Изменения по КИИ в 2026 году

При определении объектов КИИ необходимо учитывать перечень типовых отраслевых объектов, отраслевые особенности категорирования, фактически выполняемые организацией процессы, используемые информационные системы, информационно-телекоммуникационные сети и автоматизированные системы управления.

Отдельное направление работы связано со значимыми объектами КИИ и переходом на преимущественное применение доверенных программно-аппаратных комплексов.

Поэтому аудит КИИ в 2026 году логично проводить не как проверку отдельных приказов, а как последовательную проверку всей цепочки:

деятельность организации → процессы → объекты КИИ → категорирование → значимые объекты → система безопасности → ПАК → документы и фактическое выполнение требований.

Именно разрыв между этими элементами чаще всего показывает реальные проблемы.

Что изменилось в КИИ

Одно из ключевых изменений связано с появлением единого перечня типовых отраслевых объектов КИИ.

Распоряжением Правительства РФ от 26 февраля 2026 года № 360-р утвержден перечень типовых отраслевых объектов критической информационной инфраструктуры. Перечень содержит 14 отраслевых разделов и охватывает сотни типов объектов.

В него включены объекты для следующих сфер:

• здравоохранение;
• наука;
• транспорт;
• связь;
• энергетика;
• государственная регистрация недвижимости;
• банковская сфера и финансовый рынок;
• топливно-энергетический комплекс;
• атомная энергетика;
• оборонная промышленность;
• ракетно-космическая промышленность;
• горнодобывающая промышленность;
• металлургия;
• химическая промышленность.

Изменилась сама логика работы с объектами. Теперь перечень объектов организации необходимо сопоставлять с установленными типовыми отраслевыми объектами и фактически выполняемыми процессами.

Поэтому начинать аудит только с ранее утвержденного перечня объектов КИИ уже недостаточно. Сначала нужно определить, что организация реально делает и какие системы обеспечивают эту деятельность.

Кому необходимо проверить КИИ

Первый вопрос аудита - относится ли организация к субъектам КИИ и по каким направлениям деятельности.

Ошибка на этом этапе влияет на все последующие документы и результаты категорирования.

Необходимо проверить не только основное направление деятельности организации, но и фактически выполняемые процессы. У крупного предприятия одновременно могут существовать производство, собственная энергетическая инфраструктура, транспортные процессы, связь, технологические сети, испытательные комплексы и другие направления.

При этом наличие в организации серверов, локальной сети или ERP само по себе еще не делает их объектами КИИ.

Связь должна быть установлена через деятельность и процессы:

вид деятельности → процесс → используемая ИС, ИТКС или АСУ → сопоставление с типовым объектом КИИ.

И только после этого имеет смысл переходить к категорированию.

Что считать объектом КИИ

Федеральный закон № 187-ФЗ относит к объектам КИИ информационные системы, информационно-телекоммуникационные сети и автоматизированные системы управления.

На практике одного названия системы недостаточно для определения ее статуса.

Одна и та же система может использоваться для обычных административных функций либо обеспечивать технологический или иной критичный процесс.

Поэтому при аудите необходимо выяснить:

• какие процессы обеспечивает система;
• какие подразделения ее используют;
• что произойдет при ее остановке;
• есть ли резервирование;
• связана ли система с выпуском продукции;
• влияет ли она на безопасность технологического процесса;
• связана ли она с управлением оборудованием;
• влияет ли она на оказание услуг населению;
• сколько площадок или подразделений зависит от системы;
• с какими другими системами она взаимодействует.

Именно функциональное назначение позволяет корректно сопоставить реальную систему с перечнем типовых отраслевых объектов.

Как использовать перечень № 360-р

Перечень № 360-р не следует воспринимать как обычный справочник названий программ или оборудования.

В нем описываются типы объектов, процессы и функции, которые они обеспечивают, а также соответствующие виды деятельности.

Поэтому поиск объекта должен выполняться не только по названию программного продукта.

Например, если в организации используется система с условным названием «АСУ-5», само название практически ничего не говорит о ее назначении.

Необходимо установить, что конкретно она делает:

• управляет технологической линией;
• регулирует параметры оборудования;
• обеспечивает контроль технологического процесса;
• формирует команды исполнительным механизмам;
• собирает информацию с контроллеров;
• обеспечивает диспетчеризацию;
• выполняет функции мониторинга или управления.

После этого систему можно сопоставить с соответствующим типовым объектом.

Типовой объект не означает автоматическую категорию

Попадание информационной системы, сети или АСУ под описание типового отраслевого объекта еще не означает автоматическое присвоение ей I, II или III категории значимости.

