Категорирование КИИ в электроэнергетике в Сергиев Посад: генерация, электросети, энергосбыт

Сетевая организация или ТЭЦ в Сергиев Посад получает предписание ФСТЭК: в перечне объектов КИИ не хватает АСУ ТП подстанции, а SCADA не прошла по категории. На устранение — 10 дней, штраф по ст. 19.7.15 КоАП для юрлица — от 50 000 ₽. Знакомо? В большинстве случаев проблема не в отсутствии специалистов, а в том, что инвентаризация систем не была сопоставлена с перечнем типовых объектов критической информационной инфраструктуры.

Разберём, кто из энергокомпаний региона — генерация, территориальные сетевые организации, энергосбыт — обязан пройти категорирование, какие системы обычно становятся объектами КИИ, как рассчитать показатели значимости и что грозит, если отправить сведения с ошибками или не отправить вовсе. В конце — пример расчёта для условной ТСО и цены на подготовку документов.

Является ли энергетическая компания субъектом КИИ

Субъект КИИ — это российское юридическое лицо, которому на праве собственности, аренды или ином законном основании принадлежат информационные системы (ИС), информационно-телекоммуникационные сети (ИТКС) или автоматизированные системы управления (АСУ), функционирующие в энергетике. Ключевое — не ОКВЭД сам по себе, а факт владения и эксплуатации таких систем. ОКВЭД, лицензии и устав помогают подтвердить вид деятельности, но решающим является наличие конкретных систем из перечня 360-р.

Проверить статус можно так: сопоставить свои системы с разделом V перечня 360-р. Если хотя бы одна система совпадает по наименованию и процессам — вы субъект, даже если эта система кажется «вспомогательной». Например, АИИС КУЭ у гарантирующего поставщика — это уже типовой объект, даже если компания не владеет сетями.

Пограничный случай — малая генерация на предприятии для собственных нужд. Формально АСУ ТП такой ТЭЦ или котельной подпадает под перечень, но при небольшой мощности и отсутствии влияния на внешних потребителей часто принимается решение «без категории». Однако сведения во ФСТЭК направить всё равно нужно: это подтверждает, что вы как субъект провели анализ и не нашли значимых объектов.

Какие системы обычно становятся объектами КИИ в отрасли

Раздел V распоряжения № 360-р перечисляет типовые отраслевые объекты для энергетики. Категорированию подлежат системы, которые соответствуют этим типам. Ниже — примеры для генерации, сетей и сбыта. Биллинг сбытовой компании сам по себе, как правило, не является типовым объектом, если не интегрирован с интеллектуальным учётом и его нарушение не влияет на жизнеобеспечение.

Отраслевых особенностей для энергетики не принято (по состоянию на 10.10.2026), поэтому применяется общий порядок ПП РФ № 127. Значит, признаки значимости для всех энергокомпаний одинаковы — из перечня показателей.

Как присваивают категорию: показатели значимости для энергокомпаний

Категория присваивается по наивысшему значению любого показателя из перечня к ПП 127. Если по одному показателю получилась I категория, остальные не считают. Если ни один показатель не превысил порог — категория не присваивается, и это тоже результат, который фиксируется в акте и направляется во ФСТЭК.

Для энергетики ключевые показатели — социальный (п. 2), вред жизни и здоровью (п. 1), экологический (п. 11), а для стратегических предприятий и госсектора — экономический (п. 8) и политический (п. 6).

Социальный показатель (п. 2) для III категории: нарушение электроснабжения на территории в пределах одного муниципального образования (от 2 тыс. жителей) или от 2 тыс. до 1000 тыс. человек. То есть если отключение SCADA или АСУ ТП подстанции затронет более 2 000 человек в одном муниципалитете — это уже III категория значимости.

Порог III категории по п. 1 — от 1 до 50 человек, которым причинён вред здоровью. По п. 11 (экология) — та же территориальная или людская граница, что и для п. 2, но при нанесении ущерба окружающей среде. Для частных ООО без госучастия и стратегического статуса показатели 8 и 9, как правило, не применяются.

Важно: даже если объект не получил категорию, субъект КИИ обязан направить во ФСТЭК сведения об отсутствии необходимости присвоения категории. Иначе — состав правонарушения по ст. 19.7.15 КоАП.

Порядок и сроки категорирования

Мы готовим проекты всех документов — от приказа о комиссии до сведений по форме ФСТЭК. Сопровождение до принятия сведений включает правки по замечаниям без доплат.

Особенности отрасли, о которых забывают

• ✓ АСУ ТП — основной класс объектов. В энергетике чаще всего значимыми становятся не офисные ИС, а АСУ ТП станций, подстанций и SCADA. Именно их отказ приводит к массовым отключениям.
• ✓ Диспетчерское управление и СО ЕЭС. Даже небольшой объект генерации или сети может быть частью контура диспетчерского управления. Его нарушение способно вызвать каскадные отключения в регионе.
• ✓ Физическая безопасность ТЭК (ФЗ-256) — отдельный режим. Он регулирует антитеррористическую защищённость и категорирование объектов ТЭК, но не заменяет информационное категорирование по 187-ФЗ. Организация может быть обязана делать и то, и другое.
• ✓ Теплоснабжающие организации. Их часто ошибочно относят к ЖКХ, но в 187-ФЗ они входят в сферу энергетики. Котельная с АСУ ТП — типовой объект по перечню 360-р.
• ✓ Интеллектуальный учёт. Наличие АИИС КУЭ у сетевой или сбытовой компании автоматически делает её субъектом КИИ, даже если других «традиционных» объектов нет.

