Особенности категорирования КИИ в сфере атомной энергии (Постановление № 4)

16 января 2026 года Правительство РФ утвердило Постановление № 4 — первый отраслевой нормативный акт, устанавливающий особенности категорирования объектов КИИ в сфере атомной энергии. Документ определяет жёсткие критерии оценки инцидентов на объектах ядерной инфраструктуры, конкретизирует методы расчёта последствий и закрепляет участие ГК «Росатом» в комиссиях по категорированию.

Четыре метода оценки: от экспертного анализа до моделирования атак

Одна из главных новаций ПП № 4 — чёткая регламентация методов оценки последствий компьютерных инцидентов. В отличие от общих правил, где методология оставалась на усмотрение комиссии, атомная отрасль получила жёсткий набор из четырёх подходов.

На практике комиссия комбинирует несколько методов. Например, для АСУ ТП энергоблока АЭС целесообразно использовать моделирование атак (проработать сценарий компрометации контроллеров системы управления реактором) в сочетании с расчётным методом (определить масштаб потенциального радиационного выброса и площадь поражения).

Важная деталь: при моделировании инцидентов Постановление требует учитывать историю атак на конкретном объекте. Это значит, что если предприятие ранее фиксировало попытки проникновения (через ГосСОПКА или собственный SOC), эти данные обязаны быть включены в расчёт.

Комиссия по категорированию: состав и роль Росатома

Постановление № 4 устанавливает, что для проведения категорирования на каждом объекте КИИ создаётся постоянно действующая комиссия. Её ключевая особенность в атомной отрасли — возможность включения представителей ГК «Росатом», его учреждений, филиалов и подведомственных организаций.

Рекомендуемый состав комиссии

• Руководитель субъекта КИИ (или его заместитель) — председатель комиссии;
• Специалисты по информационной безопасности — штатные сотрудники отдела ИБ;
• Специалисты по ядерной и радиационной безопасности — инженеры, знающие специфику технологических процессов;
• ИТ-специалисты — администраторы АСУ ТП, сетевых и информационных систем;
• Представители Росатома — эксперты из центрального аппарата или отраслевых центров компетенций;
• Юристы — для оценки правовых последствий и международных обязательств;
• Бизнес-владельцы процессов — руководители цехов, производственных площадок.

Присутствие представителей Росатома в комиссии — это не формальность, а механизм вертикального контроля. Госкорпорация обладает компетенциями в области ядерной безопасности, которых может не быть у конкретного подведомственного предприятия, и обеспечивает единообразие подходов к категорированию по всей отрасли.

Подробнее о формировании комиссии читайте в нашем пошаговом руководстве по категорированию.

Сравнение с отраслевыми особенностями в других секторах

Чтобы оценить специфику атомной отрасли, полезно сравнить подход ПП № 4 с отраслевыми документами других секторов.

Как видно из таблицы, атомная отрасль — единственная, где экологический критерий играет приоритетную роль, а набор методов оценки является наиболее строгим. Для сравнения: в банковской сфере доминирует экономический критерий, а в здравоохранении — социальный.

Практический чек-лист: как пройти категорирование на атомном объекте

На основании анализа ПП № 4 и нашего опыта работы с субъектами КИИ из различных отраслей мы подготовили пошаговый алгоритм для предприятий атомной сферы.

Общий срок категорирования для одного предприятия атомной отрасли — от 3 до 6 месяцев, в зависимости от количества объектов КИИ и сложности АСУ ТП. Для крупных площадок (АЭС, обогатительные комбинаты) срок может достигать 9–12 месяцев.

Типичные ошибки и подводные камни при категорировании в атомной сфере

По опыту нашей работы с субъектами КИИ различных отраслей (более 7 000 выполненных проектов в 60+ городах), мы выделяем ряд ошибок, особенно критичных для атомного сектора.

Ошибка 1. Игнорирование вспомогательных систем

Предприятия фокусируются на АСУ ТП энергоблоков, но забывают про системы физической защиты, корпоративные сети, ИС медико-санитарных частей. Между тем, компрометация этих систем может быть использована как «точка входа» для атаки на технологический сегмент. Подробнее о распространённых упущениях — в статье «Ошибки при взаимодействии со ФСТЭК».

Ошибка 2. Занижение экологических последствий

Комиссия оценивает сценарий кибератаки как «маловероятный» и присваивает объекту заниженную категорию или вовсе снимает категорию. ФСТЭК проверяет обоснованность расчётов — и при обнаружении несоответствий возвращает документы с требованием пересмотра.

Ошибка 3. Формальное применение методов оценки

Использование только экспертного метода без моделирования атак. ПП № 4 прямо предусматривает четыре метода, и для объектов с АСУ ТП применение моделирования и расчётного метода является ожидаемым регулятором.

Ошибка 4. Непривлечение представителей Росатома

Формально Постановление формулирует участие Росатома как «возможное», но на практике отсутствие представителей госкорпорации в комиссии вызывает вопросы при проверке и может привести к несогласованности с отраслевой методологией.

Ошибка 5. Отсутствие учёта истории инцидентов

Постановление требует учитывать историю компьютерных атак при моделировании сценариев. Если предприятие не ведёт реестр инцидентов или не подключено к ГосСОПКА, это не только нарушение 187-ФЗ, но и пробел в исходных данных для категорирования.

Дерево решений: нужна ли вашему объекту высшая категория?

Используйте этот алгоритм для предварительной оценки:

1. Объект управляет ядерной установкой или реактором? Да → вероятна I категория
2. Инцидент может привести к выбросу радиоактивных веществ? Да → вероятна I категория
3. Объект связан с гособоронзаказом? Да → вероятна I или II категория
4. Инцидент затрагивает учёт ядерных материалов? Да → вероятна II категория
5. Экономический ущерб превышает 5% среднегодового дохода? Да → вероятна II или III категория
6. Объект — корпоративная ИС без связи с технологическими процессами? Возможна III категория или без категории

Обратите внимание: это упрощённая схема для первичной ориентации. Окончательная категория определяется комиссией по результатам полной оценки по всем применимым критериям.

Итог

Постановление Правительства РФ № 4 от 16 января 2026 года — это не просто очередной нормативный акт, а фундаментальное изменение подхода к категорированию КИИ в атомной энергетике. Впервые на уровне Правительства закреплены отраслевые методы оценки (включая моделирование кибератак и расчёт физических последствий аварий), исключены неприменимые общие показатели и обеспечено участие Росатома как отраслевого эксперта.

Для CISO и руководителей подразделений ИБ атомных предприятий это означает необходимость пересмотра ранее выполненных актов категорирования (подробнее — в статье о «второй волне» категорирования), перехода от формального подхода к реальной оценке рисков и выстраивания взаимодействия с представителями госкорпорации.

Ключевые рекомендации:

• Не откладывайте пересмотр — штрафы за нарушения КИИ в 2026 году существенно возросли;
• Используйте все четыре метода оценки, особенно моделирование атак для АСУ ТП;
• Учитывайте экологический критерий как приоритетный — радиационные риски всегда поднимают категорию;
• Привлекайте профильных лицензиатов ФСТЭК для объективной оценки.

Нужна помощь с категорированием объектов КИИ в атомной отрасли? Оставьте заявку — специалисты sertifikat.bz проведут бесплатную экспресс-оценку вашей ситуации и помогут определить оптимальную стратегию соответствия требованиям ПП № 4.