Является ли водоканал субъектом КИИ в Мегионе: водоснабжение, теплоснабжение, котельные

Руководители водоканалов и предприятий ЖКХ в Мегионе часто получают противоречивые разъяснения: одни юристы говорят, что ЖКХ и водоснабжение не относятся к сферам критической информационной инфраструктуры, другие присылают требования провести категорирование котельной. Обе стороны по-своему правы: в одном муниципальном предприятии могут одновременно быть системы, которые не подлежат категорированию, и системы, которые являются типовыми объектами КИИ.

В этой статье разберём, как определить, является ли ваша организация субъектом КИИ, какие именно системы нужно категорировать, как присваивается категория и что грозит, если не сделать ничего. По итогам вы получите понятный алгоритм проверки для водоканала, теплосети, котельной, управляющей компании и расчётного центра.

Является ли водоканал или теплоснабжающая организация субъектом КИИ

Субъект КИИ — это российское юридическое лицо или государственный орган (учреждение), которому на праве собственности, аренды или ином законном основании принадлежат ИС, ИТКС или АСУ, функционирующие в сферах, перечисленных в п. 8 ст. 2 187-ФЗ. Список сфер закрытый: здравоохранение, наука, транспорт, связь, энергетика, банковская и иные сферы финансового рынка, топливно-энергетический комплекс, атомная энергия, оборонная, ракетно-космическая, горнодобывающая, металлургическая, химическая промышленность, госрегистрация прав на недвижимость. ЖКХ и водоснабжения в этом списке нет.

Проверить статус можно по комплексу признаков: виды деятельности по ОКВЭД (например, 35.30 «производство, передача и распределение пара и горячей воды» — это энергетика), наличие лицензий (на эксплуатацию энергообъектов), уставные цели, фактическое использование ИТ-систем. Но решающий критерий — не код, а назначение конкретных систем: что они управляют и в какой сфере это происходит. Если система управляет технологическим процессом котельной или теплосети, она функционирует в сфере энергетики, и организация становится субъектом КИИ.

Какие системы обычно становятся объектами КИИ в отрасли

Для водоканалов и теплоснабжающих организаций вопрос сводится к тому, какие системы совпадают с типовыми объектами из распоряжения № 360-р. Отраслевые особенности для энергетики не утверждены, поэтому применяется общий порядок ПП № 127 и единый перечень типовых объектов. Ниже — примеры для типичной организации, совмещающей водоснабжение и теплоснабжение.

Как присваивают категорию: показатели значимости для организаций ЖКХ

Категорию присваивает постоянно действующая комиссия субъекта КИИ, оценивая последствия наихудшего сценария целенаправленной атаки — прекращение функционирования объекта или нарушение заданных параметров. Если ни один показатель не достигает порога, принимается решение «категория не присваивается». Это тоже результат, который нужно оформить актом и направить во ФСТЭК.

Для теплоснабжающих организаций чаще всего ключевым становится показатель 2 «объекты жизнеобеспечения» (сноска к перечню ПП 127 прямо называет объекты водо-, тепло-, газо- и электроснабжения населения). Порог для III категории: территория в пределах одного муниципального образования (от 2 тыс. человек населения) или число людей от 2 тыс. до 1000 тыс. Также могут применяться показатель 1 (ущерб жизни и здоровью: III категория от 1 до 50 пострадавших) и показатель 8 (ущерб госкорпорации, ГУП, стратегическому предприятию — снижение годового дохода от 1%). Экологический показатель 11 обычно не подходит для котельных.

Порядок и сроки категорирования

С 2024–2025 годов отменены обязательные этапы «перечень критических процессов» и «перечень объектов, подлежащих категорированию, с направлением во ФСТЭК». Сегодня классическая цепочка выглядит так:

Особенности отрасли, о которых забывают

• ✓ Водоснабжения и ЖКХ нет в перечне сфер ст. 2 187-ФЗ. Водоканал, который занимается только водопроводом и канализацией, не является субъектом КИИ.
• ✓ Теплоснабжающие организации и котельные прямо указаны в разделе V «Энергетика» распоряжения № 360-р. Если у предприятия есть котельная или теплосети, его АСУ ТП подлежат категорированию.
• ✓ Собственная генерация и электросети (даже для собственных нужд) — тоже энергетика. Если водоканал имеет дизель-генератор или трансформаторную подстанцию с АСУ, это может быть объектом КИИ.
• ✓ «Объекты жизнеобеспечения» — это показатель значимости, а не отдельная сфера. Показатель 2 ПП 127 применяется только к тем, кто уже является субъектом КИИ по другому основанию (например, энергетика).
• ✓ Указ Президента № 604 от 24.08.2026 — о физической безопасности объектов критической инфраструктуры (защита от БПЛА, временное управление). К информационной КИИ по 187-ФЗ он не относится.
• ✓ Паспорт антитеррористической защищённости (АТЗ) водоканала по ПП 1467 — отдельный обязательный режим. Он не заменяет категорирование КИИ, а дополняет. Подробнее об этой услуге можно узнать здесь.