Категорирование остается отдельной процедурой.

Если объект не соответствует установленным критериям и показателям значимости, категория ему не присваивается.

Корректная последовательность выглядит следующим образом:

обнаружили объект → сопоставили с типовым объектом → включили в процедуру категорирования → рассчитали показатели → приняли решение о категории либо ее отсутствии.

Подменять эти этапы друг другом нельзя.

Как проверить полноту перечня объектов

Для аудита удобно использовать две независимые точки входа.

От инфраструктуры

Определяется, какие ИС, ИТКС и АСУ фактически эксплуатируются в организации.

От деятельности

Определяется, какие типовые объекты должны существовать при тех процессах, которые организация реально выполняет.

После этого два перечня сравниваются.

Такой подход позволяет обнаружить системы, которые технические подразделения ранее не воспринимали как потенциальные объекты КИИ.

Например, в перечень могла быть включена основная АСУ ТП, но не учтены:

• система диспетчеризации;
• отдельная технологическая сеть;
• система мониторинга;
• система противоаварийной защиты;
• система управления испытательным оборудованием;
• инфраструктурная система ЦОД;
• система производственного учета;
• система управления инженерным оборудованием.

Возможна и обратная ситуация: в старом перечне остаются системы, которые уже выведены из эксплуатации, объединены с другими системами либо существенно модернизированы.

Что проверить при категорировании

После определения объектов начинается второй крупный блок аудита - проверка самого категорирования.

Постановление Правительства РФ от 8 февраля 2018 года № 127 устанавливает правила категорирования и показатели критериев значимости.

На практике недостаточно проверить только наличие протокола комиссии.

Необходимо установить, откуда взяты исходные данные для расчетов.

Особенно внимательно следует проверить:

• состав комиссии по категорированию;
• приказ о ее создании;
• перечень рассматриваемых объектов;
• описание процессов, обеспечиваемых объектом;
• исходные данные для расчетов;
• источники этих данных;
• примененные критерии;
• расчет показателей значимости;
• обоснование неприменимых критериев;
• итоговое решение комиссии;
• сведения, направленные во ФСТЭК России;
• соответствие направленных сведений текущему состоянию объекта.

Одна из типовых проблем возникает, когда в протоколе комиссии указано значение показателя, но невозможно определить, на основании каких данных оно было рассчитано.

Когда необходимо пересматривать категорирование

Категорирование нельзя воспринимать как процедуру, которую достаточно выполнить один раз на весь срок эксплуатации системы.

Ранее полученные результаты необходимо проверить при существенном изменении объекта или условий его эксплуатации.

Поводом для проверки могут быть:

• модернизация системы;
• изменение архитектуры;
• объединение нескольких систем;
• перенос в новый ЦОД;
• изменение территории обслуживания;
• подключение новых производственных площадок;
• увеличение производительности;
• изменение количества пользователей;
• подключение дополнительного технологического оборудования;
• изменение процессов организации;
• изменение возможных последствий отказа системы.

Отдельно в 2026 году необходимо сопоставить старые результаты категорирования с новым перечнем типовых отраслевых объектов и действующими отраслевыми особенностями.

Что проверить по значимым объектам КИИ

Если объекту присвоена I, II или III категория значимости, работа на категорировании не заканчивается.

Для значимых объектов возникает отдельный блок требований по обеспечению безопасности.

Приказ ФСТЭК России № 235 устанавливает требования к созданию систем безопасности значимых объектов КИИ и обеспечению их функционирования. Приказ ФСТЭК России № 239 содержит требования к обеспечению безопасности значимых объектов.

При аудите необходимо проверить:

• создана ли система безопасности;
• определены ли ответственные лица;
• назначены ли специалисты или создано подразделение;
• утверждены ли организационно-распорядительные документы;
• распределены ли функции и ответственность;
• определены ли правила эксплуатации;
• реализованы ли организационные меры;
• реализованы ли технические меры;
• проводится ли контроль состояния безопасности;
• устраняются ли выявленные недостатки.

Наличие папки документов само по себе не подтверждает выполнение требований. Документы необходимо сопоставлять с фактической эксплуатацией объекта.

Какие документы запросить при аудите КИИ

Конкретный состав зависит от организации, количества объектов, категорий значимости и отрасли.

Документы по организации работ с КИИ

• приказ об организации работ по КИИ;
• документы о назначении ответственных лиц;
• распределение полномочий;
• положение о подразделении безопасности;
• должностные обязанности специалистов;
• документы о взаимодействии подразделений и филиалов при их наличии.

