187-ФЗ: как понять, что ваша компания — субъект КИИ, и что делать

Какие отрасли попадают под 187-ФЗ в 2026 году?

Закон чётко перечисляет четырнадцать сфер деятельности. Если ваша компания работает хотя бы в одной из них, вы уже в зоне внимания — независимо от размера и формы собственности. Это здравоохранение, наука, транспорт, связь, энергетика, банковская сфера и иные сферы финансового рынка, топливно-энергетический комплекс, атомная энергетика, оборонная промышленность, ракетно-космическая промышленность, горнодобывающая промышленность, металлургическая промышленность и химическая промышленность. Последние три в законе перечислены отдельными сферами, хотя часто их объединяют в одну промышленную группу — именно поэтому и получается то тринадцать, то четырнадцать в разных пересказах.

Теперь важный момент, который многие упускают. Сфера определяется не по вашему ОКВЭД и не по тому, что написано на сайте. Она определяется по фактической деятельности информационных систем, которыми вы владеете. Если вы, скажем, медицинская клиника — вы в сфере здравоохранения. Если вы оператор связи или дата-центр с лицензией на телематические услуги — вы в сфере связи.

Какая организация признаётся субъектом КИИ?

Субъект КИИ — это государственный орган, государственное учреждение, российское юридическое лицо или индивидуальный предприниматель, которому на праве собственности, аренды или ином законном основании принадлежат информационные системы, сети или автоматизированные системы управления, функционирующие в одной из перечисленных сфер.

Ключевое слово — «принадлежат». Не «мы работаем в этой сфере», а «нам принадлежат системы». Если у вас есть собственная ИТ-инфраструктура, которая обслуживает вашу деятельность в одной из тринадцати сфер — вы потенциальный субъект КИИ.

И ещё один нюанс, который я всегда подчёркиваю: если этот вид деятельности не является для вас основным, это не освобождает от статуса. Достаточно того, что организация осуществляет деятельность в соответствующей сфере и владеет системами, которые в ней функционируют.

Что такое объект КИИ и как определить его границы?

Объект КИИ — это конкретная информационная система, информационно-телекоммуникационная сеть или автоматизированная система управления, которая принадлежит субъекту КИИ.

Здесь есть логическая ловушка, которую стоит понимать: закон определяет объекты через субъекты, а субъекты — через объекты. Это называется «порочным кругом» в юридической технике. На практике это означает, что сначала вы признаёте себя субъектом КИИ (потому что работаете в определённой сфере и владеете системами), а потом выявляете конкретные объекты внутри своей инфраструктуры.

Границы объекта определяются функционально: какая система выполняет критически важную функцию, без которой ваша деятельность в этой сфере остановится или пострадает.

Какие системы относятся к объектам КИИ: ERP, CRM, МИС, биллинг?

Здесь нет закрытого списка, и это правильно — технологии меняются быстрее, чем законодательство. Но есть принцип: объектом КИИ может быть любая информационная система, которая обеспечивает функционирование вашей деятельности в одной из тринадцати сфер.

Простыми словами: ERP, которая управляет производством на металлургическом заводе — это кандидат в объекты КИИ. Биллинг оператора связи — почти наверняка объект КИИ. МИС в больнице, которая ведёт электронные карты пациентов и управляет потоками — тоже. CRM в небольшой консалтинговой компании, которая не работает ни в одной из тринадцати сфер — нет.

Я всегда советую клиентам смотреть не на название системы, а на её функцию. Если система откажет — пострадает ли критически важная деятельность в сфере, попадающей под 187-ФЗ? Если да — это кандидат.

Обязательно ли проходить категорирование, если вы не госкомпания?

Да, обязательно. Статус субъекта КИИ не зависит от формы собственности. Российское юридическое лицо или ИП с системами в соответствующей сфере — это субъект КИИ, и он обязан провести категорирование своих объектов.

