Категорирование объектов критической информационной инфраструктуры (КИИ) — это обязательная процедура для субъектов КИИ, установленная 187-ФЗ и детализированная Постановлением Правительства РФ № 127. Ключевым итоговым документом этого процесса является Акт о категорировании объектов КИИ. В данной статье подробно разбираем структуру акта, нормативную базу, порядок оформления и направления сведений во ФСТЭК России на основе актуальных методических рекомендаций и практики применения на .

Правовое основание и нормативная база

Процедура категорирования и форма акта регулируются иерархией нормативных актов:

• Федеральный закон от № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» (ст. 7, 8).
• Постановление Правительства РФ от № 127 «Об утверждении Правил категорирования объектов критической информационной инфраструктуры» (ред. от ).
• Приказ ФСТЭК России от № 236 «Об утверждении формы сведений о результатах категорирования объектов КИИ и порядка их направления» (актуальная редакция).
• Методические рекомендации ФСТЭК России (утверждены приказом ФСТЭК, содержат Приложение № 6 или № 9 с формой Акта — см. раздел 3).
• Распоряжение Правительства РФ от № 360-р — единый перечень типовых отраслевых объектов КИИ (около 400 позиций, 14 отраслей), обязательный к применению с февраля 2026 года.

Что такое Акт категорирования и зачем он нужен

Акт о категорировании объектов КИИ — это основной внутренний документ субъекта КИИ, фиксирующий результаты работы комиссии по категорированию. В нем закрепляется:

1. Присвоенная категория значимости (1, 2, 3 или «без категории») для каждого выявленного объекта.
2. Обоснование присвоенной категории (оценка по 5 критериям значимости).
3. Состав комиссии и дата заседания.

Важно: Сам Акт категорирования не направляется во ФСТЭК России в качестве самостоятельного документа. Во ФСТЭК направляются Сведения о результатах присвоения категории значимости по форме Приказа ФСТЭК № 236 (Форма 236); Акт хранится у субъекта КИИ и предъявляется при проверках (ФСТЭК, ФСБ, Прокуратура).

Структура и форма Акта категорирования (Приложение № 6 / № 9)

Форма Акта утверждена в Методических рекомендациях ФСТЭК России (в зависимости от версии документа ссылаются на Приложение № 6 или Приложение № 9). Акт состоит из обязательных разделов:

Шапка документа

• Наименование документа: «Акт о категорировании объектов критической информационной инфраструктуры».
• Номер и дата составления (дата протокола заседания комиссии).
• Место составления (город).

Сведения о субъекте КИИ

Заполняются в соответствии с ЕГРЮЛ/ЕГРИП:

• Полное и сокращенное наименование организации.
• ИНН / КПП / ОГРН.
• Адрес места нахождения (юридический): г. , ул. , д. , пом. .
• Контактное лицо (ФИО, телефон, email) — * / * / *.
• Отрасль деятельности (по ОКВЭД 2 / перечню 360-р).

Сведения о комиссии по категорированию

• Номер и дата приказа о создании комиссии.
• Состав комиссии (Председатель, Заместитель, Секретарь, Члены). ФИО и должности указываются полностью, в публичных образцах маскируются: Иванов И.И. / Петров П.П. / Сидоров С.С. → * / * / *.
• Наличие представителей ФСБ/ФСТЭК в комиссии (при необходимости).

Перечень выявленных объектов КИИ и результаты оценки

Это основная таблица акта. Для каждого объекта заполняются:

Примечание: Адреса размещения объектов КИИ являются конфиденциальной информацией (согласно 187-ФЗ), поэтому в публичных образцах и при передаче третьим лицам они маскируются (*). В оригинале акта, хранящемся у субъекта, адреса указываются полностью.

Описание методики оценки показателей значимости

В акте (или в приложении к нему) должно быть обоснование оценки по каждому из 5 критериев (ПП РФ № 127, п. 7):

1. К1: Численность населения, заинтересованных сторон.
2. К2: Возможность причинения вреда здоровью/жизни граждан.
3. К3: Возможность причинения вреда окружающей среде.
4. К4: Возможность причинения материального ущерба.
5. К5: Возможность нарушения функционирования госорганов, органов местного самоуправления, организаций.

Оценка ставится: ВЫСОКАЯ / СРЕДНЯЯ / НИЗКАЯ. Категория определяется по матрице (ПП 127, Приложение 2).