Документы по объектам КИИ

• перечень объектов;
• описание назначения объектов;
• архитектурные схемы;
• перечни программных и аппаратных средств;
• сведения о взаимосвязях объектов;
• документы о вводе в эксплуатацию;
• документы о модернизации;
• документы о выводе из эксплуатации.

Документы по категорированию

• приказ о создании комиссии;
• документы о работе комиссии;
• исходные материалы;
• протоколы;
• расчеты показателей;
• обоснования;
• сведения о результатах категорирования;
• подтверждение направления сведений;
• переписка с регулятором;
• материалы по устранению замечаний.

Документы по значимым объектам

• модель угроз;
• документы по организации защиты;
• правила разграничения доступа;
• документы по управлению учетными записями;
• документы по управлению изменениями;
• порядок управления уязвимостями;
• документы по резервированию;
• порядок регистрации и анализа событий безопасности;
• порядок реагирования на компьютерные инциденты;
• порядок восстановления;
• документы по контролю эффективности защиты;
• планы совершенствования системы безопасности.

Каждая тема не обязательно должна оформляться отдельным ЛНА. Требования могут быть объединены в более крупные документы, если при этом отсутствуют пробелы и противоречия.

Отдельный блок аудита - программно-аппаратные комплексы

Для организаций со значимыми объектами КИИ в 2026 году отдельно необходимо проверять программно-аппаратные комплексы.

Постановление Правительства РФ от 14 ноября 2023 года № 1912 регулирует переход субъектов КИИ на преимущественное применение доверенных ПАК на принадлежащих им значимых объектах.

Для проверки особенно важны две даты.

1 сентября 2024 года

Для ПАК, приобретенных начиная с этой даты и предназначенных для использования на значимых объектах КИИ, необходимо проверять соответствие требованиям к доверенным ПАК и наличие предусмотренных оснований для применения исключений.

1 января 2030 года

К этой дате установлен переход на преимущественное применение доверенных программно-аппаратных комплексов.

Поэтому при аудите оборудования необходимо установить связь:

значимый объект КИИ → конкретный ПАК → состав ПАК → дата приобретения → статус доверенности → план дальнейшей эксплуатации или замены.

Почему дата приобретения ПАК важна

Оборудование необходимо как минимум разделить на две группы:

• приобретенное до 1 сентября 2024 года;
• приобретенное начиная с 1 сентября 2024 года.

Для оборудования второй группы необходимо особенно внимательно проверять основания его использования.

Если применяется исключение в связи с отсутствием российского аналога, одного внутреннего заключения технической службы недостаточно. Необходимо проверить наличие предусмотренного нормативными требованиями документального основания.

Что должно быть в инвентаризации ПАК

Для каждого комплекса желательно определить:

• значимый объект КИИ;
• тип объекта;
• назначение ПАК;
• производителя;
• модель оборудования;
• основные аппаратные компоненты;
• программное обеспечение;
• дату приобретения;
• дату ввода в эксплуатацию;
• статус доверенности;
• сведения о реестровых записях;
• наличие российского аналога;
• планируемый срок замены;
• технические ограничения;
• ответственное подразделение.

Учет только на уровне количества серверов, коммутаторов и рабочих станций недостаточен. Необходимо понимать, на каком значимом объекте используется конкретное оборудование и какую функцию оно выполняет.

План перехода на доверенные ПАК

Следующий вопрос - существует ли реальный план перехода и соответствует ли он фактической инфраструктуре.

При аудите следует проверить:

• соответствует ли план реальному составу ПАК;
• учтено ли новое оборудование;
• какие позиции уже заменены;
• соответствует ли фактическая доля доверенных ПАК отчетным данным;
• предусмотрено ли финансирование;
• учтены ли закупочные процедуры;
• учтены ли сроки поставки;
• требуется ли изменение проектной документации;
• потребуется ли остановка технологического процесса;
• необходима ли миграция программного обеспечения;
• существуют ли российские аналоги с необходимыми характеристиками.

Особенно рискованна ситуация, когда основная замена оборудования переносится на последние годы перед установленным сроком.

Для сложной промышленной инфраструктуры полный цикл замены может включать обследование, проектирование, финансирование, закупку, поставку, монтаж, миграцию, испытания и ввод в эксплуатацию.

Типовые ошибки при аудите КИИ

Объект вообще не рассматривался

Система существует и обеспечивает отраслевой процесс, но отсутствует в перечне объектов и материалах комиссии.

Объект определен слишком крупно

Например, в документах указана одна корпоративная система, хотя внутри фактически существуют несколько самостоятельных систем с различным назначением и последствиями отказа.

