Как понять, наша система — это объект КИИ или нет? Раньше я отвечал: «Через функциональный анализ».
Теперь я открываю перечень типовых отраслевых объектов и показываю: есть официальный список, по которому можно сверить вашу систему. И если она совпадает с типовым объектом — вопрос о категорировании закрыт.
Настоящее руководство содержит детальные ответы адвоката Дениса Леовича Гросса о том, как устроен новый реестр типовых систем по Распоряжению Правительства РФ № 360-р, какие ИТ-платформы впервые попали под жесткие требования, как правильно классифицировать сложные ERP и МИС, и каким образом сформировать неопровержимое отказное правовое обоснование для ФСТЭК.
Официальный реестр КИИ
Около 400 позиций систем
Распоряжение Правительства РФ
№ 360-р от 26 февраля 2026
Штраф за игнорирование перечня
До 500 000 ₽ (ст. 13.12.1)
Проверяемые сферы экономики
Все 14 отраслей закона
Меня часто спрашивают на консультациях: «Денис Леович, а как понять, наша система — это объект КИИ или нет?» Раньше я отвечал: «Через функциональный анализ». Теперь я открываю перечень типовых отраслевых объектов и показываю: есть официальный список, по которому можно сверить вашу систему. И если она совпадает с типовым объектом — вопрос о категорировании закрыт, вы обязаны его провести.
Денис Леович Гросс — Адвокат, член Московской областной коллегии адвокатов
Этот перечень утверждён распоряжением Правительства РФ от 26 февраля 2026 года № 360-р. В нём около 400 позиций, сгруппированных по отраслям. Каждая позиция описывает систему, её функции, ОКВЭД и процессы, которые она обслуживает. Я пишу эту статью, чтобы вы понимали, как этим перечнем пользоваться, что делать, если вашей системы в нём нет, и как обосновать свою позицию перед ФСТЭК.
1. Что такое перечень типовых отраслевых объектов КИИ?
Перечень типовых отраслевых объектов КИИ — это официальный документ, который определяет, какие информационные системы в каждой отрасли по своей сути являются объектами КИИ.
Логика такая: если ваша система совпадает с типовым объектом из перечня — вы обязаны её категорировать. Не «можете», а «обязаны». Если не совпадает — вы должны провести собственный анализ и либо обосновать, что система не является объектом КИИ, либо включить её в перечень своих объектов.
Перечень утверждён распоряжением Правительства РФ от 26 февраля 2026 года № 360-р. До этого момента компании определяли объекты КИИ самостоятельно, руководствуясь методиками ФСТЭК. Теперь появился официальный ориентир.
2. Какие системы впервые включены в перечень в 2026 году?
В перечне 2026 года появились системы, которые раньше не упоминались в контексте КИИ. Я обращаю на них особое внимание, потому что именно здесь компании чаще всего ошибаются.
В сфере здравоохранения — медицинские информационные системы (МИС), системы управления медицинским оборудованием, системы телемедицины.
В сфере транспорта — системы управления транспортными потоками, системы мониторинга и диспетчеризации, системы продажи билетов.
В сфере связи — биллинговые системы, системы управления сетями связи, системы обработки вызовов.
В финансовой сфере — системы дистанционного банковского обслуживания, платёжные системы, системы управления рисками.
В промышленности — АСУ ТП, системы диспетчеризации, системы управления производственными процессами.
Это не полный список, но он показывает главное: перечень охватывает не только «оборонку», но и вполне обычные системы, которые есть у большинства компаний в этих отраслях.
3. Как сопоставить ERP-систему с типовым объектом?
ERP-система — это сложный случай. Она может быть объектом КИИ, а может и не быть. Всё зависит от того, какие процессы она обслуживает.
Шаг первый. Определите, в какой отрасли вы работаете. Если ваша деятельность попадает в одну из четырнадцати сфер — вы уже в зоне внимания.
Шаг второй. Откройте перечень типовых объектов для вашей отрасли. Найдите раздел, который описывает системы управления производственными или технологическими процессами.
Шаг третий. Сопоставьте функции вашей ERP с функциями, описанными в перечне. Если ERP управляет производственными процессами, диспетчеризацией, логистикой, которая критична для деятельности в этой сфере — она может быть объектом КИИ.
Шаг четвертый. Если ERP выполняет только функции бухгалтерского учёта, кадрового делопроизводства, документооборота — она, как правило, не является объектом КИИ. Но это нужно обосновать.
Я всегда говорю клиентам: не смотрите на название системы. Смотрите на её функцию. ERP, которая управляет заводом, и ERP, которая считает зарплату, — это разные системы с точки зрения 187-ФЗ.
4. Что делать, если ваша система не совпадает с типовым объектом?
Это самая частая ситуация, и здесь важно не расслабиться.
Если ваша система не совпадает с типовым объектом — это не означает автоматически, что она не является объектом КИИ. Это означает, что вы должны провести собственный анализ и обосновать своё решение.
Алгоритм такой:
- Проведите функциональный анализ. Какие процессы обслуживает система? Критичны ли они для вашей деятельности в одной из четырнадцати сфер?
- Определите масштаб последствий. Что произойдёт при отказе системы? Пострадает ли критически важная деятельность?
- Оформите обоснование. Если система не является объектом КИИ — это должно быть документально зафиксировано. Не «мы так думаем», а с расчётами и выводами.
- Включите в отчётность. Если вы приняли решение, что система не является объектом КИИ, это решение должно быть в ваших внутренних документах.
