Категорирование КИИ для металлургического предприятия в Самаре

На практике типичная ситуация: завод в Самаре работает, АСУ ТП доменного, сталеплавильного или прокатного цехов десятилетиями обслуживали технологи и подрядчики-наладчики, а ИТ-служба отвечала только за офисную сеть и почту. Потом приходит письмо от ФСТЭК (или запрос от отраслевого регулятора) — и выясняется, что производственные системы давно подпадают под 187-ФЗ, а документов по категорированию нет.

Разберём, как металлургическому предприятию честно определить, является ли оно субъектом критической информационной инфраструктуры, какие системы обычно признают объектами КИИ, как присвоить категорию, в какие сроки подать сведения во ФСТЭК и что грозит, если ничего не делать.

Является ли металлургическое предприятие субъектом КИИ

По п. 8 ст. 2 187-ФЗ субъект КИИ — это государственный орган, государственное учреждение или российское юридическое лицо, которому на праве собственности, аренды или ином законном основании принадлежат информационные системы, информационно-телекоммуникационные сети или автоматизированные системы управления, функционирующие в одной из перечисленных сфер. Сфера «металлургическая промышленность» указана отдельной строкой. Организационно-правовая форма значения не имеет: частный завод, АО с госучастием, ГУП — все могут быть субъектами, если у них есть соответствующие системы.

Проверить статус субъекта можно по трём источникам: коды ОКВЭД (основной и дополнительные), действующие лицензии (например, на эксплуатацию опасных производственных объектов) и фактическое наличие АСУ, ИС или сетей, обеспечивающих технологические процессы металлургического производства. Ориентир — раздел XIII перечня 360-р: если ваши системы выполняют функции из этого раздела, вы почти наверняка субъект КИИ.

Пограничные случаи в отрасли:

Какие системы обычно становятся объектами КИИ в отрасли

С 26.02.2026 действует единый перечень типовых отраслевых объектов КИИ — распоряжение Правительства № 360-р. Для металлургии это раздел XIII, в который включены как технологические АСУ, так и управленческие ИС. Отраслевых особенностей для металлургии не принято, поэтому категорирование идёт по общему порядку ПП РФ № 127 и этому перечню.

Важно: наличие системы в списке не означает автоматического присвоения категории. Оно означает, что система подлежит сопоставлению с перечнем и расчёту показателей значимости.

Как присваивают категорию: показатели значимости для металлургии

Категория (I — высшая, II или III — низшая) присваивается по наихудшему сценарию целенаправленной атаки: прекращение функционирования или нарушение заданных параметров проектного либо штатного режима. Для металлургического предприятия, как правило, ключевыми становятся три группы показателей из перечня к ПП РФ № 127.

• Экономический ущерб (показатель 8). Применяется к госкорпорациям, ГУП, предприятиям ОПК, стратегическим АО. Порог III категории — снижение годового дохода на 1–10% в среднем за 5 лет. Для частного металлургического завода без статуса стратегического этот показатель может не применяться, тогда нужен анализ других.
• Экологический ущерб (показатель 11). Если авария на АСУ ТП печи или коксовой батареи может привести к выбросу опасных веществ. III категория — территория в пределах одного муниципального образования (от 2 тыс. жителей) или внутригородской территории города федерального значения, либо воздействие на 2–100 тысяч человек.
• Ущерб жизни и здоровью (показатель 1). Для ОПО с декларацией промышленной безопасности. III категория — от 1 до 50 человек. Даже один пострадавший при нештатной ситуации на металлургическом агрегате формально даёт III категорию.

По социальной значимости (показатель 2 — объекты жизнеобеспечения) металлургия обычно не проходит: водоснабжение, теплоснабжение, газ и электроснабжение населения — не профиль завода. Политический показатель (показатель 6) и оборонный (показатель 13) задействуются, только если предприятие выполняет гособоронзаказ или является пунктом управления.

«Без категории» — тоже результат. Если по всем показателям значения ниже порогов III категории, комиссия оформляет акт об отсутствии необходимости присвоения категории. Это не освобождает от обязанности направить сведения во ФСТЭК по форме приказа № 236.

Порядок и сроки категорирования

Максимальный срок категорирования законом больше не установлен (норма отменена ПП № 1281 от 19.09.2024). Но сведения во ФСТЭК направляются в течение 10 рабочих дней после утверждения акта. Ниже — рабочие шаги.

Пересмотр категории — не реже одного раза в 5 лет, а также при изменении показателей, отраслевых особенностей или по решению ФСТЭК. Для металлургии сокращённые сроки не установлены.

Особенности отрасли, о которых забывают

• ✓ ОКВЭД 24 — это металлургия, но не только код решает. Субъектность определяют фактические процессы и системы, а не только основной код. Проверяйте все виды деятельности по уставу и технологическим регламентам.
• ✓ АСУ ТП от иностранных вендоров — не редкость. На значимых объектах действуют требования доверенных ПАК (ПП № 1912) и запрет на иностранное ПО с 01.09.2024 для новых закупок (по Указу № 166 для органов власти и заказчиков по 223-ФЗ; для остальных сроки по 187-ФЗ ещё не утверждены, проект — с 01.01.2028). Это влияет на план перехода после категорирования.
• ✓ Экологический показатель может быть решающим. Металлургические агрегаты часто находятся вблизи жилых зон или в пределах города. Если выброс при нештатной остановке АСУ ТП покроет территорию от 2 тыс. жителей в одном муниципальном образовании — это III категория.
• ✓ ERP и MES тоже в перечне. Металлурги часто категорируют только АСУ ТП, а управленческие системы забывают. С 2026 года ERP, MES, а также системы безопасности ОПО прямо названы в разделе XIII 360-р.
• ✓ Комиссия должна включать технологов и специалистов по промбезопасности. По п. 11 ПП № 127 в состав постоянно действующей комиссии обязательно входят специалисты по эксплуатации основного технологического оборудования и промышленной безопасности. На металлургическом заводе это главный инженер, начальники цехов, специалист по ОПО.

