Категорирование КИИ для портов, перевозчиков и логистики в Первоуральске

Логистическая компания с собственным автопарком, складским комплексом и диспетчерской получила от заказчика из госсектора запрос: подтвердить статус субъекта критической информационной инфраструктуры или объяснить, почему организация к КИИ не относится. Знакомая ситуация? В Первоуральске такие запросы всё чаще приходят не только от контрагентов, но и от банков, страховых компаний и проверяющих. Вопрос перестаёт быть теоретическим: если системы порта, перевозчика или логистического оператора подпадают под типовые объекты из распоряжения № 360-р, отмалчиваться не получится.

Из этой статьи вы узнаете, как определить, является ли ваша организация субъектом КИИ в сфере транспорта, какие системы чаще всего становятся объектами категорирования, какие показатели влияют на присвоение категории, каковы сроки и что грозит за неподачу сведений во ФСТЭК. Разберём практический пример для автобусного перевозчика, а в конце покажем, как подготовить документы без раздувания бюджета.

Является ли порт, судоходная, автотранспортная или логистическая компания субъектом КИИ

Субъект КИИ — это не «отраслевая принадлежность», а факт владения системами определённого типа. Согласно действующей редакции п. 8 ст. 2 187-ФЗ, субъектами являются государственные органы, госучреждения и российские юридические лица, которым на праве собственности, аренды или ином законном основании принадлежат ИС, ИТКС или АСУ, функционирующие в сферах, перечисленных в этой статье. Сфера «транспорт» в списке есть.

Как проверить компанию:

• Сверить фактические виды деятельности с ОКВЭД (раздел H «Транспортировка и хранение»), лицензиями (на перевозки, погрузочно-разгрузочную деятельность в портах) и уставом.
• Определить, какими системами владеет или арендует организация: серверы, АСУ ТП, диспетчерское ПО, телематические платформы, билетные системы, складские системы управления.
• Сопоставить эти системы с типовыми объектами из раздела III распоряжения № 360-р. Если хотя бы одна система соответствует типу, организация — субъект КИИ в части этой системы и обязана провести категорирование.

Пограничные случаи в отрасли — это экспедиторы без собственного транспорта, складские операторы, пассажирские автоперевозчики. Ниже таблица, которая помогает сориентироваться.

Какие системы обычно становятся объектами КИИ в отрасли

Перечень типовых отраслевых объектов КИИ утверждён распоряжением Правительства РФ от 26.02.2026 № 360-р. Это единый документ на 397 позиций, где раздел III посвящён транспорту. Для портов, перевозчиков и логистики наиболее релевантны следующие типовые объекты.

Отраслевые особенности категорирования для транспорта по состоянию на 10.10.2026 не приняты. Это значит, что применяется общий порядок, установленный ПП РФ от 08.02.2018 № 127, и перечень 360-р. Никаких дополнительных транспортных порогов или отдельных методик не вводилось.

Как присваивают категорию: показатели значимости для транспортных и логистических компаний

Категория значимости объекта КИИ определяется по перечню показателей, приведённому в приложении к ПП № 127 (в редакции от 07.11.2025). Для транспортной отрасли наиболее часто применяются следующие показатели:

• Социальная значимость (показатель 1) — ущерб жизни и здоровью людей. III категория присваивается, если в результате инцидента пострадают от 1 до 50 человек.
• Транспортный показатель (3а, 3б) — территория, оставшаяся без транспортных услуг, или число людей, лишённых регулярного транспортного сообщения. III категория: территория в пределах одного муниципального образования (от 2 тыс. жителей) или от 2 тыс. до 1 млн человек без услуг.
• Транспортный показатель (3в) — мультимодальные и интермодальные перевозки. Если система обеспечивает такие перевозки, это сразу III категория.
• Новый показатель (3г) — категория объекта транспортной инфраструктуры (ОТИ) по 16-ФЗ. ОТИ 3-й или 4-й категории даёт III категорию КИИ, ОТИ 2-й — II, ОТИ 1-й — I.
• Экономический показатель (8) — применим, если организация является госкорпорацией, ГУП, предприятием ОПК или стратегическим АО. Для частных логистических компаний обычно неактуален.