Мы совместно со «Стратегией Ра» готовим такие обоснования: с описанием функций системы, анализом процессов, расчётом масштаба последствий и выводом.
5. Может ли CRM-система быть объектом КИИ?
В большинстве случаев — нет. CRM-система, которая ведёт клиентскую базу, отслеживает сделки, хранит контакты — это не объект КИИ, потому что она не обслуживает критически важные процессы в смысле 187-ФЗ.
Но есть исключения. Если CRM встроена в систему обслуживания клиентов в финансовой сфере, если через неё проходят платежи, если она связана с системами управления рисками — она может быть частью объекта КИИ.
И ещё один момент: CRM может быть связана с объектом КИИ. Если она интегрирована с системой, которая является объектом КИИ, и через неё можно получить доступ к критичным функциям — это риск, который нужно учитывать.
6. Как определить, относится ли МИС к объектам КИИ?
Медицинские информационные системы — это тот случай, где перечень 2026 года дал чёткий ответ. МИС, которые ведут электронные медицинские карты, управляют потоками пациентов, обеспечивают работу медицинского оборудования, — относятся к объектам КИИ в сфере здравоохранения.
Но не все МИС одинаковы. Если система используется только для записи на приём и не связана с критичными процессами — она может не быть объектом КИИ. Если же она обеспечивает непрерывность лечебного процесса, хранение критичных данных о здоровье, работу диагностического оборудования — это объект КИИ.
Мы с «Сайт Мэйкерс» проводим технический аудит МИС: смотрим, какие функции она выполняет, как связана с другими системами, какие процессы обслуживает. На основании этого готовим обоснование для комиссии по категорированию.
7. Какие отрасли включены в перечень типовых объектов?
Перечень охватывает все четырнадцать сфер, установленных 187-ФЗ:
- здравоохранение и наука;
- транспорт и связь;
- энергетика, банковская сфера и финансовый рынок;
- топливно-энергетический комплекс и атомная энергетика;
- оборонная, ракетно-космическая и химическая промышленность;
- горнодобывающая и металлургическая промышленность.
Для каждой отрасли в перечне описаны типовые объекты: их функции, ОКВЭД, процессы. Это позволяет компаниям сопоставить свои системы с официальным списком.
8. Кто утверждает перечень типовых объектов?
Перечень утверждён распоряжением Правительства РФ. В 2026 году это распоряжение № 360-р от 26 февраля 2026 года.
Это означает, что перечень имеет статус официального документа. На него можно ссылаться при обосновании решений, его можно использовать при взаимодействии с ФСТЭК.
Перечень периодически обновляется. Мы отслеживаем изменения и уведомляем клиентов, если их системы попадают в новую редакцию.
9. Что грозит за игнорирование типового перечня?
Если ваша система совпадает с типовым объектом, а вы не провели категорирование — это нарушение требований 187-ФЗ. Штраф по статье 13.12.1 КоАП РФ для юридических лиц — от 300 000 до 500 000 рублей.
Но важнее другое. Игнорирование перечня — это маркер для ФСТЭК. Если регулятор обнаружит, что ваша система подпадает под типовой объект, а вы этого «не заметили», проверки практически гарантированы. А если это приведёт к инциденту — возможны уже уголовные риски.
10. Как обосновать отсутствие объекта КИИ перед ФСТЭК?
Если ваша система не совпадает с типовым объектом, и вы считаете, что она не является объектом КИИ — это нужно обосновать.
Обоснование включает:
- описание системы — какие функции выполняет, какие процессы обслуживает;
- анализ соответствия типовым объектам — почему система не совпадает с перечнем;
- оценку масштаба последствий — что произойдёт при отказе системы;
- вывод — почему система не является объектом КИИ.
Этот документ утверждается комиссией по категорированию и хранится у оператора. При проверке ФСТЭК он предъявляется как доказательство того, что вы провели анализ и приняли обоснованное решение.
Мы в «Стратегии Ра» готовим такие обоснования вместе с «Сайт Мэйкерс», который даёт техническую фактуру: описание системы, её функции, связи с другими системами.
Как мы работаем с перечнем типовых объектов
Сопоставление систем с перечнем — это та задача, где нужны и юридический анализ, и техническая инвентаризация:
- Первый этап — инвентаризация. «Сайт Мэйкерс» составляет полный перечень информационных систем: что есть, какие функции выполняет, какие процессы обслуживает.
- Второй этап — сопоставление. Я и «Стратегия Ра» сопоставляем каждую систему с перечнем типовых объектов для вашей отрасли. Определяем, какие системы подпадают под типовые объекты, а какие — нет.
- Третий этап — обоснование. Для систем, которые не совпадают с перечнем, мы готовим обоснование: почему система не является объектом КИИ. Для систем, которые совпадают, — готовим документы для категорирования.
- Четвёртый этап — взаимодействие с ФСТЭК. Мы помогаем подготовить сведения для ФСТЭК, ответить на замечания, скорректировать документы.
Что я говорю клиентам в конце этой работы: перечень типовых объектов — это не бюрократия. Это инструмент, который позволяет вам не гадать, а точно определить, какие системы являются объектами КИИ. Если вы им не пользуетесь — вы либо пропускаете значимые системы, либо тратите ресурсы на категорирование того, что не нужно.
Мы делаем так, чтобы ни того, ни другого не было. Юридическая позиция — моя. Документы — «Стратегия Ра». Техника — «Сайт Мэйкерс». Вместе это закрывает тему сопоставления с перечнем полностью.