Заключительная часть

• Резолюция комиссии: «Присвоить объекту КИИ «Наименование» N-ю категорию значимости».
• Ссылка на Протокол заседания комиссии (№ , дата ).
• Подписи: Председатель комиссии (), Секретарь комиссии (), Члены комиссии (*).
• МП организации (при наличии).

Пошаговый алгоритм оформления Акта (на примере АСУ ТП)

1. Приказ о комиссии: Руководитель субъекта издает приказ о создании комиссии (состав: руководитель, зам. по безопасности, ИБ-специалист, юрист, представитель профильного отдела).
2. Инвентаризация: Составляется перечень информационных систем и телекоммуникационных сетей. Сверка с Единым перечнем 360-р (действует с 02.2026).
3. Сбор данных: Заполняются карточки объектов (описание функций, архитектура, границы, адреса размещения).
4. Оценка критериев: Комиссия экспертным способом (или по методике ФСТЭК от № 240/91/688) оценивает К1–К5 для каждого объекта.
5. Заседание комиссии: Очно или смешанно. Результаты фиксируются в Протоколе (отдельный документ).
6. Составление Акта: На основании протокола заполняется Акт категорирования (Приложение 6/9 Методички).
7. Подписание: Акт подписывается всеми членами комиссии, присутствовавшими на заседании.
8. Формирование Сведений (Форма 236): На основании Акта заполняется электронный бланк Формы 236 (XML/JSON) для отправки во ФСТЭК.

Акт об отсутствии категории значимости

Если по результатам инвентаризации и оценки ни один объект не попал под критерии КИИ (все показатели «НИЗКАЯ» и категория не присваивается), составляется Акт об отсутствии объектов КИИ, подлежащих категорированию (или Акт о присвоении категории «без категории»).

• Направлять Сведения по форме 236 во ФСТЭК в этом случае не требуется (согласно разъяснениям ФСТЭК).
• Акт хранится у субъекта как подтверждение выполнения обязанности по категорированию.

Направление сведений во ФСТЭК (Форма 236)

Срок направления: в течение 10 рабочих дней со дня подписания Акта (п. 10 ПП 127).

• Форма: Приказ ФСТЭК № 236 (XML-схема).
• Способ: Через личный кабинет субъекта КИИ на портале Госуслуг (ЕСИА) или через оператора связи (СМЭВ).
• Содержимое: Сведения о субъекте, перечень объектов с присвоенными категориями, дата акта, номер протокола.
• Акт категорирования во ФСТЭК НЕ загружается, загружается только XML-файл Сведений.

Типичные ошибки, за которые акты возвращают на доработку (практика 2024–2026 гг.)

• Несоответствие перечню 360-р: Объекты названы по старым внутренним названиям, без привязки к типовым отраслевым позициям Распоряжения 360-р.
• Отсутствие обоснования оценки: В акте просто стоят категории, но нет текстового описания/таблицы, почему К1=ВЫС, а К3=НИЗ.
• Ошибки в адресации: Указан юрадрес организации вместо физического адреса размещения серверной/АСУ ТП (адрес объекта КИИ ≠ юрадрес).
• Неполный состав комиссии: Нет представителя профильного подразделения (эксплуатации объекта) или ИБ-специалиста.
• Расхождение с Протоколом: Данные в Акте не совпадают с решением, зафиксированным в Протоколе заседания.
• Просрочка: Сведения направлены позднее 10 рабочих дней.

Образец заполнения фрагмента Акта (Шаблон)

АКТ О КАТЕГОРИРОВАНИИ ОБЪЕКТОВ КРИТИЧЕСКОЙ ИНФОРМАЦИОННОЙ ИНФРАСТРУКТУРЫ
№ 12-к от 15 мая 2026 г. г. *

СВЕДЕНИЯ О СУБЪЕКТЕ КИИ:
Полное наименование: ООО «Надежный ТеплоСнаб»
ИНН:  КПП:  ОГРН: *
Адрес: г. , ул. , д. 
Отрасль: Энергетика (теплоснабжение) — п. 3 перечня 360-р

КОМИССИЯ ПО КАТЕГОРИРОВАНИЮ (Приказ № 45-од от ):
Председатель:  (Ген. директор)
Зам. председателя: * (Зам. по тех. вопросам)
Секретарь: * (Нач. отд. ИБ)
Члены: * (Нач. проезд. участка), * (Юрист)
РЕЗУЛЬТАТЫ КАТЕГОРИРОВАНИЯ:

Объект КИИ № 1: Автоматизированная система управления технологическими процессами (АСУ ТП)
котельной хоз. № 5 (типовый объект: «Системы автоматизированного управления технологическими
процессами объектов теплоснабжения» — п. 3.4 перечня 360-р).
Адрес размещения: г. *, ул. Котельная, д. 5, блок серверной.

