Постановление Правительства № 1762: как по-новому проводить категорирование объектов КИИ

С 16 ноября 2025 года Постановление Правительства № 1762 кардинально изменило порядок категорирования объектов КИИ. Из процедуры исключена субъективная оценка критических процессов — теперь субъекты КИИ обязаны сверять свою инфраструктуру с утверждёнными перечнями типовых отраслевых объектов.

Разбираем механизм двухуровневой системы списков и объясняем, почему старые акты категорирования теряют юридическую силу и требуют пересмотра.

Для CISO и юристов организаций-субъектов КИИ принятие Постановления № 1762 означает необходимость пересмотра всех ранее составленных актов и перестройки внутренних процессов. В этой статье разбираем ключевые нововведения, сравниваем старый и новый порядок, приводим таблицу утверждённых отраслевых перечней и даём пошаговый план действий.

Что такое Постановление Правительства № 1762 и почему оно важно

Постановление Правительства РФ от 07.11.2025 № 1762 «О внесении изменений в некоторые акты Правительства Российской Федерации» вносит масштабные поправки в ПП РФ от 08.02.2018 № 127 — базовый документ, определяющий правила категорирования объектов КИИ в России.

Документ опубликован 08.11.2025, вступил в силу 16.11.2025 без переходного периода. Это означает, что все субъекты КИИ — от банков и медицинских учреждений до энергетических компаний и операторов связи — уже сейчас обязаны учитывать новые требования.

Постановление 1762 КИИ стало логическим продолжением Федерального закона от 07.04.2025 № 58-ФЗ, который закрепил полномочия Правительства утверждать перечни типовых отраслевых объектов КИИ и устанавливать отраслевые особенности категорирования.

Ключевые изменения в правилах категорирования

ПП № 1762 принципиально меняет подход к определению объектов, подлежащих категорированию. Рассмотрим каждое нововведение.

Отказ от концепции «критических процессов»

Главное изменение — из процедуры категорирования полностью исключена логика определения критических процессов. Ранее субъект КИИ самостоятельно выявлял свои управленческие, технологические, производственные и иные критические процессы, а затем определял, какие информационные системы их обеспечивают. На практике это приводило к массовому занижению перечней объектов: организации произвольно трактовали понятие «критический процесс» и исключали из категорирования значительную часть инфраструктуры.

Теперь этот субъективный этап полностью упразднён. Вместо него введён объективный критерий — типовые отраслевые объекты КИИ.

Введение типовых отраслевых объектов КИИ

Типовые объекты КИИ — это стандартизированные типы информационных систем (ИС), информационно-телекоммуникационных сетей (ИТКС) и автоматизированных систем управления (АСУ), характерные для каждой отрасли. Перечни таких объектов утверждаются Правительством РФ по согласованию с ФСТЭК России.

Ключевой принцип: категорированию подлежат только те объекты КИИ, которые соответствуют типам, включённым в утверждённые перечни. При этом в перечни включаются исключительно типы систем, обладающие признаком значимости.

Отраслевые особенности категорирования

Помимо перечней, для каждой отрасли Правительство утверждает отраслевые особенности категорирования — специальные правила расчёта показателей критериев значимости с учётом специфики отрасли. Это означает, что банк и завод будут оцениваться по разным метрикам, что существенно повышает объективность присвоения категорий.

Новый состав и функции комиссии по категорированию

Изменились задачи комиссии по категорированию. Теперь комиссия обязана:

• Выявлять объекты КИИ, соответствующие типовым отраслевым перечням (вместо определения критических процессов)

• Проводить оценку по показателям критериев значимости с учётом утверждённых отраслевых особенностей

• Включать в свой состав лиц, определённых нормативными актами по отраслевым особенностям

Обязательное предоставление доменных имён и IP-адресов

При подаче сведений о результатах категорирования во ФСТЭК России теперь обязательно указывать доменные имена и сетевые адреса объектов КИИ, подключённых к сети Интернет. Это требование связано с Приказом ФСТЭК № 236 и направлено на повышение прозрачности защиты критической инфраструктуры.

Двухуровневая система списков: как это работает

Правила категорирования 2025 года ввели принципиально новую двухуровневую архитектуру определения объектов КИИ.

Верхний уровень — государственные перечни

Правительство РФ по каждой из 14 отраслей КИИ утверждает:

1. Перечни типовых отраслевых объектов КИИ — директивный список типов ИС, ИТКС и АСУ, подлежащих категорированию

2. Отраслевые особенности категорирования — правила оценки показателей критериев значимости для конкретной отрасли

Нижний уровень — перечень субъекта КИИ

Организация-субъект КИИ формирует внутренний перечень конкретных систем, которые соответствуют типовым объектам из государственных перечней. Именно эти системы подлежат категорированию.

Новый порядок категорирования: пошаговый алгоритм

Процедура категорирования объектов КИИ после вступления в силу ПП № 1762 выглядит следующим образом:

1. Изучение типовых перечней. Комиссия по категорированию запрашивает перечни типовых отраслевых объектов КИИ для своей отрасли (или нескольких отраслей, если организация работает в нескольких сферах).

2. Инвентаризация инфраструктуры. Проводится полная инвентаризация ИС, ИТКС и АСУ организации с фиксацией доменных имён и сетевых адресов.

3. Сопоставление с перечнями. Каждая выявленная система сверяется с типовыми отраслевыми объектами. Системы, соответствующие типовым, включаются в перечень объектов КИИ субъекта.

4. Оценка по критериям значимости. Для каждого объекта проводится оценка по показателям критериев значимости с учётом утверждённых отраслевых особенностей.

