Типовые объекты КИИ: как проходит категорирование по распоряжению № 360-р

В 2026 году категорирование объектов КИИ перестроилось: отправной точкой стали типовые отраслевые перечни. Распоряжение Правительства от 26.02.2026 № 360-р утвердило 397 типовых объектов, и многие организации впервые определяют, относятся ли они к субъектам КИИ. Объясняем, как работает новый подход, что следует за категорированием и где размещать значимые объекты.

От критичных процессов к типовым объектам

Раньше организация сама определяла, какие системы участвуют в критических процессах. Постановление Правительства от 07.11.2025 № 1762 закрепило понятие типовых объектов КИИ, а распоряжение № 360-р утвердило их перечень по отраслям. Теперь субъект сверяет свои системы с функциональными описаниями перечня: совпадение означает, что система относится к объектам КИИ и подлежит категорированию.

Проверить наличие типовых объектов необходимо, если основной вид деятельности относится к одной из сфер 187-ФЗ: здравоохранение, наука, транспорт, связь, энергетика, финансовый сектор, ТЭК, атомная энергетика, оборонная, ракетно-космическая, горнодобывающая, металлургическая и химическая промышленность. На практике в периметре оказываются медицинские и фармацевтические организации, аэропорты, страховые компании, лаборатории. Для сферы связи отраслевые особенности установлены постановлением № 402 от 13.04.2026, оно действует с 1 сентября 2026 года.

Пять шагов категорирования

1. Инвентаризация — учёт информационных систем, сетей и АСУ ТП организации.
2. Сверка с перечнем — сопоставление систем с типовыми объектами своей отрасли по распоряжению № 360-р.
3. Оценка ущерба — по критериям постановления № 127 в редакции № 1762: социальный, политический, экономический, экологический и в области обороны.
4. Присвоение категории — I, II или III категория значимости либо решение об отсутствии категории.
5. Направление сведений — во ФСТЭК в течение 10 дней после утверждения акта. Пересмотр: не реже раза в пять лет или в течение 10 дней после существенных изменений.

Что следует за категорированием

Объём обязанностей зависит от результата. Если категория не присвоена, объекты не попадают в реестр значимых, но базовые обязанности субъекта сохраняются: реагирование на компьютерные инциденты, взаимодействие с ГосСОПКА и пересмотр результатов категорирования в установленные сроки.

Для значимых объектов I, II и III категории добавляется полный контур требований:

• система безопасности по приказам ФСТЭК № 235 и № 239;
• сертифицированные средства защиты и отечественное ПО;
• ответственный за информационную безопасность в соответствии с Указом № 250;
• оценка показателя Кзи не реже раза в шесть месяцев по методике ноября 2025 года; для государственных информационных систем аналогичный режим задаёт приказ ФСТЭК № 117.

Где размещать значимые объекты

После категорирования организация выбирает инфраструктуру для значимых объектов и способ подтверждения её соответствия. Собственный защищённый контур требует времени, бюджета и команды. Готовая инфраструктура позволяет опереться на аттестат и документы площадки и сосредоточиться на своих системах.