Если ЗОКИИ нет: какие обязанности субъекта КИИ всё равно остаются
Акт написал: категорию присваивать не нужно. Реестра значимых объектов у вас нет. Это не освобождение от 187-ФЗ. Вы по-прежнему субъект, пока есть системы в сферах статьи 2. Закон прямо делит обязанности: часть 2 статьи 9 — на всех субъектов; часть 3 и статьи 10–11 — дополнительно на тех, у кого есть значимые объекты. Ниже что закрывать без ЗОКИИ и чего не выдумывать «на всякий случай» по приказу ФСТЭК № 239.
Оговорка. Статья не юридическая консультация. Разделение обязанностей сверено по статье 9 187-ФЗ в редакции с 1 сентября 2025 года (закон от 07.04.2025 № 58-ФЗ: части 2 и 3, пункты 5–7 части 3) и статьям 10–11; категорирование без присвоения категории — по пункту 16 Правил ПП № 127. Проверяйте редакцию: 187-ФЗ, ПП № 127. Если ФСТЭК вернула сведения как необоснованный отказ от категории — это другой сюжет: исправляйте акт, а не прячьте статус. Штрафы не копируем: статьи 13.12.1 и 19.7.15 КоАП.
Что требует норма
| Обязанность | У всех субъектов (нет ЗОКИИ тоже) | Только если есть ЗОКИИ |
|---|---|---|
| Информировать о компьютерных атаках и инцидентах ФСБ (НКЦКИ), банки — ещё Банк России | Да, пункт 1 части 2 статьи 9 (с 01.09.2025 — и атаки, и инциденты). Сроки: уведомление НКЦКИ | Плюс реагирование и ликвидация последствий атак на значимый объект в порядке ФСБ (пункт 3 части 3) |
| Содействовать должностным лицам ФСБ в обнаружении атак и выяснении причин инцидентов | Да | Плюс беспрепятственный доступ должностных лиц ФСТЭК к значимому объекту при госконтроле |
| Если на объекте стоят средства обнаружения атак — соблюдать условия установки и сохранность | Да, пункт 3 части 2, если такие средства уже стоят | Пункт 7 части 3: непрерывное взаимодействие с ГосСОПКА. Статья 10 — система безопасности значимого объекта |
| Комиссия, перечень, акт, сведения во ФСТЭК | Да, в том числе акт «категория не нужна»: комиссия и акт | Объект попадает в реестр значимых, категория может быть пересмотрена |
| Требования ФСТЭК к значимым объектам, предписания, система безопасности статьи 10, российское ПО и требования к программно-аппаратным средствам (пункты 5–6 части 3) | Нет, пока нет ЗОКИИ | Да. Обзор модели угроз, ТЗ и импортозамещения — следующие статьи очереди, не этот текст |
Практический минимум без ЗОКИИ: знать, что вы субъект (тест по 187-ФЗ); живая комиссия; акт с выводом «без категории»; контакты НКЦКИ в плейбуке; журнал, что сведения во ФСТЭК ушли. Обычная гигиена ИБ (сегментация, учётки, копии) вам всё равно нужна как компании, но это не «система безопасности значимого объекта» статьи 10.
Чего не делать
- Не покупать СЗИ «как для первой категории», чтобы «перестраховаться»: это не закрывает акт и сведения во ФСТЭК и раздувает бюджет. Реестр российского ПО и требования к программно-аппаратным средствам с 01.09.2025 — пункты 5–6 части 3, то есть про ЗОКИИ, не про вас.
- Не считать, что облачный подрядчик уведомит НКЦКИ за вас: субъект — вы.
- Не путать ГосСОПКА для оператора ПДн с обязанностями субъекта КИИ. Если при инциденте утекли ПДн, параллельно работает 152-ФЗ: уведомление РКН.
Жёсткий Linux по методичке ФСТЭК полезен и без ЗОКИИ как инженерия, не как замена категорирования: рекомендации ФСТЭК по ядру.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| «ФСТЭК нас не внесла — можно забыть» | В реестр вносят значимые. Без категории вас туда и не ждут, но часть 2 статьи 9 жива |
| ИБ внедряет приказ № 239 «на всякий» | Путают статьи 10–11 с гигиеной. Вернитесь к акту и плейбуку НКЦКИ |
| Комиссию распустили после «категории нет» | Пункт 11.3 ПП № 127 так не разрешает, пока вы субъект |
| Инцидент не слали, «объект же незначимый» | Для иных объектов КИИ срок 24 часа, не «не надо» |
Где это в модели зрелости
Материал относится к направлению «Архитектура кибербезопасности» (хаб: архитектура, карта: карта зрелости): граница, какие требования к системам вообще ваши. Без ЗОКИИ вы не строите контур статьи 10, но и не выпадаете из 187-ФЗ. «Категории нет» не значит «закон не про нас».
Как проверить
- В регламенте ИБ явно написано: субъект КИИ, ЗОКИИ нет (или есть — тогда этот чек-лист не ваш).
- Комиссия не распущена, акты хранятся.
- Плейбук содержит НКЦКИ на любой объект КИИ, не только на «если когда-нибудь появится категория».
- Нет закупленного «пакета 239» вместо отправленных сведений во ФСТЭК.
- Руководитель может за минуту ответить, чем часть 2 статьи 9 отличается от части 3.
Как делают в международной практике
В NIST CSF 2.0 меры усиливают по воздействию на деятельность, без российского деления «значимый / незначимый объект». Обязанность сообщить о инциденте при этом не пропадает. Это не замена 187-ФЗ. Текст: nist.gov/cyberframework.
Источники
- Федеральный закон от 26.07.2017 № 187-ФЗ, статьи 9–11: КонсультантПлюс.
- Постановление Правительства РФ от 08.02.2018 № 127, пункты 11.3 и 16: КонсультантПлюс.
- НКЦКИ: cert.gov.ru.
