Минпромторг выпустил перечень типовых объектов КИИ для химической промышленности
В январе 2024 года был утвержден типовой перечень объектов КИИ, функционирующих в области химической промышленности, дополнивший собой ряд подобных перечней для других отраслей. В этом посте разберемся, что в него включили и стоит ли компаниям повторно категорировать свои объекты КИИ.
Что произошло?
В январе 2024 года Министерство промышленности и торговли Российской Федерации выпустило «Перечень типовых объектов критической информационной инфраструктуры Российской Федерации, функционирующих в области химической промышленности». Согласно Постановлению Правительства РФ от 08.02.2018 № 127, подобные перечни могут формироваться государственными органами и российскими юридическими лицами, выполняющими функции по разработке, проведению или реализации государственной политики и (или) нормативно-правовому регулированию в установленной сфере деятельности. Этот перечень стал уже 8-м, причем 5 из них были опубликованы в период с декабря 2023 по январь 2024 года.
В случае химической промышленности, типовыми отраслевыми объектами КИИ определили системы управления оборудованием, объектами экспериментальной базы и испытательными стендами, предприятием, отдельными производствами, технологическими процессами, подготовкой сырья, а также иные системы, связанные с производством удобрений и азотных соединений, пластмасс, синтетических смол, каучука, лакокрасочного материала, пестицидов и иных агрохимических продуктов. В целом этот перечень соотносится с объектами, указанными в классе ОКВЭД 20, входящим в Общероссийский классификатор видов экономической деятельности 2024 года (ОКВЭД-2).
Однако, есть и различия. Помимо перечисленных в классе ОКВЭД 20, в перечне видов деятельности, для которых они могут использоваться, есть и ряд тех, которые, на первый взгляд, не в полной мере ассоциируются с химической промышленностью, например, производство крахмала, пищевых ферментов, кормовых элементов, фармсубстанций, защитных средств, головных уборов (кроме медицинских), резиновых и пластмассовых изделий, а также текстильная промышленность.
Как организациям реагировать на этот перечень?
Важно помнить, что сферы деятельности регламентируются федеральным законом от 26.07.2017 №187-ФЗ. Подзаконный акт (в данном случае, перечень типовых ОКИИ) не может противоречить ФЗ, а значит приказ Минпромторга России не может расширить сферы КИИ.
Для примера посмотрим на организации, чей основной вид деятельности (по коду ОКВЭД ред. 2) заявлен как «32.99.1 Производство головных защитных уборов и прочих средств защиты» или «13.20 Производство текстильных тканей». Можно ли утверждать, что данные организации теперь тоже субъекты КИИ? Такое решение они могут принять сами, но если организации по праву собственности, аренды или на ином законном основании не принадлежат информационные системы, сети, системы управления из сфер, перечисленных в 187-ФЗ, то не стоит причислять себя к субъектам КИИ только на основании перечня типовых объектов.
Что касается организаций, которые на момент выхода перечня уже являются субъектом КИИ, то для них возникает вопрос: следует ли расширить список своих объектов КИИ, включив в них системы и сети из перечня Минпромторга России? Постановление Правительства РФ от 08.02.2018 № 127 регулирует процедуру категорирования объектов КИИ, и согласно 187-ФЗ таковыми являются все информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления субъекта. Однако в перечень ОКИИ, подлежащих категорированию, включаются только те, которые обеспечивают критические процессы, связанные с деятельностью субъекта из сфер КИИ.
«Сам перечень типовых объектов КИИ довольно полный и проработанный. Поэтому, если субъект КИИ функционирует в сфере химической промышленности, то в большинстве своем он уже включил перечисленные системы в свой перечень ОКИИ, подлежащих категорированию. Важно помнить, что перечень типовых объектов КИИ – это не перечень ОКИИ, подлежащих категорированию, а скорее чек-лист систем, которые чаще всего встречаются в организациях, функционирующих в определенной отрасли. Такие перечни изначально задумывались в помощь субъектам КИИ. Их разработка предусмотрена Постановлением Правительства РФ от 08.02.2018 № 127 и служат они в основном как исходные данные для категорирования», — пояснила Алена Парушкина, консультант по информационной безопасности iTPROTECT.
Итоги
Появление перечня, безусловно, упростит задачу категорирования объектов КИИ для химических предприятий, которые только начинают этим заниматься. Однако и им, и тем, кто уже прошел этот процесс, стоит проявить внимательность и помнить о нескольких важных пунктах.
Во-первых, наличие в отраслевом перечне видов деятельности, не относящихся к химической промышленности, но при этом включенных в перечень – не повод расширять сферу действия ФЗ и считать субъектами КИИ организации, занимающиеся этой деятельностью.
Во-вторых, наличие у субъектов КИИ объектов из типового перечня – не повод их категорировать, кроме случаев, когда они обеспечивают критические процессы.
В-третьих, перечень ОКИИ, подлежащих категорированию у реального предприятия, может быть существенно больше, чем приведенный в перечне типовых объектов КИИ Минпромторга России. Поэтому каждой организации стоит подходить к категорированию объектов КИИ индивидуально.