Оценка показателей значимости:
К1 (Население): ВЫСОКАЯ (обслуживается > 50 000 чел.)
К2 (Здоровье/Жизнь): ВЫСОКАЯ (риск замерзания жилых домов зимой)
К3 (Экология): НИЗКАЯ
К4 (Материальный ущерб): СРЕДНЯЯ
К5 (Госфункции): НИЗКАЯ

ПРИСВОЕНА: 1-я КАТЕГОРИЯ ЗНАЧИМОСТИ.

Объект КИИ № 2: Информационно-телекоммуникационная сеть офиса управления (вспомогательная).
Оценка: Все критерии — НИЗКАЯ.
ПРИСВОЕНА: БЕЗ КАТЕГОРИИ (исключен из реестра КИИ).

ЗАКЛЮЧЕНИЕ КОМИССИИ:
На основании Протокола заседания № 3 от комиссия РЕШИЛА:
Присвоить объекту «АСУ ТП котельной хоз. № 5» 1-ю категорию значимости.
Признать сеть офиса управления объектом без категории значимости.
Направить Сведения во ФСТЭК России в установленном порядке.

Председатель: _____________ / * /
Секретарь: _____________ / * /
М.П.

Актуальные изменения 2026 года: к чему обратить внимание

• Единый перечень 360-р (с 02.2026): Обязательно используйте коды и наименования объектов именно из этого перечня при заполнении Акта и Формы 236; Старые отраслевые перечни утратили силу.
• Методика оценки (Инф. сообщение ФСТЭК 240/91/688 от ): Уточняет подходы к расчету показателей, особенно для распределенных объектов и облачных инфраструктур.
• Электронное взаимодействие: ФСТЭК переводит прием сведений исключительно в электронном виде через ЛК Госуслуг/СМЭВ. Бумажные письма не принимаются.
• Категорирование «в облаке»: Если АСУ ТП размещена в облаке (ИaaS/PaaS), объектом КИИ является информационная система заказчика, а инфраструктура облака — объект КИИ провайдера (двойное категорирование).

Чек-лист перед отправкой сведений во ФСТЭК

1. [ ] Акт категорирования подписан всеми членами комиссии (оригинал в архиве ИБ).
2. [ ] Протокол заседания комиссии оформлен, пронумерован, датирован.
3. [ ] Приказ о создании комиссии актуален (состав соответствует реальности).
4. [ ] Перечень объектов сверен с Распоряжением 360-р (коды типов объектов верные).
5. [ ] Адреса размещения объектов указаны точно (физические адреса серверных/РМ/ПУ).
6. [ ] Обоснование категорий по 5 критериям прописано для каждого объекта.
7. [ ] XML-файл Формы 236 проходит валидацию по схеме ФСТЭК (нет ошибок формата).
8. [ ] Сведения направлены в течение 10 рабочих дней со дня подписания Акта.
9. [ ] Получено уведомление от ФСТЭК о приеме сведений (статус «Принято»).

Акт категорирования — это фундаментальный документ системы защиты КИИ. Его качество определяет не только соблюдение формальностей (отсутствие штрафов по ст. 13.12.5 КоАП РФ), но и адекватность последующих мер защиты информации (СЗИ для 1-й, 2-й, 3-й категории различаются по составу и глубине). Используйте актуальные формы Приложения к Методическим рекомендациям ФСТЭК, строго следуйте перечню 360-р и не забывайте про 10-дневный срок отправки Сведений по форме 236. Храните оригинал Акта и Протокола в секретном архиве организации (доступ — только уполномоченным лицам).

Дисclaimer: Данная статья носит информационный характер и основана на открытых нормативных актах и методических материалах ФСТЭК России на дату . Для подготовки конкретных документов рекомендуется обратиться к актуальным версиям Приказа № 236, ПП № 127 и Методическим рекомендациям на официальном сайте fstec.gov.ru или консультироваться со специализированными организациями (лицензиатами ФСТЭК/ФСБ). Персональные данные, адреса и номера телефонов в примерах заменены на маску (*) в целях информационной безопасности.