Категория рассчитана без подтверждающих данных

В протоколе указаны значения показателей, но отсутствуют исходные данные и основания для расчета.

Используются устаревшие сведения

Объект модернизирован, но категорирование по-прежнему описывает старую архитектуру.

Нет связи между техническими документами и КИИ

ИТ-служба работает с одной инвентаризацией, а ответственный за КИИ использует другой перечень.

План перехода на доверенные ПАК не соответствует реальности

Часть оборудования отсутствует в плане, уже заменена либо используется на других объектах.

Новое оборудование закуплено без проверки требований

Дата закупки известна бухгалтерии и ИТ-службе, но не была учтена при контроле требований к значимому объекту.

Документы противоречат друг другу

В разных приказах, положениях, моделях угроз и технических документах используются разные названия объектов, подразделений и ответственных лиц.

Как должен выглядеть результат аудита

Результатом аудита КИИ должен быть не просто объемный отчет, а рабочая система, позволяющая понять текущее состояние и последующие действия.

Карта объектов КИИ

объект → процесс → основание включения → типовой объект → подразделение → статус категорирования.

Карта категорирования

критерий → исходные данные → расчет → результат → категория или ее отсутствие.

Карта значимых объектов

категория → система безопасности → документы → технические меры → выявленные недостатки.

Реестр ПАК

объект → ПАК → дата приобретения → статус доверенности → основание использования → срок замены.

Реестр документов

Для каждого документа можно определить статус:

• есть;
• отсутствует;
• требуется актуализация;
• требуется разработка;
• не применяется к конкретному объекту.

План устранения несоответствий

Для каждого замечания желательно определить:

• что обнаружено;
• какое требование затрагивается;
• что необходимо сделать;
• кто отвечает за выполнение;
• какие документы необходимо изменить;
• какие технические мероприятия требуются;
• срок выполнения.

Ответственность за нарушения

Нарушение требований в области безопасности КИИ может повлечь административную ответственность по статье 13.12.1 КоАП РФ.

Для организации при этом важен не только размер возможного штрафа.

Последствиями выявленных нарушений также могут стать:

• предписания регулятора;
• необходимость срочной переработки документов;
• внеплановые закупки;
• модернизация инфраструктуры;
• перенос проектов;
• остановка отдельных процессов;
• последствия компьютерных инцидентов;
• ответственность должностных лиц.

Поэтому аудит КИИ целесообразно рассматривать прежде всего как способ заранее обнаружить разрыв между требованиями законодательства и фактическим состоянием инфраструктуры.

Что проверить в организации прямо сейчас

1. Относится ли организация к субъектам КИИ и по каким видам деятельности.
2. Определены ли все процессы, потенциально относящиеся к КИИ.
3. Сопоставлены ли реальные ИС, ИТКС и АСУ с перечнем № 360-р.
4. Не появились ли объекты, которых нет в старом перечне.
5. Проведено ли категорирование всех выявленных объектов.
6. Подтверждены ли исходные данные для расчетов.
7. Соответствуют ли результаты категорирования текущему состоянию систем.
8. Учтены ли отраслевые особенности категорирования.
9. Созданы ли системы безопасности значимых объектов.
10. Соответствуют ли документы фактической эксплуатации.
11. Проведена ли инвентаризация ПАК на значимых объектах.
12. Проверены ли ПАК, приобретенные после 1 сентября 2024 года.
13. Актуален ли план перехода на доверенные ПАК.
14. Соответствует ли отчетность фактическому состоянию инфраструктуры.
15. Есть ли понятный план устранения выявленных несоответствий.

Главное

Основное изменение подхода к КИИ в 2026 году состоит не в появлении еще одного документа.

Организации необходимо связать между собой фактическую деятельность, процессы, типовые отраслевые объекты, реальные информационные системы, результаты категорирования и техническую инфраструктуру.

Для значимых объектов к этой цепочке добавляются система безопасности и переход на доверенные программно-аппаратные комплексы.

Поэтому качественный аудит начинается не с вопроса «есть ли у нас приказ по КИИ?», а с более практических вопросов:

• какие процессы организация реально выполняет;
• какие системы обеспечивают эти процессы;
• все ли они были рассмотрены при категорировании;
• правильно ли рассчитана их значимость;
• соответствует ли реальная инфраструктура тому, что указано в документах;
• какие документы и технические мероприятия необходимо актуализировать.

После этого становится понятно, какие ЛНА необходимо разработать, какие документы актуализировать и какие мероприятия включить в план дальнейшей работы по КИИ.