Категория присваивается по наихудшему сценарию целенаправленной атаки: прекращение функционирования или нарушение заданных параметров проектного либо штатного режима. Если по одному показателю получается I категория, остальные уже не считаются.

Важно: если объект не соответствует ни одному показателю значимости, категория не присваивается. Это тоже результат, который нужно оформить и направить во ФСТЭК в составе сведений об отсутствии необходимости присвоения категории. Объект без категории не освобождает субъекта от обязанностей по информированию об инцидентах и подаче сведений.

Порядок и сроки категорирования

Ниже типовой алгоритм для транспортной компании. Сроки указаны из действующих норм, без домыслов.

Пересмотр категорий проводится не реже раза в 5 лет, если отраслевые особенности не устанавливают иной срок. Для транспорта отраслевых особенностей нет, поэтому действует пятилетний период. Внеплановый пересмотр возможен при изменении объекта, реорганизации или решении ФСТЭК.

Особенности отрасли, о которых забывают

• ✓ Сфера «транспорт» охватывает не только перевозки, но и инфраструктуру. Перечень 360-р включает автодороги с платными участками, светофорное регулирование, автовокзалы, метро, канатные дороги. Если компания управляет парковкой или дорожной инфраструктурой, это тоже повод проверить.
• ✓ Экспедитор — пограничный случай. Сам по себе статус экспедитора не делает организацию субъектом КИИ. Если нет собственных систем диспетчеризации или телематики, скорее всего, субъектом не являетесь. Но как только появляется своя платформа для управления перевозками, ситуация меняется.
• ✓ Транспортная безопасность по 16-ФЗ — отдельный режим. Категорирование ОТИ (объектов транспортной инфраструктуры) регулируется Федеральным законом № 16-ФЗ и не заменяет категорирование КИИ по 187-ФЗ. Однако новый показатель 3г ПП 127 напрямую связывает категорию ОТИ с категорией КИИ: если ваш объект транспортной инфраструктуры имеет 3-ю или 4-ю категорию ОТИ, соответствующая информационная система получит III категорию КИИ.
• ✓ ГЛОНАСС-мониторинг — это не просто «журнал с точками». Система спутникового мониторинга и диспетчеризации автопарка прямо названа в 360-р как типовая («автопарки», «телематика»). Даже если она кажется вспомогательной, её остановка может парализовать перевозки.
• ✓ Порт и стивидор: весь терминал или только часть? Категорированию подлежат не все системы порта, а те, которые соответствуют типовым объектам. Например, TOS и АСУ кранами — да, бухгалтерия — нет. Но сведения подаются на все системы, по которым принято решение.

Разбор на примере: автобусный перевозчик с диспетчерской

Как делали:

• Запросили у перевозчика устав, ОКВЭД, лицензию на перевозки, список используемого ПО и схему сети. Выяснили, что компания владеет сервером с ПО диспетчерского управления и подключёнными к нему терминалами ГЛОНАСС на автобусах.
• Сопоставили систему с разделом III 360-р. Позиции «автопарки и телематика» и «диспетчеризация грузоперевозок» (в части диспетчерского управления) совпали. Билетная система работала автономно и не была интегрирована с автовокзалом, поэтому как отдельный типовой объект не рассматривалась.
• Рассчитали показатели. Прекращение работы диспетчерской на 4 часа в час пик лишило бы регулярного сообщения около 12 тыс. пассажиров (наихудший сценарий). По показателю 3б это соответствует III категории (от 2 тыс. до 1 млн человек). Показатель 3г не применялся, так как ОТИ у перевозчика нет.
• Оформили акт категорирования на все 4 системы: диспетчерский комплекс — III категория, остальные — «категория не присвоена». Утвердили у руководителя.
• Направили во ФСТЭК сведения по форме приказа № 236. После проверки (30 дней) объект с III категорией внесён в реестр значимых объектов. Теперь перевозчику необходимо выполнять требования к значимым объектам: усилить защиту, подключиться к ГосСОПКА, использовать доверенные ПАК при обновлении оборудования.