Разбор на примере: сталепрокатный завод в Самаре

Как делали:

• Запросили у заказчика реестр ИС/АСУ/ИТКС, коды ОКВЭД, лицензии на эксплуатацию ОПО, декларацию промышленной безопасности, план локализации и ликвидации аварий, данные о годовом доходе и структуре собственности.
• Сопоставили системы с разделом XIII перечня 360-р. АСУ ТП дуговой печи, МНЛЗ, прокатного стана, MES и ERP совпали с типовыми объектами; АСУ энергохозяйства — с позицией «сети кислорода и азота» (электроснабжение как часть энергохозяйства).
• Для каждой совпавшей системы рассчитали показатели по наихудшему сценарию. Для АСУ ТП печи сработал экологический показатель 11: при потере управления фурмой и системе пылеулавливания выброс мог затронуть жилой район рядом с промплощадкой (более 2 тыс. человек в одном муниципальном образовании). Это дало III категорию.
• Для MES, ERP и АСУ прокатного стана достигнутые значения оказались ниже порогов III категории по всем применимым показателям — оформили акт об отсутствии необходимости присвоения категории.
• Сведения о результатах категорирования направили во ФСТЭК по форме приказа № 236. После проверки (30 дней) объект с III категорией внесён в реестр значимых объектов; замечаний не было.
• Дальше для значимого объекта: выполнить требования приказов ФСТЭК (система безопасности), подключиться к ГосСОПКА, разработать план реагирования (90 дней после включения в реестр) и перейти на доверенные ПАК по ПП № 1912.

Что будет, если не провести категорирование

Отсутствие акта категорирования и сведений во ФСТЭК — это административное правонарушение. ФСТЭК проводит плановые проверки (через 3 года после внесения объекта в реестр или после предыдущей проверки) и внеплановые (по предписанию, инциденту или поручению).

Уголовная ответственность по ст. 274.1 УК РФ наступает за неправомерный доступ, вредоносные программы, нарушение правил эксплуатации, если это повлекло тяжкие последствия. Санкции — вплоть до лишения свободы на срок до 10 лет (ч. 5).

Минпромторг ведёт мониторинг достоверности сведений, в том числе выездной. О выявленных некатегорированных объектах регулятор сообщает во ФСТЭК в течение 30 дней.

После категорирования: что обязательно для значимых и незначимых объектов

Даже если все объекты получили «без категории», субъект КИИ обязан:

• информировать ФСБ (НКЦКИ) об инцидентах на объектах КИИ — не позднее 24 часов (для значимых — не позднее 3 часов);
• обеспечивать непрерывное взаимодействие с ГосСОПКА в части компьютерных атак;
• пересматривать категорию не реже одного раза в 5 лет.

Для значимых объектов (категории I–III) дополнительно действуют:

• требования приказов ФСТЭК № 239 (меры защиты) и № 235 (система безопасности);
• подключение к ГосСОПКА и разработка плана реагирования в течение 90 календарных дней после включения в реестр;
• переход на доверенные ПАК по ПП № 1912 — к 31.12.2029 доля должна быть 100%;
• использование преимущественно российского ПО (по мере утверждения сроков Правительством; проект — с 01.01.2028).

По модели угроз и организационным документам по ИБ даём методическое сопровождение: документ готовит ваш специалист по нашему шаблону, мы консультируем и проверяем. Внедрение сертифицированных СЗИ, аттестацию и лицензируемые работы по ТЗКИ выполняет партнёр-лицензиат ФСТЭК.

Что мы подготовим и сколько это стоит

• проверку, является ли организация субъектом КИИ (письменное заключение);
• проект приказа о постоянно действующей комиссии;
• инвентаризацию ИС, ИТКС и АСУ и сопоставление с перечнем 360-р;
• расчёт показателей значимости по ПП № 127 с исходными данными;
• проект акта категорирования (единый на несколько объектов);
• сведения по форме ФСТЭК (приказ № 236) — включая случай «без категории»;
• сопровождение до внесения в реестр / принятия сведений ФСТЭК (правки по замечаниям — бесплатно).

Цена ниже рынка, потому что мы используем отработанные типовые решения и работаем дистанционно: вы заполняете опросник и передаёте реестр систем, а документы готовит специалист по защите информации. Точную стоимость назовём после бесплатного анализа опросника в течение рабочего дня.

Частые вопросы

Подробнее о составе работ — на странице категорирования объектов КИИ. Также полезно заранее посмотреть нормативную базу и образцы документов. Если нужно проверить, касается ли 187-ФЗ вашего завода, начните с бесплатного опросника — ответим в течение рабочего дня.