Категорирование КИИ в энергетике и ТЭК: как применять новые отраслевые особенности

Энергетика и ТЭК — отрасли с максимальным каскадным эффектом от киберинцидентов. В 2026 году введены типовые перечни объектов КИИ и отраслевые особенности категорирования для энергетических компаний. Разбираем специфику АСУ ТП генерирующих и сетевых компаний, критерии значимости с учётом рисков блэкаутов и порядок согласования моделей угроз с профильными ведомствами.

Критерии значимости через призму блэкаутов: как считать масштаб последствий

Для энергетических объектов оценка масштаба последствий компьютерного инцидента неразрывно связана со сценариями блэкаутов — массовых отключений электроснабжения. Именно блэкаут является тем максимальным негативным последствием, через которое ФСТЭК и Минэнерго предлагают определять категорию значимости.

Постановление 1762 (обновлённая редакция ПП 127) устанавливает 14 показателей по 5 группам критериев. Для энергетики наиболее релевантны следующие:

Сценарный подход: как моделировать блэкаут

На практике мы рекомендуем моделировать три эталонных сценария для каждого объекта КИИ энергетики:

1. Точечный инцидент — компрометация одного контроллера или АРМ. Последствия локальны: отключение одного фидера, потеря телеметрии с одной подстанции. Обычно — III категория или без категории.
2. Системный инцидент — компрометация SCADA-сервера или диспетчерского центра. Потеря управления группой подстанций, риск неконтролируемых перетоков мощности. II–III категория.
3. Каскадный инцидент — одновременная компрометация РЗА и ПА на узловых подстанциях. Сценарий блэкаута: лавинообразное отключение, потеря генерации, «развал» энергосистемы. I–II категория.

Представьте: ваша сетевая компания обслуживает регион с населением 500 тысяч человек. Злоумышленник получает доступ к системе противоаварийной автоматики и отключает автоматическую разгрузку. В момент роста нагрузки ПА не срабатывает, происходит каскадное отключение. Без электричества остаются больницы, котельные, водоканал. Такой сценарий однозначно соответствует I категории значимости.

Модель угроз для энергообъектов: согласование с профильными ведомствами

Разработка модели угроз для АСУ ТП энергетики — отдельный вызов. В отличие от корпоративных ИС, промышленные системы имеют специфические векторы атак: воздействие через промышленные протоколы, эксплуатация уязвимостей ПЛК, атаки на системы безопасности (SIS). Базовым нормативным документом здесь выступает Приказ ФСТЭК № 31 — требования к обеспечению защиты информации в АСУ ТП.

Кто согласовывает модель угроз

Для значимых объектов КИИ в энергетике модель угроз согласовывается с несколькими ведомствами:

• ФСТЭК России — как регулятор в области технической защиты информации. Проверяет корректность категорий нарушителей, обоснование мотивации, связь между моделью нарушителя и перечнем угроз.
• ФСБ России — в части криптографической защиты и интеграции с ГосСОПКА. Для объектов I–II категории согласование обязательно.
• Минэнерго России — как отраслевой координатор. Рабочая группа Минэнерго, включающая представителей ФСТЭК, ФСБ и крупнейших компаний ТЭК, обеспечивает методическую поддержку.

Особенности моделирования угроз для АСУ ТП

По нашему опыту сопровождения проектов категорирования в энергетике, ФСТЭК обращает внимание на три ключевых аспекта модели угроз:

1. Реалистичность модели нарушителя. Для энергообъектов критически важно учитывать не только внешнего хакера, но и внутреннего нарушителя — оператора АСУ ТП, инженера КИПиА, подрядчика по обслуживанию. На практике более 40% инцидентов в АСУ ТП связаны с действиями персонала.
2. Учёт промышленных протоколов. Modbus, IEC 61850, IEC 60870-5-104, DNP3 — эти протоколы не имеют встроенных механизмов аутентификации и шифрования, что создаёт уникальные векторы атак. Типичная ошибка — описание угроз исключительно на уровне TCP/IP. Подробнее об ошибках при взаимодействии с ФСТЭК мы разбирали в отдельной статье.
3. Связь с физическими последствиями. В модели угроз необходимо явно прописать цепочку: кибератака → нарушение технологического процесса → физические последствия (разрушение оборудования, выброс, отключение). Для энергетики эта связь определяет категорию значимости.

