Положение о КИИ в организации: образец и бланк

Положение о КИИ — внутренний документ, который задаёт в компании порядок работы с критической информационной инфраструктурой: кто ищет объекты, как присваивают категорию, кто ведёт перечень и что делать при изменениях. Ниже — бланк и образец заполнения для компании из сферы, попадающей под 187-ФЗ.

Бланк в WordWord, 11 КБ Образец в WordWord, 12 КБ Образец в PDFPDF, 70 КБ

Проверка актуальности

Проверьте документ перед подписанием

Законы меняются быстрее, чем бланки в интернете: образцы составляют в разное время, и обновить их все не успевает никто. Чтобы документ работал на вас сегодня, мы настроили ИИ для проверки актуальности: он сам возьмёт этот образец, сверит его с действующей редакцией законов и пришлёт, что поправить.

Образец заполнения

УТВЕРЖДАЮ

Генеральный директор ООО «Северная сеть»

А. В. Смирнов

«16» ноября 2026 г.

Положение о критической информационной инфраструктуре

о категорировании объектов КИИ и работе комиссии

№ 7-КИИ

Положение определяет порядок выявления объектов критической информационной инфраструктуры ООО «Северная сеть», присвоения им категории значимости, ведения перечня объектов и обмена сведениями с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак.

Компания оказывает услуги связи и использует системы, функционирующие в сфере связи, указанной в пункте 8 статьи 2 Федерального закона от 26.07.2017 № 187-ФЗ. Для категорирования приказом директора создаётся комиссия не менее чем из трёх человек: руководитель комиссии, специалист по информационным технологиям, специалист по информационной безопасности и представитель подразделения, чьи процессы проверяются.

Комиссия описывает технологические процессы, определяет информационные системы, автоматизированные системы управления и информационно-телекоммуникационные сети, которые обеспечивают эти процессы, и оценивает последствия прекращения их работы для компании, потребителей и смежных организаций.

Категория значимости присваивается по показателям критериев, установленных постановлением Правительства РФ от 08.02.2018 № 127. Объект, не отвечающий ни одному показателю, остаётся незначимым и включается в перечень с пометкой.

Перечень объектов КИИ ведёт руководитель комиссии. Сведения о результатах категорирования направляются во ФСТЭК России в течение 10 рабочих дней со дня утверждения акта категорирования по форме, установленной ФСТЭК России.

Комиссия пересматривает перечень не реже одного раза в год, а также при изменении технологических процессов, замене или подключении новых систем и при изменении показателей критериев.

Требования к защите значимых объектов определяются приказом ФСТЭК России от 25.12.2017 № 239. Ответственность за выполнение Положения несёт руководитель комиссии.

Руководитель комиссии

Заместитель директора по ИТ

____________ / И. И. Кузнецов /

Согласовано

Начальник юридического отдела

____________ / О. П. Белова /

Зачем компании положение о КИИ

Критическая информационная инфраструктура — это информационные системы, сети и автоматизированные системы управления, которые работают в отраслях из приложения к Федеральному закону от 26.07.2017 № 187-ФЗ: здравоохранение, связь, транспорт, энергетика, финансы, госрегистрация, оборонная и химическая промышленность и ещё ряд сфер. Если компания относится к субъектам КИИ, она выявляет и категорирует свои объекты: по результатам объекту присваивают категорию значимости либо принимают решение, что присваивать её не требуется.

Положение о КИИ превращает эту обязанность в рабочий порядок: кто входит в комиссию, как искать объекты, по каким критериям присваивать категорию, где хранить перечень и когда его пересматривать. Без такого документа категорирование держится на памяти отдельных сотрудников и разваливается при первой смене ответственного.

Документ внутренний, единой формы закон не устанавливает. Компания составляет его сама, опираясь на 187-ФЗ и акты ФСТЭК России.

Что закрепить в положении

Сферу деятельности и другие признаки, по которым компания относится к субъектам КИИ, со ссылкой на пункт 8 статьи 2 Закона № 187-ФЗ.
Состав комиссии по категорированию: руководитель, ИТ, информационная безопасность, представители подразделений.
Порядок выявления объектов: какие процессы описывают, какие системы и сети считают обеспечивающими их.
Критерии присвоения категории и порядок оценки последствий остановки систем.
Форму перечня объектов КИИ и порядок его утверждения.
Порядок передачи сведений во ФСТЭК России и сроки.
Периодичность пересмотра перечня и основания для внепланового пересмотра.
Ответственного за выполнение положения и порядок хранения документов комиссии.

Как составить положение

Проверьте, попадает ли компания под закон. Откройте пункт 8 статьи 2 Закона № 187-ФЗ и проверьте, относится ли компания к субъектам КИИ с учётом её деятельности и принадлежащих ей систем или сетей.
Соберите комиссию. Приказом назначьте руководителя комиссии и её членов. В комиссию включайте тех, кто знает технологические процессы, и тех, кто отвечает за ИТ и безопасность.
Опишите порядок выявления. Запишите, как комиссия проходит по процессам компании и определяет, какие системы и сети их обеспечивают. Это самая трудоёмкая часть, и её стоит описать подробно.
Закрепите критерии. Сошлитесь на постановление Правительства РФ от 08.02.2018 № 127 и опишите, как комиссия оценивает показатели и последствия остановки систем.
Определите хранение и передачу сведений. Укажите, кто ведёт перечень, где он хранится, как и в какой срок сведения направляют во ФСТЭК России.
Утвердите и ознакомьте. Положение утверждает руководитель компании. С документом знакомят всех, кто участвует в категорировании.

Частые ошибки

Положение пишут «на всякий случай», не проверив, относится ли компания к субъектам КИИ по пункту 8 статьи 2 Закона № 187-ФЗ.
Комиссия состоит из одних айтишников: технологические процессы остаются неописанными, и объекты выявляются неполно.
В положении нет формы перечня объектов — категорирование заканчивается протоколом совещания, а не документом.
Не указан срок передачи сведений во ФСТЭК России, и результат категорирования остаётся внутри компании.
Пересмотр перечня не закреплён: системы меняются, а документы остаются прежними.

Частые вопросы

Обязательно ли положение о КИИ?

Для субъектов критической информационной инфраструктуры категорирование объектов обязательно по 187-ФЗ. Положение — внутренний документ, которым компания организует эту работу; закон требует результата, а не конкретного названия документа.

Кто утверждает положение?

Руководитель компании. Он же приказом создаёт комиссию по категорированию и назначает её руководителя.

Как часто пересматривать перечень объектов?

Не реже одного раза в год, а также при изменении технологических процессов, замене систем и изменении показателей критериев. Периодичность закрепляют в самом положении.

Куда передают сведения о категорировании?

Во ФСТЭК России в порядке, установленном приказом ФСТЭК России от 22.12.2017 № 236. Срок и способ передачи указывают в положении.

Что грозит за отсутствие категорирования?

За нарушение требований о создании систем безопасности значимых объектов КИИ установлена административная ответственность по статье 13.12.1 КоАП РФ.

Когда положение есть, а работы по нему не идут

Чтобы категорирование не осталось папкой на полке

Комиссия собирается, перечень утверждается, а дальше начинается рутина: собрать сведения о системах, сверить процессы, обновить перечень и передать данные. У руководителя на это нет времени, у ИТ-отдела — свободных рук.

Я настраиваю ИИ-агентов, которые собирают сведения об объектах по шаблону, сверяют их с перечнем и приносят руководителю готовый проект решения на подпись.

Читать об услуге «ИИ-агенты под задачу компании»