КИИ — что это простыми словами: объекты, субъекты и категории значимости в

КИИ — это критическая информационная инфраструктура: информационные системы, сети и автоматизированные системы управления организаций из четырнадцати сфер, от здравоохранения до химической промышленности, нарушение работы которых может больно ударить по людям, экономике или безопасности страны. Правила для них задаёт Федеральный закон № 187-ФЗ от 26.07.2017. Вопрос «КИИ — что это» чаще всего задают не из любопытства: человек увидел письмо регулятора, требование заказчика или услышал на совещании, что «мы, кажется, субъект КИИ», и хочет понять, касается ли это его лично.

Ниже без юридической вязи разобрано, что такое объект КИИ, кто считается субъектом, чем значимые объекты отличаются от обычных, что означают категории I, II и III и что с этим делать организации в и в любом другом регионе: закон один для всех. Все нормы приведены по состоянию на октябрь 2026 года, с учётом поправок 2025–2026 годов, которые в большинстве старых статей ещё не отражены.

КИИ — что это: определение без юридических сложностей

Закон описывает КИИ через три слова: информационные системы, информационно-телекоммуникационные сети и автоматизированные системы управления. Проще всего представить так. Информационная система — это программа и данные, на которых держится бизнес-процесс: медицинская информационная система в клинике, биллинг оператора связи, система дистанционного банковского обслуживания. Сеть — каналы и оборудование, по которым ходят данные. АСУ — то, что управляет оборудованием: станками, котлами, подстанциями, диспетчерскими пультами.

Критической инфраструктурой всё это становится только в связке с владельцем. Если такие системы принадлежат (на праве собственности, аренды или ином законном основании) российскому юридическому лицу или госоргану и работают в одной из сфер, названных в законе, организация считается субъектом, а её системы — объектами КИИ. Системы того же устройства в магазине или в строительной фирме к КИИ не относятся, потому что их владелец не из перечня сфер.

Зачем это государству: сбой в таких системах бьёт не по одной компании, а по тысячам людей. Поэтому для владельцев введён отдельный режим: чем тяжелее возможные последствия, тем строже требования.

Субъект КИИ: кто им является, а кто нет

Субъект КИИ — это государственные органы, государственные учреждения и российские юридические лица, которым принадлежат информационные системы, сети или АСУ, работающие в перечисленных сферах, а также российские юридические лица, которые обеспечивают взаимодействие таких систем или сетей. То есть подрядчик, который держит канал или платформу, связывающую системы субъектов, тоже попадает в круг.

Сфер четырнадцать. Список закрытый: если вашей деятельности в нём нет, вы не субъект, как бы важна она ни была для города.

Три уточнения, на которых регулярно ошибаются.

• Индивидуальные предприниматели. Раньше ИП входили в определение субъекта. Закон № 58-ФЗ от 07.04.2025 убрал их из нормы, изменение действует с 01.09.2025. Врач-ИП, перевозчик-ИП, владелец небольшой котельной в статусе ИП субъектами КИИ больше не считаются.
• ЖКХ и водоканалы. Такой сферы в законе нет. Водоканал сам по профилю водоснабжения и водоотведения не является субъектом. Он может им стать, если параллельно работает в энергетике (теплоснабжающая организация, собственная генерация, сети) или если это госучреждение с системами в названной сфере. Не путайте это с Указом № 604 от 24.08.2026 о критической инфраструктуре: он про физическую безопасность, в том числе защиту от БПЛА, и к 187-ФЗ отношения не имеет.
• Форма собственности. Для коммерческих организаций она значения не имеет: частная клиника или частный металлургический завод подпадают так же, как государственные.

Объекты КИИ: что именно считается объектом

Объект КИИ — это конкретная информационная система, информационно-телекоммуникационная сеть или АСУ субъекта. Не «вся ИТ-инфраструктура целиком»: нужно перечислить системы и сопоставить каждую с утверждённым перечнем.

Обычно это бизнес-системы (МИС клиники, биллинг, ДБО, ERP), управляющие системы (АСУ ТП котельной, подстанции, цеха, диспетчерская) и сети со связующими системами (магистральные каналы, граничные маршрутизаторы, ЦОД).

Раньше работа начиналась с поиска «критических процессов», но постановление № 1762 от 07.11.2025 этот этап исключило. Теперь к перечню типовых объектов просто «примеряют» системы организации.

Типовые объекты КИИ: перечень из распоряжения 360-р

Типовые объекты КИИ — это закреплённый список видов систем, которые государство считает потенциально значимыми. Утверждён распоряжением Правительства от 26.02.2026 № 360-р. Именно распоряжением, а не постановлением, и единым для всех сфер, а не отдельным по каждой отрасли. В нём 397 позиций, сгруппированных по четырнадцати сферам. По каждой указаны наименование типа, типовые процессы (функции) и виды деятельности субъекта по ОКВЭД.

Перечень выручает тем, что убирает вопрос «а вдруг и это тоже»: если система в вашем хозяйстве по описанию не совпадает ни с одним типом, категорировать её не нужно. Если совпадает, начинается оценка. Несколько примеров из разных отраслей.

Обратите внимание: в промышленных разделах перечня встречаются СКУД, пожаротушение и оповещение. Многие предприятия по привычке категорируют только АСУ ТП, а про бытовые на вид системы забывают. Если вы из или другого региона, где работает крупное производство, проверьте перечень именно в вашем разделе, а не по общему впечатлению.