Дополнительный фактор для энергетических объектов — обязательный учёт требований Приказа ФСТЭК 236 о предоставлении сведений о доменных именах и IP-адресах. Сетевая инфраструктура АСУ ТП, имеющая точки выхода в корпоративную сеть или интернет, попадает под дополнительные требования.

Матрица категорий: дерево решений для CIO энергокомпании

Ниже приведена матрица, которую мы используем в проектах категорирования для энергетических компаний. Она позволяет предварительно определить вероятную категорию значимости объекта КИИ до проведения полноценной оценки.

Шаг 1. Определите тип объекта

• Если объект управляет генерацией (энергоблок, турбина, котлоагрегат мощностью >25 МВт) — переходите к оценке по I–II категории.
• Если объект управляет передачей (подстанция 110 кВ и выше, магистральные сети) — переходите к оценке по II–III категории.
• Если объект управляет распределением (подстанция 35 кВ и ниже, распредсети) — переходите к оценке по III категории или без категории.
• Если объект обеспечивает учёт/мониторинг (АСКУЭ, historian, MES) — скорее всего без категории, но проверьте экономический критерий.

Шаг 2. Оцените зону охвата

Шаг 3. Проверьте отягчающие факторы

Категория повышается на одну ступень, если выполняется хотя бы одно из условий:

• В зоне охвата расположены объекты обороны или объекты, обеспечивающие правопорядок.
• Объект обеспечивает теплоснабжение в регионах с суровым климатом (зимой отключение тепла → угроза жизни).
• Объект входит в цепочку поставки топлива для генерации (газоснабжение ТЭС, мазутохозяйство).
• Объект управляет ядерными или гидротехническими сооружениями повышенной опасности.

Эта матрица — инструмент предварительной оценки. Итоговая категория определяется комиссией по категорированию на основании полного расчёта по всем показателям Постановления 1762. Однако на этапе планирования дерево решений позволяет CIO оценить масштаб предстоящей работы и необходимые ресурсы.

Пошаговый алгоритм категорирования объектов КИИ в энергетике

Приведём алгоритм, адаптированный под специфику энергетических и ТЭК-компаний с учётом изменений 187-ФЗ и новых отраслевых особенностей.

1. Инвентаризация ИС, АСУ, ИТКС. Составьте полный реестр информационных систем и АСУ ТП. Для генерирующих компаний: по каждой электростанции. Для сетевых: по каждому классу напряжения и диспетчерскому центру. Не забудьте сети электросвязи — каналы телемеханики и диспетчерской связи.
2. Сверка с типовым перечнем. Каждую выявленную систему сопоставьте с перечнем типовых отраслевых объектов КИИ (РП 360-р). Если система совпадает с типом из перечня — она подлежит категорированию. Для нетиповых объектов используйте механизм «снизу вверх».
3. Формирование комиссии. В комиссию по категорированию обязательно включите: главного инженера (знает технологию), руководителя службы РЗА (для сетевых компаний), начальника смены (оценит реальные последствия), специалиста по ИБ, юриста.
4. Оценка масштаба последствий. Для каждого объекта смоделируйте наихудший сценарий компьютерного инцидента. Используйте сценарный подход из раздела о блэкаутах. Привлеките службу оперативно-диспетчерского управления — они знают реальные последствия отказов.
5. Присвоение категории. На основании расчётов по показателям Приложения к ПП 127 (в ред. 1762) определите категорию. Объект получает наивысшую из всех показателей.
6. Подготовка акта и сведений. Оформите акт категорирования и сведения по форме ФСТЭК. Для энергообъектов обязательно укажите: установленную мощность, класс напряжения, зону диспетчерской ответственности.
7. Направление во ФСТЭК. Сведения направляются в ФСТЭК в течение 10 рабочих дней после категорирования. Обратите внимание: с 2026 года ФСТЭК проверяет не только корректность присвоенной категории, но и соответствие объекта типовому перечню.

