Информация
Какие компании, отрасли и виды деятельности подпадают под требования
Условия возникновения обязанности по категориям организаций
2.1. Компании и отрасли
| Категория организаций | Когда возникает обязанность | Требование по ПО | Срок |
|---|---|---|---|
| Медицинские организации, больницы, клиники, лаборатории | Эксплуатирует систему из отраслевого перечня, и ей присвоена категория значимости | Российское ПО на значимом объекте; средства защиты — по требованиям ФСТЭК/ФСБ | Общий срок определяется правительственным графиком; для госорганизаций может действовать запрет иностранного ПО с 01.01.2025 |
| Фармацевтические организации и аптечные сети | Значимыми признаны фармацевтические или взаимодействующие с ЕГИСЗ системы | Аналогично | Аналогично |
| Научные институты, НИИ, КБ, испытательные центры | Системы связаны с критичными исследованиями, ГОЗ, международными обязательствами, опасными экспериментами | Аналогично | Аналогично |
| Транспорт: авиакомпании, аэропорты, ж/д, метрополитены, порты, перевозчики | Категорированы системы управления перевозками, движением или транспортной безопасностью | Аналогично | Аналогично |
| Операторы связи | Категорированы системы управления сетями, маршрутизации, коммутации или оказания критичных услуг связи | Аналогично | Аналогично |
| Энергетические и электросетевые компании | Категорированы диспетчерские, генерирующие, сетевые или учётные системы | Аналогично | Аналогично |
| Банки и кредитные организации | Категорированы АБС, ДБО, процессинг, платёжные, расчётные или иные системы | Российское ПО; требования Банка России и ФСТЭК/ФСБ применяются совместно | Для организаций под Указом № 166 запрет иностранного ПО действует с 01.01.2025; для остальных — по общему графику |
| Некредитные финансовые организации | Страховые компании, НПФ, МФО, профучастники рынка, БКИ и другие организации при наличии значимых систем | Аналогично | Аналогично |
| Нефтегазовые и ТЭК-компании | Категорированы производственные, диспетчерские или технологические системы | Аналогично | Аналогично |
| Предприятия атомной отрасли | Категорированы технологические, управляющие, радиационные и иные отраслевые системы | Российское ПО, доверенные ПАК, требования ФСТЭК и ФСБ | По применимому плану перехода и отраслевым требованиям |
| Организации ОПК | Включены в реестр ОПК, выполняют ГОЗ либо осуществляют лицензируемую оборонную деятельность и имеют соответствующие системы | Аналогично | Аналогично |
| Ракетно-космическая отрасль | Системы проектирования, производства, испытаний, управления аппаратами и телеметрии признаны значимыми | Аналогично | Аналогично |
| Горнодобывающие, металлургические и химические предприятия | Категорированы АСУ ТП, MES, ERP, LIMS, системы безопасности или иные критичные производственные системы | Аналогично | Аналогично |
| Государственные органы и учреждения | Им принадлежат значимые объекты КИИ | Запрет иностранного ПО | с 01.01.2025, если иное не установлено ФЗ |
| Госкомпании и иные заказчики по 223-ФЗ | Им принадлежат значимые объекты КИИ | Запрет иностранного ПО; иностранные закупки требуют согласования | Использование — с 01.01.2025; согласование закупок — с 31.03.2022 |
| Частные организации перечисленных отраслей | Имеют значимые объекты КИИ | Обязанность использовать предусмотренное 187-ФЗ российское ПО | По правительственному графику, который на 24.06.2026 окончательно не опубликован |
| ЦОД, облачные и инфраструктурные операторы | Их системы предоставляют ресурсы для функционирования значимых объектов КИИ | Могут сами быть признаны субъектами или объектами КИИ | Зависит от категорирования и статуса обслуживаемых объектов |
| Интеграторы и ИТ-аутсорсеры | Обеспечивают взаимодействие объектов КИИ либо на законном основании эксплуатируют соответствующие системы | Возможен статус субъекта КИИ; дополнительно возникает договорная и эксплуатационная ответственность | Определяется категорированием и договорной моделью |
ℹ Сам по себе ОКВЭД, название отрасли или факт работы с госзаказчиком — недостаточны
Необходимо одновременно установить:
- наличие информационной системы, сети или АСУ;
- её функциональное назначение;
- право собственности, аренды или иное законное основание эксплуатации;
- соответствие типовому объекту;
- масштаб возможных последствий;
- наличие категории значимости.
2.2. Банковская сфера и финансовый рынок
Постановление № 92 прямо относит к потенциальным субъектам КИИ:
- государственные органы и подведомственные организации, осуществляющие функции в финансовой сфере;
- кредитные организации;
- некредитные финансовые организации;
- субъектов национальной платёжной системы;
- лиц, оказывающих профессиональные услуги на финансовом рынке;
- владельцев и законных эксплуатантов соответствующих информационных систем, сетей и АСУ.
Категорированию в финансовой сфере подлежат, в частности:
- автоматизированные банковские системы;
- дистанционное банковское обслуживание;
- процессинговые системы;
- платёжные и клиринговые системы;
- системы хранения и обмена финансовыми сообщениями;
- информационные системы финансовых платформ;
- системы НПФ;
- системы страховых организаций;
- личные кабинеты клиентов;
- системы микрофинансовых организаций;
- системы бюро кредитных историй.
ℹ Пересмотр категорий
Если отраслевой перечень или критерии меняются, финансовая организация обязана пересмотреть ранее установленные категории. После подтверждения результатов ФСТЭК актуальная информация направляется уполномоченному органу в течение 10 рабочих дней. Кроме того, не позднее 10-го рабочего дня каждого календарного года представляется информация о текущем перечне значимых объектов.