Более того, категорирование — это не право, а обязанность. Закон прямо требует: выявить объекты КИИ, провести их категорирование и направить сведения в ФСТЭК России. Если вы этого не сделали — вы уже нарушили закон, даже если никакого инцидента не произошло.

Что грозит за сокрытие объекта КИИ от ФСТЭК?

Это одно из самых серьёзных нарушений в сфере КИИ. Сокрытие информации о значимых объектах — это не просто «забыли уведомить». Это уклонение от исполнения обязанностей субъекта КИИ.

Штрафы по статье 13.12.1 КоАП РФ: для должностных лиц — от 20 000 до 40 000 рублей или дисквалификация на срок от шести месяцев до одного года. Для юридических лиц — от 300 000 до 500 000 рублей.

Но штраф — это не самое страшное. ФСТЭК активно выявляет такие нарушения через межведомственные запросы, сравнение данных отраслевых регуляторов и анализ инцидентов. Если регулятор обнаружит, что вы скрыли объект, плановые и внеплановые проверки практически гарантированы. А если сокрытие приведёт к инциденту с тяжким ущербом — возможны уже уголовные риски.

Какой штраф за непроведение категорирования объектов КИИ?

Непроведение категорирования — это нарушение требований по созданию и обеспечению функционирования систем безопасности значимых объектов КИИ. Ответственность также по статье 13.12.1 КоАП РФ, и верхняя граница для юридических лиц здесь — 500 000 рублей.

С 9 апреля 2026 года в КоАП появилась ещё одна норма — за нарушение правил эксплуатации объектов КИИ. Штрафы для юридических лиц по ней: от 100 000 до 500 000 рублей. Эта норма применяется к нарушениям эксплуатационной дисциплины, которые не привели к инциденту, но сами по себе являются нарушением регламента.

Срок давности по этой новой статье — один год с даты нарушения, что заметно больше стандартного трёхмесячного срока для многих составов КоАП. У регулятора больше времени, чтобы найти нарушение.

Кто входит в комиссию по категорированию объектов КИИ?

Закон требует создать комиссию, которая проведёт категорирование. В неё обязательно включается ответственный за обеспечение безопасности значимых объектов КИИ. На практике я рекомендую включать: руководителя или его заместителя (председатель), ответственного за ИБ, представителя ИТ-службы, который знает инфраструктуру, и юриста — чтобы документы соответствовали требованиям.

Состав комиссии утверждается приказом руководителя организации. Это не формальность: именно комиссия принимает решение о присвоении категории значимости каждому объекту, и именно её решения потом проверяет ФСТЭК.

В какой срок нужно направить сведения о категорировании в ФСТЭК?

Сведения о результатах категорирования направляются в ФСТЭК России. Закон устанавливает конкретные сроки, и их нарушение — отдельный состав правонарушения.

Если ФСТЭК выявила нарушения в порядке категорирования, субъект обязан устранить замечания и направить исправленные сведения в течение 10 рабочих дней. Это жёсткий срок, и я всегда говорю клиентам: не откладывайте реакцию на замечания регулятора. Десять дней — это мало, а штраф за просрочку — до 500 000 рублей.

Как часто нужно пересматривать категорию значимости объекта КИИ?

Закон требует актуализировать сведения при любых изменениях, которые могут повлиять на категорию значимости объекта. Это не ежегодная формальность, а обязанность реагировать на изменения.

Если вы внедрили новую систему, изменили архитектуру, расширили масштаб обработки данных — это потенциально влияет на категорию. Комиссия должна пересмотреть решение и, при необходимости, направить обновлённые сведения в ФСТЭК.

На практике я вижу две крайности: одни компании не пересматривают категорию годами, даже когда инфраструктура изменилась полностью. Другие — пересматривают каждую неделю и создают себе лишнюю работу. Здравый смысл где-то посередине: пересматривайте при существенных изменениях в объекте или его окружении.