Сроки для субъектов, ещё не прошедших категорирование, определены 187-ФЗ: перечень объектов КИИ направляется во ФСТЭК в течение 5 рабочих дней, категорирование завершается в течение одного года. Подробнее о штрафах за нарушение сроков читайте в нашем обзоре.

Типичные ошибки энергетиков при категорировании и как их избежать

За время работы с энергетическими компаниями мы выявили устойчивые паттерны ошибок, которые приводят к возврату документов из ФСТЭК или проблемам при проверках.

Ошибка 1. Занижение числа объектов КИИ

Энергокомпания категорирует только центральную SCADA, игнорируя системы РЗА, ПА, АСКУЭ и каналы телемеханики. С введением типовых перечней такое «сужение» станет формальным нарушением: контролирующие органы обязаны сообщать в ФСТЭК о некатегорированных объектах, соответствующих типовым.

Ошибка 2. Формальная оценка последствий

Комиссия записывает «ущерб незначительный» без расчётов. Для энергетики это неубедительно: ФСТЭК понимает, что отключение подстанции 110 кВ не может иметь «незначительные» последствия для региона. Необходимо провести расчёт с указанием: количество обесточенных потребителей, время восстановления, стоимость недоотпуска электроэнергии.

Ошибка 3. Игнорирование связки 256-ФЗ и 187-ФЗ

Объект ТЭК с высокой категорией опасности по 256-ФЗ категорируется как объект КИИ без категории. Это вызывает вопросы у регуляторов: почему физически опасный объект киберзначимости не имеет?

Ошибка 4. Неучёт межсистемных связей

Сетевая компания категорирует АСУ ТП подстанции изолированно, не учитывая, что через телеканал она связана с десятками других подстанций. Компрометация одной системы может открыть доступ к целому кусту объектов.

Ошибка 5. Отсутствие пересмотра при модернизации

После замены аналоговых РЗА на цифровые (МЭК 61850) категория не пересматривается. Цифровизация увеличивает поверхность атаки, что может потребовать повышения категории. Аналогичная ситуация складывается при внедрении новых методик оценки защищённости.

Опыт показывает: энергокомпании, привлекающие внешних консультантов на этапе категорирования, в 3–4 раза реже получают замечания от ФСТЭК. При этом стоимость сопровождения несопоставима с потенциальными штрафами, которые в 2026 году существенно возросли.

Чек-лист готовности к проверке ФСТЭК для субъекта КИИ в ТЭК

Используйте этот чек-лист для самопроверки перед плановой или внеплановой проверкой ФСТЭК. Он составлен с учётом специфики энергетических объектов и актуальных требований 2026 года.

Особое внимание обратите на пункт 1: с 2026 года «некатегорированный, но типовой» объект формально становится фактором риска. Контролирующие органы обязаны сообщать во ФСТЭК не только о нарушениях сроков категорирования, но и о некатегорированных объектах, соответствующих типовым перечням.

По аналогии с опытом категорирования КИИ в банковской сфере, где Центральный банк активно контролирует исполнение требований, Минэнерго усиливает мониторинг субъектов КИИ в ТЭК через свою рабочую группу.

Итог

Категорирование объектов КИИ в энергетике и ТЭК в 2026 году переходит на принципиально новый уровень детализации. Введение типовых перечней и отраслевых особенностей устраняет неопределённость, но одновременно резко повышает требования к субъектам КИИ: занижать число объектов или категорий теперь рискованно.

Для генерирующих и сетевых компаний ключевой вызов — провести полную инвентаризацию АСУ ТП с учётом всей вертикали (от полевого уровня до диспетчерского центра) и всех межсистемных связей. Сценарии блэкаутов как критерий значимости делают энергообъекты кандидатами на высокие категории, что влечёт расширенные требования к защите и подключению к ГосСОПКА.

Начните с сверки своих систем с типовым перечнем ТЭК и оценки каскадных последствий. Если масштаб работы превышает ресурсы внутренней команды — привлечение внешних экспертов окупится сокращением сроков и минимизацией рисков при проверке ФСТЭК.

Нужна помощь с категорированием объектов КИИ в энергетике? Оставьте заявку — специалисты sertifikat.bz проведут бесплатную экспресс-оценку вашей ситуации и определят объём работ.