В современной России критическая информационная инфраструктура (КИИ) считается ключевым элементом национальной безопасности. Для контроля над её состоянием и обеспечения надёжной защиты вводится реестр значимых объектов КИИ. В данной статье подробно рассматриваются:

• какие органы отвечают за формирование и ведение реестра;
• какой нормативно‑правовой базой регулируется процесс;
• какие обязанности возлагаются на субъекты КИИ;
• какой порядок взаимодействия между субъектами и контролирующими органами.

Нормативно‑правовая база

Основные документы, регламентирующие реестр:

1. Приказ ФСТЭК России № 235 – методика определения значимости объектов КИИ.
2. Приказ ФСТЭК России от 6 декабря 2017 г. № 227 – утверждение Порядка ведения реестра значимых объектов КИИ РФ.
3. Федеральный закон «О критической информационной инфраструктуре Российской Федерации» (ФЗ‑210‑2017) – определяет понятие КИИ, обязанности субъектов и полномочия контролирующего органа.

Кто отвечает за формирование реестра?

Согласно вышеуказанным документам, Федеральная служба по техническому и экспортному контролю (ФСТЭК России) является главным органом, уполномоченным в области обеспечения безопасности КИИ. Ее функции включают:

• Разработку и утверждение Порядка ведения реестра.
• Приём и проверку сведений, предоставляемых субъектами КИИ.
• Ведение реестра в электронном виде и обеспечение доступа к нему уполномоченным лицам.
• Проведение плановых и внеплановых проверок субъектов в части соблюдения требований по защите значимых объектов.

Роль ФСТЭК России в процессе

ФСТЭК России выступает как федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности критической информационной инфраструктуры. В её обязанности входит:

1. Сбор информации о результатах категорирования объектов КИИ, полученной от субъектов.
2. Проверка корректности классификации и соответствия установленным критериям.
3. Внесение проверенных данных в реестр значимых объектов КИИ.
4. Контроль за выполнением субъектами требований по защите и управлению безопасностью.

Кто формирует сведения о значимых объектах?

Сбор и подготовка данных возлагается на субъекты КИИ – организации, владеющие или эксплуатирующие объекты, попадающие под определение КИИ. К таким субъектам относятся:

• Государственные органы и компании в 13 ключевых отраслях экономики (энергетика, транспорт, здравоохранение, финансовый сектор и др.).
• Операторы услуг платежной инфраструктуры, системно‑ и/или социально‑значимых платежных систем.
• Прочие юридические лица, которым законодательно предписано вести учёт критически важных информационных ресурсов.

Этапы формирования сведений субъектом КИИ

1. Категорирование объектов – проводится комиссией субъекта КИИ в соответствии с Методикой (п. 2 Приказа № 235). Объекты делятся на категории значимости (высокая, средняя, низкая).
2. Назначение ответственных лиц – формируется устойчивый контур управления безопасностью, включающий ответственных за информационную безопасность.
3. Сбор технической и правовой информации – данные о праве собственности, аренде, технических характеристиках, уровне защищённости и др.
4. Подготовка и отправка отчёта – результаты категорирования и сопутствующая документация направляются в ФСТЭК России.

Как происходит ведение реестра?

После получения сведений ФСТЭК России проводит их проверку и вносит в реестр, который существует в бумажном и электронном виде. Основные принципы ведения реестра:

• Актуальность: сведения обновляются при изменении статуса объекта, смене владельца, модернизации систем защиты.
• Доступность: уполномоченные органы и субъекты имеют право запрашивать информацию в рамках своих полномочий.
• Конфиденциальность: доступ к реестру ограничен в соответствии с классификацией информации (секретно, строго секретно и пр.).

Плановые и внеплановые проверки

ФСТЭК России осуществляет:

1. Плановые проверки – согласно графику, утверждённому руководством службы.
2. Внеплановые проверки – в случае выявления нарушений, угроз или по инициативе руководства.
3. Аудит соответствия требованиям по защите КИИ – проверка наличия и эффективности мер защиты.

Ответственность субъектов КИИ

Субъекты, не предоставляющие своевременную и достоверную информацию, могут быть привлечены к административной ответственности согласно статье 13.24 КоАП РФ. Кроме того, за нарушение требований по защите КИИ могут наступать штрафы и ограничения в деятельности.

Краткое резюме

Таким образом, реестр значимых объектов КИИ формируется и ведётся Федеральной службой по техническому и экспортному контролю России совместно с субъектами КИИ, которые обязаны предоставлять полные и достоверные сведения о своих объектах. Система реестра обеспечивает централизованный учёт, контроль и защиту критически важных информационных ресурсов, что является неотъемлемой частью национальной стратегии кибербезопасности.

Для поддержания актуального и надёжного реестра всем участникам процесса необходимо строго следовать установленным нормативным актам, своевременно обновлять данные и активно взаимодействовать с ФСТЭК России.