Является ли организация субъектом КИИ: проверка за 5 шагов в Иркутске

Руководитель организации в Иркутске часто оказывается перед двумя одинаково неприятными рисками: пропустить обязанности по 187-ФЗ и получить штраф за непредставление сведений во ФСТЭК — или потратить бюджет на категорирование, которое в итоге не требуется. Обе ситуации возникают из-за одного и того же: неясно, является ли конкретная организация субъектом критической информационной инфраструктуры (КИИ). Закон даёт достаточно чёткие критерии, но на практике у небольших компаний, частных клиник, логистических операторов и ИТ-аутсорсеров остаются вопросы.

В этой статье разберём определение субъекта КИИ по статье 2 187-ФЗ, актуальный перечень сфер, пошаговую проверку для организации в Иркутске, типовые ошибки и пограничные случаи. Материал основан на нормах в редакции на 10.10.2026: с учётом изменений 58-ФЗ (исключение ИП), распоряжения № 360-р о типовых объектах и действующих правил категорирования по ПП РФ № 127.

Кто такой субъект КИИ

Определение закреплено в пункте 8 статьи 2 Федерального закона от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» (в редакции от 07.04.2025). Субъектами КИИ признаются:

государственные органы, государственные учреждения и российские юридические лица, которым на праве собственности, аренды или ином законном основании принадлежат информационные системы, информационно-телекоммуникационные сети или автоматизированные системы управления, функционирующие в сферах, перечисленных в п. 8 ст. 2 187-ФЗ; а также российские юрлица, обеспечивающие взаимодействие указанных систем или сетей.

Ключевые признаки: 1) организация создана по российскому праву; 2) у неё есть ИС, ИТКС или АСУ на праве собственности, аренды или ином законном основании; 3) эти системы функционируют в одной из сфер, указанных в законе. С 01.09.2025 индивидуальные предприниматели из определения исключены — это прямое изменение, внесённое 58-ФЗ.

Важно: форма собственности значения не имеет. Частная клиника, коммерческий оператор связи, негосударственный вуз — всё это российские юрлица, которые могут быть субъектами КИИ, если их системы работают в профильной сфере и соответствуют типовым объектам из перечня.

Полный список сфер КИИ на 2026 год

Перечень сфер закрыт и содержится в п. 8 ст. 2 187-ФЗ. С 01.01.2024 в него добавлена сфера государственной регистрации прав на недвижимое имущество и сделок с ним (312-ФЗ). Ниже — все 14 сфер с примерами организаций, которые как правило рассматриваются применительно к этим сферам при наличии у них соответствующих ИС/АСУ/ИТКС.

Важно: сферы «ЖКХ», «водоснабжение», «образование», «торговля» и «госуправление» в перечне отсутствуют. Организации этих отраслей могут стать субъектами только если параллельно ведут деятельность в одной из вышеуказанных сфер (например, теплоснабжение или собственная генерация).

Проверка за 5 шагов

Для предварительной оценки в Иркутске рекомендуем пройти пять последовательных шагов. Каждый убирает часть неопределённости.

После этих шагов вы получите предварительный ответ. Если хотя бы один из шагов указывает на сферу КИИ и наличие систем, рекомендуется провести углублённую проверку с инвентаризацией ИТ-активов и сопоставлением с 397 типовыми объектами из распоряжения № 360-р.

Пограничные случаи

Индивидуальные предприниматели

С 01.09.2025 ИП исключены из определения субъекта КИИ (58-ФЗ). Это значит, что даже если ИП владеет медицинской информационной системой или оказывает услуги связи, обязанности по категорированию на него не распространяются. Ранее включённые в реестр объекты ИП подлежат исключению в установленном порядке.

Обособленные подразделения

Филиалы и представительства не являются юридическими лицами, поэтому субъектом КИИ признаётся головная организация. Системы, находящиеся в филиале, учитываются в составе активов головной компании. При этом п. 11(2) ПП 127 допускает создание отдельных комиссий по категорированию в филиалах.

Аутсорс ИТ и облачные сервисы

Если организация пользуется SaaS или облачными сервисами и не владеет/не арендует ИС, ИТКС или АСУ, оснований для признания её субъектом по этому признаку нет. Субъектом может быть провайдер, который владеет такими системами и работает в соответствующих сферах. Однако если у организации есть собственные системы, интегрированные с внешними, или она обеспечивает взаимодействие чужих систем, вопрос решается индивидуально.

