Категорирование объектов критической информационной инфраструктуры (КИИ) является обязательной процедурой для субъектов критической информационной инфраструктуры, в т.ч. для организаций сферы здравоохранения. Основным итоговым документом этого процесса является Акт категорирования объекта КИИ. В данной статье подробно разбираются утвержденная Министерством здравоохранения РФ форма акта, порядок его заполнения, состав комиссии и типичные ошибки, актуальные на .

Нормативная база и утвержденная форма

Ключевым документом, регламентирующим форму и порядок оформления Акта категорирования для медицинских организаций, являются Методические рекомендации по категорированию объектов критической информационной инфраструктуры сферы здравоохранения (Версия 1.0), утвержденные Министерством здравоохранения РФ 5 апреля 2021 г. (далее — Методические рекомендации).

В структуре этих рекомендаций форма Акта категорирования представлена в Приложении 16 (в некоторых нумерациях также встречается как Приложение 17 для справочных материалов). Важно отметить, что действующее федеральное законодательство (ФЗ-187, Постановление Правительства РФ № 1309, Указ Президента РФ № 250) не устанавливает единую обязательную форму акта для всех отраслей, однако для сферы здравоохранения использование формы из Приложения 16 к Методическим рекомендациям Минздрава является обязательным для соблюдения отраслевых стандартов.

Структура Акта категорирования (по Приложению 16)

Форма акта состоит из следующих основных разделов:

1. Шапка документа: наименование организации-собственника (правообладателя) КИИ, дата проведения обследования и категорирования, номер акта.
2. Сведения о комиссии: состав постоянно действующей комиссии по категорированию объектов КИИ (ФИО председателя, членов, секретаря — ).
3. Сведения об объекте КИИ: полное наименование объекта, его тип (ИС, АСУ, ИТКС), адрес размещения (), категория значимости (1-я, 2-я, 3-я или не подлежит категорированию).
4. Результаты обследования: описание критериев значимости, по которым объект отнесен к той или иной категории (наличие угрозы безопасности жизнедеятельности населения, функционированию органов власти, оборонному потенциалу и т.д.).
5. Подписи: личные подписи всех членов комиссии с расшифровкой (ФИО — *) и датой.

Порядок оформления Акта категорирования (п. 2.12.2 Методических рекомендаций)

Процедура оформления акта строго регламентирована разделом 2.12.2 Методических рекомендаций; Ниже приведен пошаговый алгоритм действий для организаций здравоохранения.

Этап 1: Создание постоянно действующей комиссии

До проведения обследования правообладатель КИИ (руководитель медицинской организации) издает приказ о создании постоянно действующей комиссии по категорированию объектов КИИ.

• Состав: председатель (обычно зам. главного врача по ИТ или безопасность — *), члены (администраторы ИС, ИБ, юристы, ответственные за АСУ/ИТКС), секретарь.
• Полномочия: комиссия проводит обследование, определяет критерии значимости, готовит проект акта.

Этап 2: Проведение обследования объекта

Комиссия осуществляет непосредственное обследование объекта КИИ (информационной системы, автоматизированной системы управления, информационно-телекоммуникационной системы связи). Фиксируются:

• Перечень обрабатываемой информации (медицинские тайны, персональные данные пациентов — *, гостайна).
• Связь с объектами критической инфраструктуры (энергетика, связь, транспорт).
• Последствия нарушения функционирования (остановка приема пациентов, потеря данных ЕМИАС/РМИС и т.д.).

Этап 3: Заполнение формы Акта (Приложение 16)

Заполнение производится в соответствии с образцом, приведенным в Методических рекомендациях. На 2026 год актуальным является образец, учитывающий изменения в подсистемах ЕГИСЗ (Единой государственной информационной системы в сфере здравоохранения).

Этап 4: Подписание и утверждение

Акт подписывается всеми членами комиссии. После подписания акт утверждается руководителем организации (правобладателем КИИ) путем постановки визы или издания приказа об утверждении результатов категорирования.

Типичные ошибки при оформлении Акта (на 2026 год)

Анализ практики взаимодействия с ФСТЭК России и профильными территориальными управлениями (например, ТУ Роспотребнадзора по Респ. Коми и др.) выявляет повторяющиеся нарушения:

• Отсутствие обоснования категории: В акте просто указана цифра (1, 2, 3), но не описаны конкретные критерии из ПП РФ № 1309 (п. 4, 5, 6), по которым объект попал в эту категорию.
• Неверный тип объекта: Путаница между ИС (Информационная система), АСУ (Автоматизированная система управления) и ИТКС (Информационно-телекоммуникационная система связи). Для каждого типа свои критерии.
• Неполный состав комиссии: Отсутствие представителей подразделения информационной безопасности или администраторов конкретных систем.
• Использование устаревшей формы: Применение форм от других отраслей (торговля, образование) вместо Приложения 16 к Методическим рекомендациям Минздрава.
• Отсутствие даты обследования: Указана только дата подписания акта, а дата фактического проведения работ отсутствует.
• Скрытые угрозы: Неучет подключения к ЕГИСЗ/РМИС/ЕМИАС как фактора повышения категории значимости.

Последующие действия после подписания Акта

Согласно п. 2.12 Методических рекомендаций и требованиям ФСТЭК, после составления и подписания Акта категорирования правообладатель обязан:

1. Оформить и согласовать Паспорт безопасности объекта здравоохранения. Акт является основой для разработки паспорта.
2. Направить уведомление в ФСТЭК России о результатах категорирования (в установленном ведомством порядке, часто через ГИС «Категорирование» или почтой — *).
3. Внести сведения в реестр объектов КИИ организации (внутренний документ).
4. Обеспечить защиту информации в соответствии с присвоенной категорией (1-я, максимальные меры, 3-я — базовые).

Особенности для разных типов объектов КИИ в медсфере

Актуальные изменения и рекомендации на второе полугодие 2026 года

На текущую дату () рекомендуется обратить внимание на следующие аспекты:

• Единый цифровой контур: Внедрение подсистем ЕГИСЗ (федерального и регионального уровней) требует перекатегорирования уже имеющихся объектов, если изменилась их топология или критичность.
• Приказ ФСТЭК от № 38 (ред. 2025): Требования к составу мер защиты информации по категориям значимости жестко привязаны к результатам, зафиксированным в Акте.
• Электронный документооборот: Переход на подписание Актов усиленной квалифицированной электронной подписью (УКЭП) членов комиссии через ГИС «Категорирование» или внутренние СЭД (СЭД — *).
• Периодичность: Перекатегорирование проводится не реже 1 раза в 5 лет, а также при изменении характеристик объекта (реконструкция, смена ПО, инциденты ИБ).

Акт категорирования объекта КИИ организации сферы здравоохранения — это базовый документ, от правильности оформления которого зависит весь дальнейший процесс построения системы защиты информации и взаимодействия с регуляторами (ФСТЭК, Минздрав, Роспотребнадзор). Использование утвержденной формой Приложения 16 к Методическим рекомендациям Минздрава РФ от , грамотное обоснование категории значимости и соблюдение процедуры подписания комиссией, залог успешного прохождения проверок и обеспечения кибербезопасности медицинской организации в 2026 году.

Данная статья носит информационно-справочный характер. Для подготовки конкретных документов рекомендуется обратиться к актуальным версиям нормативных правовых актов и консультироваться со специалистами в области защиты информации (например, экспертами «МедИнфо24», «РосБезопасность» или аккредитованными центрами защиты информации — контакты: *).