Нормативная рамка
Для первичной квалификации необходимо исходить из Федерального закона № 187-ФЗ, прежде всего из его положений о сфере действия, субъектах и объектах КИИ. После изменений, внесённых Федеральным законом № 58-ФЗ и вступивших в силу с 1 сентября 2025 года, при выявлении объектов дополнительно необходимо учитывать перечни типовых отраслевых объектов и отраслевые особенности категорирования. Поэтому вывод о статусе нельзя строить только по названию организации или её ОКВЭД.
Алгоритм проверки
- Зафиксировать фактические виды деятельности и процессы организации.
- Определить, используются ли в этих процессах информационные системы, информационно-телекоммуникационные сети или автоматизированные системы управления.
- Определить, относятся ли соответствующие процессы и инфраструктура к установленным сферам и типовым отраслевым объектам.
- Отдельно оценить, какие обязанности возникают у организации именно как у субъекта КИИ и какие действия относятся уже к конкретному объекту.
Что нельзя считать достаточным основанием
Сам факт наличия собственной ИТ-инфраструктуры, большого количества серверов, персональных данных или высокой стоимости информационной системы сам по себе не является универсальным критерием отнесения организации к субъектам КИИ. Требуется нормативное сопоставление деятельности и инфраструктуры.
Контрольный результат
Результатом первичной проверки должен быть документированный вывод с указанием проверенных сфер, систем и нормативных оснований. Если применимость не подтверждена, полезно сохранить мотивированное обоснование, чтобы позднее можно было воспроизвести ход проверки.
Источники
Основные источники: 187-ФЗ; ПП РФ № 127; распоряжение Правительства РФ № 360-р; применимые отраслевые акты. Официальный текст 187-ФЗ; ПП РФ № 127.
Нормативная логика
Проверка начинается не с организационно-правовой формы и не с наличия информационных систем. Сначала устанавливается, осуществляет ли организация деятельность в одной из сфер, перечисленных в законодательстве о КИИ, и подпадает ли её деятельность под предусмотренные законом критерии. Затем определяется, есть ли у неё информационные системы, информационно-телекоммуникационные сети или автоматизированные системы управления, связанные с такой деятельностью.
Практический алгоритм
- зафиксировать виды деятельности организации и фактически выполняемые функции;
- сопоставить их с применимыми сферами КИИ и отраслевыми перечнями;
- составить предварительный перечень систем и сетей, поддерживающих соответствующие процессы;
- отдельно проверить правовое основание владения и эксплуатации инфраструктуры;
- документировать основания как положительного, так и отрицательного вывода.
Типичная ошибка
Нельзя делать вывод «субъект КИИ = любое российское юридическое лицо» или «субъект КИИ = любая организация отрасли». Сфера деятельности сама по себе является только началом анализа.
Что должно остаться в рабочем деле
Результат проверки должен быть воспроизводимым: перечень видов деятельности, применимые нормы, перечень проверенных систем и документированное обоснование вывода.
Практический результат
После такой проверки у организации должен остаться документированный вывод, который можно воспроизвести через исходные факты и применённые нормы. Если исходных данных недостаточно, корректный результат — зафиксировать перечень вопросов, требующих дополнительной проверки, а не заполнять пробелы предположениями.
Источники для проверки
В первую очередь используются действующие редакции 187-ФЗ, применимых подзаконных актов и актуальных отраслевых перечней. На дату публикации сайта необходимо отдельно проверить дату редакции каждого документа.