Разбор на примере: муниципальное предприятие — водоканал + котельные (две разные ситуации в одной организации)

Как проходила работа:

1. Запросили у организации сведения обо всех ИТ-системах, АСУ и сетях, а также выписку из ЕГРЮЛ, устав, лицензии. Для каждого объекта определили функциональное назначение.
2. Сопоставили с перечнем 360-р. АСУ ТП водозабора и биллинг не нашли соответствия ни одному типовому объекту, потому что сфера водоснабжения не входит в перечень. АСУ ТП котельной совпала с типовым объектом «АСУ ТП котельных» раздела V.
3. Для котельной рассчитали показатели. Основной — показатель 2а: при аварии прекращение теплоснабжения затрагивает территорию одного муниципального образования с населением более 2 тыс. человек. Это даёт III категорию (порог: в пределах одного МО, от 2 тыс. человек). Остальные показатели (1, 8) не превысили пороги.
4. Подготовили проект акта категорирования: для АСУ ТП котельной указали III категорию, для остальных систем — «категория не присваивается». Акт утверждён руководителем. Сведения направлены во ФСТЭК в течение 10 рабочих дней.
5. После включения в реестр (если подтвердят) для значимого объекта III категории потребуется: разработка плана реагирования (90 дней), информирование об инцидентах в ГосСОПКА (не позднее 3 часов для значимых), переход на доверенные ПАК (до 01.01.2030). Если ФСТЭК вернёт сведения — внесём правки бесплатно.

Что будет, если не провести категорирование

Ответственность за нарушения в области КИИ предусмотрена КоАП РФ и УК РФ. Основные составы:

• Ст. 19.7.15 ч. 1 КоАП — непредставление или нарушение сроков подачи сведений о категорировании: должностные лица 10–50 тыс. ₽, юрлица 50–100 тыс. ₽. Повторное нарушение (ч. 3) — 50–100 тыс. ₽ и 100–200 тыс. ₽ соответственно.
• Ст. 13.12.1 ч. 1 КоАП — нарушение требований к безопасности значимых объектов КИИ: должностные 10–50 тыс. ₽, юрлица 50–100 тыс. ₽.
• Ст. 13.12.2 КоАП (новая) — нарушение правил эксплуатации средств и систем КИИ: юрлица 100–500 тыс. ₽.
• Ст. 274.1 УК РФ — при причинении тяжких последствий (например, остановка теплоснабжения зимой) возможно лишение свободы до 10 лет.

Кроме штрафов, ФСТЭК проводит плановые проверки раз в 3 года с момента внесения объекта в реестр, а также внеплановые после инцидентов. Если сведения не поданы, ФСТЭК направит требование, а затем привлечёт к ответственности. Важно: даже если объект признан без категории, сведения об этом всё равно нужно направить во ФСТЭК, иначе наступает ответственность по ст. 19.7.15.

После категорирования: что обязательно для значимых и незначимых объектов

Все субъекты КИИ обязаны информировать НКЦКИ (ГосСОПКА) об инцидентах и атаках. Сроки: для значимых объектов — не позднее 3 часов с момента обнаружения, для иных объектов КИИ — не позднее 24 часов. Для госсектора (госорганы, ГУП, госучреждения) обязанность информировать ФСБ есть даже без статуса КИИ.

Для значимых объектов дополнительно действуют требования приказов ФСТЭК № 235 и № 239: система безопасности, меры защиты, с 01.03.2027 вводятся расчёты показателя защищённости Кзи (раз в 6 месяцев) и уровня зрелости Узи (раз в 3 года). Также требуется переход на доверенные ПАК: запрет новых недоверенных с 01.09.2024, 100% доверенных к 31.12.2029.

По модели угроз и организационным документам по ИБ даём методическое сопровождение: документ готовит ваш специалист по нашему шаблону, мы консультируем и проверяем. Внедрение сертифицированных СЗИ и аттестацию выполняет партнёр-лицензиат ФСТЭК — мы передадим требования.

Что мы подготовим и сколько это стоит

• Проверка, является ли организация субъектом КИИ (по ОКВЭД, лицензиям, уставу и фактическим видам деятельности) — письменное заключение бесплатно при заказе категорирования.
• Проект приказа о постоянно действующей комиссии.
• Инвентаризация ИС, ИТКС, АСУ и сопоставление с перечнем 360-р.
• Расчёт показателей значимости по ПП № 127 по наихудшему сценарию.
• Проект акта категорирования (единый акт на несколько объектов).
• Сведения по форме ФСТЭК (приказ № 236 в ред. № 247), в том числе об отсутствии необходимости присвоения категории.
• Сопровождение до внесения в реестр / принятия сведений (правки по замечаниям бесплатно).

Цена ниже рынка, потому что мы используем отработанные типовые решения и работаем дистанционно по всей России — без выездов и длительных согласований.Точная стоимость по вашим системам — бесплатно в течение рабочего дня после заполнения опросника.

Частые вопросы

Если у вашей организации в Мегионе есть котельные, теплосети или другие объекты энергетики, начните с проверки статуса субъекта КИИ. Это бесплатно при заказе категорирования. Ознакомьтесь с услугами «Категорирование объектов КИИ», «Модель угроз ИБ» и «Паспорт безопасности АТЗ» для комплексного выполнения требований.