: социальной, политической, экономической, экологической значимости и значимости для обороны, безопасности государства и правопорядка.
• Присвоить каждому объекту одну из трех категорий значимости либо принять решение, что категория не требуется, и оформить решение актом.
• Направить сведения о результатах в уполномоченный федеральный орган по установленной им форме в течение 10 рабочих дней после утверждения акта.
• Пересматривать категории не реже одного раза в 5 лет, а также при изменении показателей критериев значимости и появлении новых объектов.

Акт категорирования с перечнем объектов, присвоенными категориями (или обоснованием отсутствия категории) и расчетами показателей критериев значимости; сведения, направленные в уполномоченный орган. Для значимых объектов акт становится основой для дальнейших работ по обеспечению их безопасности.

Комиссия субъекта КИИ: руководитель или его представитель, специалисты по ИТ и ИБ, представители подразделений, отвечающих за основные процессы, юрист. Консультанты помогают с методикой оценки показателей и оформлением, но решение принимает комиссия субъекта. Правильность присвоения категории проверяет уполномоченный федеральный орган (ст. 7 187-ФЗ).

• Подтвержденный опыт категорирования в вашей отрасли: отраслевые особенности категорирования различаются.
• Исполнитель работает вместе с комиссией и не подменяет ее: решения принимает субъект КИИ.
• Понятная методика расчета показателей критериев значимости с обоснованием значений, а не категория «по ощущениям».
• Готовность сопровождать направление сведений в уполномоченный орган и ответы на замечания.
• Результат пригоден для дальнейших работ: перечень объектов, схемы взаимодействия, исходные данные для проектирования системы безопасности.