Разбор на примере: территориальная сетевая организация

Как действовали:

1. Запросили перечень всех ИС, АСУ ТП и сетей, включая те, что формально не числились на балансе ИТ-отдела, но использовались оперативным персоналом.
2. Сопоставили системы с разделом V 360-р. SCADA управления сетью, АСУ ТП двух подстанций и АИИС КУЭ совпали с типовыми объектами. Биллинг в перечень не вошёл.
3. Для каждой совпавшей системы рассчитали наихудший сценарий. SCADA управляет сетью, от которой зависит электроснабжение 15 000 жителей в одном муниципалитете. По п. 2б ПП 127 (от 2 до 1000 тыс. человек) это III категория.
4. АСУ ТП подстанций обслуживали по 800–1200 потребителей каждая — порог 2 000 не превышен, значит, категория не присваивается. АИИС КУЭ при отказе не привела к массовым последствиям — тоже без категории.
5. Подготовили единый акт, сведения по форме ФСТЭК и направили в течение 10 рабочих дней. Значимый объект (SCADA) внесён в реестр. Далее для него обязательны меры защиты по приказам ФСТЭК 235 и 239, доверенные ПАК (ПП 1912), информирование об инцидентах за 3 часа.

Что будет, если не провести категорирование

Ответственность за непредставление сведений о категорировании — ст. 19.7.15 КоАП: должностные лица 10–50 тыс. ₽, юрлица 50–100 тыс. ₽. Повторное нарушение — до 100 тыс. ₽ для должностных и до 200 тыс. ₽ для юрлиц. Нарушение требований к безопасности значимых объектов — ст. 13.12.1: должностные 10–50 тыс. ₽, юрлица 50–100 тыс. ₽.

Проверки ФСТЭК: плановые — раз в 3 года после включения объекта в реестр или последней проверки, внеплановые — после инцидента, неисполнения предписания, по поручению руководства. По данным ФСТЭК, за 2025 год из 603 протоколов 492 — именно за непредставление или несвоевременное представление сведений. Это самый частый состав.

Для отрасли дополнительно работает ведомственный мониторинг Минэнерго (приказ № 1215 о дистанционном управлении). Регулятор может выехать на объект и сообщить во ФСТЭК о выявленных типовых объектах без категорирования.

После категорирования: что обязательно для значимых и незначимых объектов

• Для всех субъектов КИИ: информировать НКЦКИ об инцидентах. На значимых объектах — не позднее 3 часов, на иных объектах КИИ — не позднее 24 часов (приказ ФСБ № 547). Также необходимо обеспечить взаимодействие с ГосСОПКА.
• Для значимых объектов: выполнить требования по созданию систем безопасности (приказ ФСТЭК № 235) и меры защиты (приказ ФСТЭК № 239). С 01.01.2030 — 100% доверенных ПАК на значимых объектах (ПП 1912). Переход на российское ПО — сроки ещё не утверждены, но проект предусматривает обязательность с 2028 года.
• Для незначимых объектов: дополнительных мер защиты не требуется, только информирование об инцидентах и своевременное обновление сведений во ФСТЭК при изменениях.
• По модели угроз и организационным документам по ИБ даём методическое сопровождение: документ готовит ваш специалист по нашему шаблону, мы консультируем и проверяем. Внедрение сертифицированных СЗИ и аттестацию значимых объектов выполняет партнёр-лицензиат ФСТЭК.

Что мы подготовим и сколько это стоит

Дистанционно по всей России, в том числе в Сергиев Посад. Вы заполняете опросник в DOCX, при необходимости проводим созвон с ИТ-службой. Документы готовит специалист по защите информации, поэтому цена ниже рынка за счёт отработанных типовых решений и удалённого формата.

• Проверка, является ли организация субъектом КИИ (по ОКВЭД, лицензиям, уставу и фактическим системам)
• Проект приказа о постоянно действующей комиссии по категорированию
• Инвентаризация ИС, ИТКС и АСУ, сопоставление с перечнем 360-р и отраслевыми особенностями (если применимы)
• Расчёт показателей значимости по ПП 127 по наихудшему сценарию с исходными данными
• Проект акта категорирования (допускается единый на несколько объектов)
• Сведения о результатах категорирования по форме ФСТЭК (приказ № 236), включая сведения об отсутствии необходимости присвоения категории
• Сопровождение до принятия сведений ФСТЭК: правки по замечаниям — бесплатно

Точная цена зависит от количества объектов и сложности систем — вы получите расчёт по опроснику бесплатно в течение рабочего дня. Каждый следующий объект свыше пяти — по отдельной ставке.

Частые вопросы

Чтобы не получить замечание ФСТЭК из-за неполного перечня систем, начните с бесплатной проверки статуса субъекта. Мы подготовим комплект документов по категорированию КИИ под ключ, при необходимости — модель угроз ИБ и организационные документы по ИБ. Контакты и форма обратной связи — на странице контактов.