Являетесь ли вы субъектом КИИ: как понять по 187-ФЗ
Статус субъекта критической информационной инфраструктуры (КИИ) появляется не после акта категорирования и не после включения в реестр значимых объектов. Он появляется, если вы подходите под определение закона: российское юридическое лицо (или госорган, госучреждение), которому принадлежат информационные системы, сети или АСУ в названных сферах — на праве собственности, аренды или ином законном основании. Ниже рабочий тест. Это не расчёт категории и не уведомление НКЦКИ.
Оговорка. Статья не юридическая консультация. Определение сверено по пункту 8 статьи 2 Федерального закона от 26.07.2017 № 187-ФЗ в редакции с изменениями от 07.04.2025 № 58-ФЗ (индивидуальные предприниматели из субъектов КИИ исключены с 1 сентября 2025 года). Закон меняется, проверяйте редакцию: текст 187-ФЗ. Отраслевую квалификацию согласуйте с юристом: «мы небольшие» закон не освобождает. Штрафы по КоАП не копируем: сверяйте статьи 13.12.1 и 19.7.15 в актуальной редакции.
Что требует норма
| Вопрос | Если «да» | Что делать |
|---|---|---|
| Есть ли у организации ИС, информационно-телекоммуникационная сеть или АСУ в сфере из пункта 8 статьи 2? | Вы кандидат в субъекты | Сверьте сферу со списком ниже, не с ОКВЭД «на глаз» |
| Системы ваши на праве собственности, аренды или ином законном основании? | Принадлежность есть | Договор аренды ЦОДа, облака, лицензия на ПО сами по себе не всегда делают вас субъектом: смотрите, чья это система и кто ею управляет |
| Или вы российское юрлицо, которое обеспечивает взаимодействие таких систем или сетей? | Тоже субъект | Типичный случай — оператор связи, интеграционная шина между объектами отрасли |
Сферы пункта 8 статьи 2: здравоохранение, наука, транспорт, связь, энергетика, государственная регистрация прав на недвижимость и сделок с ней, банковская сфера и иные сферы финансового рынка, топливно-энергетический комплекс, атомная энергия, оборонная, ракетно-космическая, горнодобывающая, металлургическая и химическая промышленность. Интернет-магазин одежды с сайтом в этот перечень сам по себе не входит. Частная клиника с медицинской информационной системой — входит, если система ей принадлежит.
С 1 сентября 2025 года индивидуальный предприниматель субъектом КИИ не является. Если деятельность ведётся как ООО в одной из сфер — смотрите юрлицо, не вывеску ИП прошлого года.
Субъект и значимый объект — не одно и то же
Субъект — статус организации. Значимый объект (ЗОКИИ) — система, которой комиссия присвоила первую, вторую или третью категорию и которую ФСТЭК внесла в реестр. Можно быть субъектом и после категорирования не иметь ни одного значимого объекта: категория не присвоена, потому что показатели не дотягивают. Обязанности субъекта при этом не обнуляются: что остаётся без ЗОКИИ.
Следующий шаг после «мы субъект» — постоянно действующая комиссия и акт: комиссия и акт. Не ждите инцидента, чтобы впервые открыть 187-ФЗ. Уведомление НКЦКИ при инциденте: порядок и канал. Общий разбор первых часов: первые 24 часа.
Как зафиксировать вывод
Короткий протокол на одну страницу: какие системы есть, в какой сфере пункта 8 они живут, на каком праве принадлежат, вывод «субъект / не субъект», дата, кто подписал (руководитель). Если «не субъект» — напишите почему (нет сферы, системы принадлежат заказчику, вы только пишете код). Этот лист при проверке объясняет, почему комиссии ещё нет. Если «субъект» — в тот же день поручение создать комиссию.
Риск самодиагноза «мы не энергетика, мы IT»: если вы эксплуатируете АСУ теплового пункта для теплосети по договору, сфера может оказаться вашей, даже если в уставе написано «разработка ПО». Решение — за юристом и комиссией, не за слоганом сайта.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| «Нас нет в реестре ЗОКИИ — закона нет» | Реестр учитывает значимые объекты, не субъектов. Сначала определение статьи 2 |
| Хостинг в аренде, «это не наши серверы» | Закон смотрит на системы и сети, не только на железо. Чья МИС, чей биллинг |
| ИП с медицинской практикой | С 01.09.2025 ИП не субъект. Если открыли ООО — пересмотрите статус |
| Путают с оператором ПДн | 152-ФЗ почти у всех. 187-ФЗ — только сферы статьи 2. Это разные статусы |
Где это в модели зрелости
Отдельного направления «КИИ» на карте зрелости нет: материал относится к направлению «Риск-ориентированный подход» (хаб: риск, карта: карта зрелости). Без ответа «субъект или нет» остальные меры по 187-ФЗ не с чего считать. Это не модель угроз ИСПДн: модель угроз за день — другой закон.
Как проверить
- Есть подписанный вывод «субъект / не субъект» со ссылкой на пункт 8 статьи 2 и перечень систем.
- Сферы списаны из закона, не из рекламы отрасли.
- Аренда и подряд не использованы как универсальное «мы не субъект» без разбора, чья система.
- Если вывод «субъект» — есть поручение создать комиссию, а не ожидание реестра ФСТЭК.
- ИП после 01.09.2025 не числится субъектом в ваших документах.
Как делают в международной практике
В NIST CSF 2.0 нет статуса «субъект КИИ»: есть инвентаризация критичных сервисов и понимание, какие системы нельзя потерять. Это не российский закон и не замена 187-ФЗ. Текст: nist.gov/cyberframework.
Источники
- Федеральный закон от 26.07.2017 № 187-ФЗ, статья 2: КонсультантПлюс.
- Постановление Правительства РФ от 08.02.2018 № 127 (категорирование, ред. от 07.11.2025): КонсультантПлюс.