На сегодня эксперты iTPROTECT выполнили несколько десятков проектов в области категорирования и защиты объектов КИИ. Если у вас появятся вопросы в процессе категорирования или по его необходимости в принципе – готовы проконсультировать или помочь в реализации проекта. Для этого оставьте заявку у нас на сайте.
Что произошло?
В январе 2024 года Министерство промышленности и торговли Российской Федерации выпустило «Перечень типовых объектов критической информационной инфраструктуры Российской Федерации, функционирующих в области химической промышленности». Согласно Постановлению Правительства РФ от 08.02.2018 № 127, подобные перечни могут формироваться государственными органами и российскими юридическими лицами, выполняющими функции по разработке, проведению или реализации государственной политики и (или) нормативно-правовому регулированию в установленной сфере деятельности. Этот перечень стал уже 8-м, причем 5 из них были опубликованы в период с декабря 2023 по январь 2024 года.
В случае химической промышленности, типовыми отраслевыми объектами КИИ определили системы управления оборудованием, объектами экспериментальной базы и испытательными стендами, предприятием, отдельными производствами, технологическими процессами, подготовкой сырья, а также иные системы, связанные с производством удобрений и азотных соединений, пластмасс, синтетических смол, каучука, лакокрасочного материала, пестицидов и иных агрохимических продуктов. В целом этот перечень соотносится с объектами, указанными в классе ОКВЭД 20, входящим в Общероссийский классификатор видов экономической деятельности 2024 года (ОКВЭД-2).
Однако, есть и различия. Помимо перечисленных в классе ОКВЭД 20, в перечне видов деятельности, для которых они могут использоваться, есть и ряд тех, которые, на первый взгляд, не в полной мере ассоциируются с химической промышленностью, например, производство крахмала, пищевых ферментов, кормовых элементов, фармсубстанций, защитных средств, головных уборов (кроме медицинских), резиновых и пластмассовых изделий, а также текстильная промышленность.
Как организациям реагировать на этот перечень?
Важно помнить, что сферы деятельности регламентируются федеральным законом от 26.07.2017 №187-ФЗ. Подзаконный акт (в данном случае, перечень типовых ОКИИ) не может противоречить ФЗ, а значит приказ Минпромторга России не может расширить сферы КИИ.
Для примера посмотрим на организации, чей основной вид деятельности (по коду ОКВЭД ред. 2) заявлен как «32.99.1 Производство головных защитных уборов и прочих средств защиты» или «13.20 Производство текстильных тканей». Можно ли утверждать, что данные организации теперь тоже субъекты КИИ? Такое решение они могут принять сами, но если организации по праву собственности, аренды или на ином законном основании не принадлежат информационные системы, сети, системы управления из сфер, перечисленных в 187-ФЗ, то не стоит причислять себя к субъектам КИИ только на основании перечня типовых объектов.
Что касается организаций, которые на момент выхода перечня уже являются субъектом КИИ, то для них возникает вопрос: следует ли расширить список своих объектов КИИ, включив в них системы и сети из перечня Минпромторга России? Постановление Правительства РФ от 08.02.2018 № 127 регулирует процедуру категорирования объектов КИИ, и согласно 187-ФЗ таковыми являются все информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления субъекта. Однако в перечень ОКИИ, подлежащих категорированию, включаются только те, которые обеспечивают критические процессы, связанные с деятельностью субъекта из сфер КИИ.
«Сам перечень типовых объектов КИИ довольно полный и проработанный. Поэтому, если субъект КИИ функционирует в сфере химической промышленности, то в большинстве своем он уже включил перечисленные системы в свой перечень ОКИИ, подлежащих категорированию. Важно помнить, что перечень типовых объектов КИИ – это не перечень ОКИИ, подлежащих категорированию, а скорее чек-лист систем, которые чаще всего встречаются в организациях, функционирующих в определенной отрасли. Такие перечни изначально задумывались в помощь субъектам КИИ. Их разработка предусмотрена Постановлением Правительства РФ от 08.02.2018 № 127 и служат они в основном как исходные данные для категорирования», — пояснила Алена Парушкина, консультант по информационной безопасности iTPROTECT.
Итоги
Появление перечня, безусловно, упростит задачу категорирования объектов КИИ для химических предприятий, которые только начинают этим заниматься. Однако и им, и тем, кто уже прошел этот процесс, стоит проявить внимательность и помнить о нескольких важных пунктах.
Во-первых, наличие в отраслевом перечне видов деятельности, не относящихся к химической промышленности, но при этом включенных в перечень – не повод расширять сферу действия ФЗ и считать субъектами КИИ организации, занимающиеся этой деятельностью.
Во-вторых, наличие у субъектов КИИ объектов из типового перечня – не повод их категорировать, кроме случаев, когда они обеспечивают критические процессы.
В-третьих, перечень ОКИИ, подлежащих категорированию у реального предприятия, может быть существенно больше, чем приведенный в перечне типовых объектов КИИ Минпромторга России. Поэтому каждой организации стоит подходить к категорированию объектов КИИ индивидуально.
На сегодня эксперты iTPROTECT выполнили несколько десятков проектов в области категорирования и защиты объектов КИИ. Если у вас появятся вопросы в процессе категорирования или по его необходимости в принципе – готовы проконсультировать или помочь в реализации проекта. Для этого оставьте заявку у нас на сайте.