Комиссия по категорированию КИИ: состав, акт, срок

Если вы уже субъект КИИ, следующий документ — не «политика безопасности», а решение руководителя о постоянно действующей комиссии. Комиссия выявляет критические процессы, составляет перечень объектов, оценивает последствия и оформляет акт: категория 1, 2, 3 или вывод, что категорию присваивать не нужно. Ниже состав, сроки и что должно быть в акте. Расчёт каждого показателя перечня № 127 — отдельная статья, здесь каркас процесса.

Оговорка. Статья не юридическая консультация. Порядок сверен по Правилам категорирования, утверждённым постановлением Правительства РФ от 08.02.2018 № 127 (в редакции, доступной на дату подготовки, с изменениями включая 07.11.2025), и по статье 7 187-ФЗ. Документы меняются, проверяйте редакцию: ПП № 127, 187-ФЗ. Состав комиссии сверяйте с пунктом 11 действующей редакции Правил, форму сведений во ФСТЭК — с приказом ФСТЭК, не с чужим шаблоном. Непредставление сведений о результатах категорирования — статья 19.7.15 КоАП; суммы не копируем.

Что требует норма

Шаг	Срок	Артефакт
Решение руководителя: создать постоянно действующую комиссию	После вывода, что вы субъект: кто субъект	Приказ, состав по пункту 11 Правил
Перечень объектов, подлежащих категорированию	Утверждает субъект; копию во ФСТЭК — 10 рабочих дней	Перечень; для подведомственных — согласование с отраслевым органом (пункт 15)
Категорирование по перечню	Не больше одного года с утверждения перечня (или с его изменения)	Протоколы, оценка показателей
Акт комиссии	По итогам	Сведения об объекте и категория либо «категория не нужна». Можно один акт на несколько объектов одного субъекта
Сведения о результатах во ФСТЭК	10 рабочих дней с утверждения акта	Пакет пункта 17 Правил, форма — приказ ФСТЭК № 236

Три категории значимости: первая — высшая, третья — низшая. Если ни один показатель неприменим или объект им не соответствует — категорию не присваивают. Это законченный результат, не отписка «мы маленькие».

Состав комиссии

Пункт 11 Правил требует включить: руководителя или уполномоченное им лицо (он же возглавляет комиссию); специалистов по основной деятельности, ИТ и связи, по эксплуатации технологического оборудования и промышленной безопасности, где это есть; работников, на которых возложена информационная безопасность объектов КИИ; при гостайне — подразделение по защите гостайны; работников гражданской обороны / ЧС или уполномоченных. По решению руководителя можно добавить финансистов и других. В филиалах допустимы отдельные комиссии, их координирует комиссия субъекта.

Для небольшой клиники или перевозчика это не «десять отделов»: один приказ, в котором названы живые люди с ролями. Пустое место «специалист по ЧС» закройте приказом о возложении, а не пропускайте пункт.

Комиссию расформировывают, только если вы перестали работать в сферах статьи 2 187-ФЗ или потеряли признаки субъекта при ликвидации/реорганизации (пункт 11.3). Пока вы субъект — комиссия постоянная, не разовая «на неделю».

Что писать в акте

Пункт 16: сведения об объекте и сведения о присвоенной категории либо об отсутствии необходимости её присвоить. Подписи членов комиссии, утверждение руководителем. Храните акт до вывода объекта из эксплуатации или до смены категории. Не подменяйте акт слайдом для совета директоров.

Сами показатели (погибшие, прерванное теплоснабжение, объём перевозок) в этот материал не копируем: считайте по приложению к ПП № 127 и по приказу ФСТЭК о форме сведений. Если после расчёта категории нет — обязанности субъекта всё равно остаются: без ЗОКИИ. Инциденты на объекте, даже без категории, идут в НКЦКИ: уведомление НКЦКИ.

Диагностика

Симптом	Причина и что делать
Комиссия из одного ИБ-сотрудника	Нет состава пункта 11. Добавьте руководителя (или уполномоченного) и профильную деятельность
Перечень утвердили два года назад, актов нет	Превышен год. Доведите категорирование, не начинайте перечень заново без причины
Акт есть, во ФСТЭК ничего не уходило	Пропущены 10 рабочих дней пункта 17. Отправьте сведения по форме приказа № 236
«Категории нет — акт не нужен»	Как раз нужен: закон прямо допускает вывод об отсутствии категории

Где это в модели зрелости

Материал относится к направлению «Риск-ориентированный подход» (хаб: риск, карта: карта зрелости). Категорирование — оценка последствий срыва процессов, не замена реестра рисков ИБ. Без комиссии и акта статус субъекта по 187-ФЗ так и остаётся словами.

Как проверить

Есть приказ о постоянно действующей комиссии с составом, закрывающим пункт 11.
Утверждён перечень объектов; дата утверждения не старше года без готовых актов.
По каждому объекту перечня есть акт: категория или обоснованный отказ от категории.
Акты подписаны комиссией и утверждены руководителем, хранятся.
Есть исходящее во ФСТЭК в пределах 10 рабочих дней после акта (или мотивированный возврат и повтор).

Как делают в международной практике

В NIST CSF 2.0 критичность сервисов описывают как влияние на миссию, без трёх «категорий значимости» ФСТЭК. Это не российский закон и не замена ПП № 127. Текст: nist.gov/cyberframework.