Что будет, если не провести категорирование

Ответственность за нарушения в сфере КИИ установлена КоАП РФ и УК РФ. Основные составы:

• Ст. 19.7.15 КоАП РФ, ч. 1 — непредставление, нарушение сроков или представление недостоверных сведений о категорировании во ФСТЭК. Штраф: должностные лица 10–50 тыс. ₽, юрлица 50–100 тыс. ₽. Повторное нарушение — должностные 50–100 тыс. ₽, юрлица 100–200 тыс. ₽ (ч. 3).
• Ст. 13.12.1 КоАП РФ, ч. 1 — нарушение требований к созданию систем безопасности или обеспечению безопасности значимого объекта. Штраф: должностные 10–50 тыс. ₽, юрлица 50–100 тыс. ₽.
• Ст. 13.12.1 КоАП РФ, ч. 2 — нарушение порядка информирования об инцидентах или реагирования. Штраф: должностные 10–50 тыс. ₽, юрлица 100–500 тыс. ₽.
• Ст. 13.12.2 КоАП РФ (новая, с 20.04.2026) — нарушение правил эксплуатации средств и систем КИИ или правил доступа. Штраф: должностные 10–50 тыс. ₽, юрлица 100–500 тыс. ₽.
• Ст. 274.1 УК РФ — неправомерный доступ к объектам КИИ, повлёкший уничтожение, блокирование, модификацию или копирование информации, либо нарушение правил эксплуатации, причинившее вред. Наказание вплоть до лишения свободы на срок до 6 лет (ч. 2, 3), а при тяжких последствиях — до 10 лет (ч. 5).

Проверки проводит ФСТЭК: плановые — раз в 3 года с момента включения объекта в реестр, внеплановые — после инцидентов или по поручению. Кроме того, отраслевые регуляторы (Минтранс) могут проводить мониторинг достоверности сведений и сообщать о нарушениях во ФСТЭК в течение 30 дней.

После категорирования: что обязательно для значимых и незначимых объектов

Для всех субъектов КИИ, независимо от присвоенной категории, действует обязанность информировать НКЦКИ (ГосСОПКА) о компьютерных атаках и инцидентах. Сроки по приказу ФСБ № 547 от 25.12.2025: для значимых объектов — не позднее 3 часов с момента обнаружения инцидента, для иных объектов КИИ — не позднее 24 часов.

Для значимых объектов (I, II, III категории) дополнительно обязательны:

• Выполнение требований к обеспечению безопасности, установленных приказами ФСТЭК № 235 и № 239.
• Использование доверенных программно-аппаратных комплексов (ПАК). С 01.09.2024 нельзя приобретать недоверенные ПАК, а к 31.12.2029 доля доверенных должна достичь 100%.
• Непрерывное взаимодействие с ГосСОПКА, разработка плана реагирования в течение 90 дней с момента включения в реестр.

Модель угроз информационной безопасности и организационные документы по ИБ готовит компания «МелданаСБ». Внедрение сертифицированных средств защиты информации и аттестацию значимых объектов выполняют партнёры-лицензиаты ФСТЭК.

Что мы подготовим и сколько это стоит

Состав работ по категорированию объектов КИИ:

• Проверка, является ли организация субъектом КИИ, по ОКВЭД, лицензиям, уставу и фактической деятельности.
• Проект приказа о постоянно действующей комиссии.
• Инвентаризация ИС, ИТКС и АСУ, сопоставление с разделом III перечня 360-р.
• Расчёт показателей значимости по ПП № 127 по наихудшему сценарию.
• Проект акта категорирования (единый акт на несколько объектов).
• Сведения по форме ФСТЭК (приказ № 236 в ред. № 247), включая сведения об отсутствии необходимости присвоения категории.
• Сопровождение до принятия сведений ФСТЭК; правки по замечаниям — бесплатно.

Почему цена ниже рыночной: мы работаем дистанционно, используем отработанные типовые решения и опросники, а документы готовит специалист по защите информации. Точная стоимость зависит от количества объектов и сложности систем — её рассчитаем бесплатно по опроснику в течение рабочего дня.

Частые вопросы

Итог: для портов, перевозчиков и логистических компаний в Первоуральске категорирование КИИ — это не разовая «бумажка», а управляемый процесс, который начинается с проверки статуса субъекта и заканчивается внесением сведений во ФСТЭК. Если вы сомневаетесь, подпадает ли ваша организация под требования 187-ФЗ, начните с проверки статуса субъекта КИИ. Вместе с категорированием рекомендуем заказать модель угроз информационной безопасности, а при необходимости — комплект организационных документов по ИБ.