Холдинги и группы компаний

Каждая дочерняя организация оценивается отдельно: если она владеет ИС/АСУ в нужной сфере, она самостоятельный субъект. Материнская компания может быть субъектом, если владеет системами, используемыми дочерними, или обеспечивает взаимодействие систем. Передача функций управления не освобождает дочернее общество от обязанностей, если системы закреплены за ним.

Если вы не субъект — как это зафиксировать

Закон не требует направлять во ФСТЭК «отрицательное» заключение об отсутствии субъектности. Но на практике в Иркутске рекомендуется оформить внутренний документ — служебную записку, акт или заключение — с результатами проверки по пяти шагам. Это снижает риск при возможной проверке: вы сможете показать, что добросовестно оценили своё положение.

МелданаСБ выполняет такую проверку с письменным заключением. Если организация действительно не является субъектом КИИ, мы готовим документ, в котором фиксируем основания и ссылки на нормы. Такая проверка бесплатна при последующем заказе категорирования.

Типовые ошибки при определении статуса субъекта

• ✗ ИП по-прежнему субъект КИИ. С 01.09.2025 ИП исключены из определения субъекта. Как правильно: проверять только юрлиц, госорганы и госучреждения.
• ✗ ЖКХ и водоканалы — сфера КИИ. В п. 8 ст. 2 187-ФЗ таких сфер нет. Как правильно: водоканал не субъект по профилю водоснабжения, но может стать субъектом как теплоснабжающая организация или при наличии собственной генерации.
• ✗ Частная организация не может быть субъектом. Закон не делает различий по форме собственности. Как правильно: частная клиника, коммерческий оператор связи или логистическая компания могут быть субъектами, если их системы работают в сферах из перечня.
• ✗ Если объектам не присвоена категория, можно ничего не подавать. Даже при отсутствии необходимости категорирования субъект обязан направить во ФСТЭК сведения по утверждённой форме. Как правильно: в течение 10 рабочих дней с утверждения акта направить сведения об отсутствии необходимости присвоения категории.
• ✗ Основной ОКВЭД не совпадает с перечнем — значит, не субъект. ОКВЭД — лишь ориентир. Как правильно: учитывать фактические процессы и наличие ИС/АСУ/ИТКС, а не только коды из ЕГРЮЛ.

Чем поможет МелданаСБ

Мы работаем дистанционно по всей РФ, в том числе с организациями в Иркутске, и строим работу на отработанных типовых решениях. Сначала вы заполняете опросник (DOCX) и предоставляете перечень ИС/АСУ/сетей и сведения о процессах. При необходимости проводим созвон с ИТ-службой. Затем специалист по защите информации анализирует материалы и готовит документы.

Состав работ по теме:

• проверка, является ли организация субъектом КИИ (по ОКВЭД, лицензиям, уставу и фактическим видам деятельности);
• проект приказа о постоянно действующей комиссии по категорированию;
• инвентаризация ИС, ИТКС и АСУ и сопоставление их с перечнем типовых отраслевых объектов (распоряжение № 360-р) и отраслевыми особенностями (если приняты для вашей сферы);
• расчёт показателей значимости по ПП № 127 по наихудшему сценарию с исходными данными;
• проект акта категорирования (допускается единый на несколько объектов);
• сведения о результатах категорирования по форме ФСТЭК (приказ № 236 в ред. № 247), в том числе об отсутствии необходимости присвоения категории;
• сопровождение до внесения в реестр / принятия сведений ФСТЭК (правки по замечаниям — бесплатно).

Важно: понятия «перечень критических процессов» и «перечень объектов, подлежащих категорированию, с направлением во ФСТЭК» отменены (ПП 1762 и ПП 1281). Мы не описываем их как действующие этапы, а опираемся на актуальную процедуру: сопоставление с 360-р, расчёт показателей, акт и сведения во ФСТЭК.

Аттестацию, поставку и внедрение сертифицированных СЗИ на значимых объектах, лицензируемые работы мы выполняем через партнёра-лицензиата ФСТЭК.

Точная стоимость определяется после заполнения опросника — бесплатно, в течение рабочего дня. Каждый следующий объект оценивается по опроснику.

Частые вопросы

Проверить статус субъекта КИИ и подготовить документы можно с помощью категорирования объектов КИИ. Если организация не подпадает под 187-ФЗ, это подтверждается письменно, а при необходимости мы готовим документы по информационной безопасности для других режимов — 152-ФЗ, ПДн и т.д. Актуальная подборка норм доступна в разделе нормативная база.