Значимые объекты КИИ: чем они отличаются от остальных

Значимым называют объект КИИ, которому по итогам оценки присвоена категория. Остальные объекты КИИ остаются «просто» объектами: их владелец не создаёт систему безопасности по требованиям ФСТЭК, но и не освобождён от обязанностей субъекта (о них ниже).

Как это происходит. Организация создаёт постоянно действующую комиссию, в которую входят руководитель или его уполномоченный, технологи и специалисты по эксплуатации, ИТ, связи, промышленной безопасности, ИБ, а также подразделение гражданской обороны и ЧС. Комиссия разбирает объект и рассматривает наихудшие сценарии целенаправленной атаки: остановка работы или выход за штатные параметры. Затем по показателям из Правил категорирования (постановление № 127) оценивается масштаб последствий. Итог оформляется актом, который подписывают члены комиссии и утверждает руководитель.

Сведения о результатах отправляются во ФСТЭК России в течение 10 рабочих дней после утверждения акта. Регулятор проверяет их 30 дней. Если всё в порядке, объект вносится в реестр значимых объектов, а субъект получает уведомление в течение 10 дней. Если нет, сведения возвращают с обоснованием, и недостатки нужно устранить не более чем за 10 дней.

Срок «не более года» на категорирование и обязанность отправлять во ФСТЭК общий перечень объектов отменены постановлением № 1281 от 19.09.2024, так что старые памятки с этими требованиями устарели. Порядок работ описан на странице категорирования объектов КИИ.

Категории значимости КИИ: что означают I, II, III и «без категории»

Категорий три, и чем меньше цифра, тем выше значимость и тем строже требования. Категория III — низшая, категория I — высшая. Присваивается наивысшая из полученных по всем показателям: если по одному показателю получилась I, остальные уже можно не считать. Если объект не подходит ни под один показатель, категория не присваивается, и это тоже результат, который нужно оформить и направить.

Показатели сгруппированы по видам ущерба: социальный, политический, экономический, экологический и ущерб обороне и безопасности. Чтобы почувствовать масштаб, вот несколько из них.

Логика такая: порог III категории по здоровью начинается с одного человека, поэтому медицинские системы часто получают категорию, а малый оператор связи может не дотянуть до 3 тысяч абонентов и остаться без неё. Для семи сфер (атомная энергия, финансовый рынок, наука, регистрация недвижимости, ракетно-космическая и оборонная промышленность, связь) приняты отраслевые особенности, для остальных действуют общие правила.

Категории не вечны. По общему правилу их пересматривают не реже раза в пять лет, а также внепланово, если изменился объект, показатели или решение принял ФСТЭК по итогам проверки. В отдельных отраслях сроки жёстче: в оборонной промышленности объекты без категории пересматривают ежегодно, а III категорию раз в два года.

Что обязан делать субъект КИИ и что добавляется владельцу значимого объекта

Главная путаница в теме звучит так: «У нас нет значимых объектов, значит, нас это не касается». Касается, хотя и в меньшем объёме. Обязанности делятся на два уровня.

Что важно помнить. Сроки перехода на российское ПО для значимых объектов пока в стадии проекта: принятого постановления на октябрь 2026 года нет. Зато уже действуют правила по доверенным программно-аппаратным комплексам: недоверенные ПАК, купленные с 01.09.2024, на значимых объектах использовать нельзя, с исключением для случаев, когда российских аналогов нет и это подтверждено Минпромторгом.

Если организация относится к кругу, указанному в Указе № 250 (а это в том числе все юрлица, являющиеся субъектами КИИ), то работы по информационной безопасности ей разрешено поручать только организациям с лицензией ФСТЭК на техническую защиту конфиденциальной информации. Поэтому услугу категорирования МелданаСБ ведёт совместно с партнёром-лицензиатом.

Как понять, касается ли КИИ именно вас

Ответить можно за один рабочий день, если идти по шагам.

Не откладывайте. На «Инфофоруме-2026» ФСТЭК сообщила: в выборке из 700 объектов надлежащий уровень защиты нашли в 36% случаев, а за 2025 год составлено 603 протокола, в основном за непредставление сведений и срыв сроков.

Ответственность: что грозит, если вы субъект и ничего не делаете

С апреля 2026 года добавилась статья 13.12.2: нарушение правил эксплуатации средств и систем КИИ или доступа к ним, если нет признаков преступления. Для юрлиц штраф составляет 100–500 тыс. ₽. За тяжёлые последствия применяется уголовная статья 274.1 УК РФ, в 2026 году её редакцию также изменили.

Чем поможет МелданаСБ

МелданаСБ занимается документами по информационной безопасности и категорированием для организаций в и по всей России. Категорирование объектов КИИ мы ведём в связке с партнёром-лицензиатом ФСТЭК: именно такой формат требует Указ № 250 для субъектов КИИ. Наша часть работы: опрос по системам, сопоставление с перечнем 360-р, оформление комиссии, актов и пакета сведений. Лицензируемая часть остаётся у партнёра.

Частые вопросы

Если нужно сразу перейти к делу, посмотрите, как устроено категорирование объектов КИИ, подберите нужные формы в разделе образцов документов или уточните нормы в нормативной базе. Текст закона доступен на consultant.ru. Вопросы по вашей ситуации можно задать через страницу контактов.