5. Присвоение категории. По результатам оценки объекту присваивается одна из трёх категорий значимости (1 — высшая, 2, 3) или устанавливается отсутствие необходимости в присвоении категории.

6. Направление сведений во ФСТЭК. Результаты категорирования, включая доменные имена и IP-адреса, направляются в ФСТЭК России.

Важно: если в процессе инвентаризации выявлены системы, которые обладают признаками значимости, но не включены в утверждённые перечни, субъект КИИ обязан направить предложение об их включении в соответствующий перечень.

Какие отраслевые перечни уже утверждены

На февраль 2026 года ведомства утвердили перечни типовых объектов КИИ для большинства отраслей:

Параллельно ФСТЭК подготовила проект единого перечня типовых отраслевых объектов КИИ, объединяющего все ведомственные перечни в один документ для 14 отраслей. Ожидаемый срок утверждения — до 01.04.2026.

Что касается отраслевых особенностей категорирования, на февраль 2026 года утверждены два документа:

• ПП от 16.01.2026 № 4 — отраслевые особенности для сферы атомной энергии

• ПП от 06.02.2026 № 92 — отраслевые особенности для банковской сферы и иных сфер финансового рынка (вступило в силу 15.02.2026)

Остальные 11 отраслевых актов ожидаются к апрелю 2026 года.

Усиление контроля и новые обязанности госорганов

ПП № 1762 существенно ужесточает механизмы государственного контроля. Теперь уполномоченные государственные органы обязаны сообщать в ФСТЭК о следующих нарушениях:

• Несоблюдение субъектом КИИ утверждённых отраслевых особенностей категорирования

• Выявление неактуальных сведений о категорировании, ранее поданных субъектом

• Обнаружение некатегорированных объектов, подпадающих под типовые отраслевые перечни

Фактически это создаёт систему «двойного контроля»: ФСТЭК проверяет субъектов при плановых проверках, а отраслевые ведомства информируют регулятора об обнаруженных нарушениях в рамках своей деятельности.

Штрафы и ответственность за нарушения

Неисполнение требований по категорированию объектов КИИ влечёт серьёзную ответственность:

Кроме того, по ст. 274.1 УК РФ неправомерное воздействие на критическую информационную инфраструктуру грозит наказанием до 10 лет лишения свободы.

Статистика правоприменения подтверждает серьёзность намерений регулятора: в 2024 году более 300 организаций привлечены к административной ответственности, а за 10 месяцев 2025 года при проверке свыше 700 объектов КИИ выявлено более 1 100 нарушений. При этом 98% нарушений связаны с расхождением между фактическим составом объектов и данными реестра ФСТЭК — именно ту проблему, которую ПП № 1762 призвано решить.

Что делать субъектам КИИ прямо сейчас

Несмотря на то что единый перечень и большинство отраслевых особенностей ещё не утверждены, субъектам КИИ необходимо начать подготовку уже сейчас. Вот конкретные шаги:

1. Проведите инвентаризацию ИТ-инфраструктуры. Составьте полный реестр всех ИС, ИТКС и АСУ организации с фиксацией доменных имён и IP-адресов. Это потребуется при подаче обновлённых сведений во ФСТЭК.

2. Изучите уже утверждённые перечни. Запросите перечни типовых объектов КИИ для вашей отрасли у уполномоченного ведомства. Сопоставьте свою инфраструктуру с типовыми объектами.

3. Обновите состав комиссии по категорированию. Проверьте, соответствует ли текущий состав комиссии новым требованиям. При необходимости включите в комиссию лиц, предусмотренных отраслевыми нормативными актами.

4. Проведите GAP-анализ. Сравните ваши текущие акты категорирования с новыми требованиями ПП № 1762. Определите расхождения и составьте план корректирующих мероприятий.

5. Актуализируйте внутреннюю документацию. Исключите из всех организационно-распорядительных документов упоминания «критических процессов» и приведите терминологию в соответствие с новой редакцией ПП № 127.

6. Спланируйте бюджет. Повторное категорирование — это затраты на инвентаризацию, экспертизу, доработку документации и подачу сведений. Заложите эти расходы в бюджет ИБ на 2026 год.

Переходный период: важные нюансы

Формально ПП № 1762 не предусматривает переходного периода. Однако на практике существует правовой разрыв: нормативные требования уже действуют, но полная методическая база (единый перечень типовых объектов и 13 актов об отраслевых особенностях) ещё не утверждена.

Выход из этой ситуации предусмотрен переходной нормой ФЗ № 58-ФЗ: до утверждения перечней и отраслевых особенностей категорирование проводится по действующему порядку ПП № 127. Но как только отраслевые документы будут приняты, субъекты обязаны привести результаты категорирования в соответствие с новыми правилами.

Для финансового сектора этот момент уже наступил: ПП № 92 от 06.02.2026 вступило в силу 15.02.2026, и все кредитные организации, микрофинансовые организации, бюро кредитных историй и оператор цифрового рубля обязаны пересмотреть результаты категорирования.

Связь с другими нормативными изменениями

Постановление 1762 КИИ — часть масштабной реформы законодательства о критической информационной инфраструктуре. Основные сопутствующие изменения:

• ФЗ от 07.04.2025 № 58-ФЗ — поправки в 187-ФЗ: закрепление типовых перечней и отраслевых особенностей, исключение ИП из субъектов КИИ, обязанность уведомлять ФСТЭК об изменении наименования, домена и IP объекта в течение 10 дней

• ФЗ от 31.07.2025 № 325-ФЗ — национальный контроль над КИИ, ограничения иностранного участия в субъектах КИИ (вступает 01.03.2026)

• ПП от 19.09.2024 № 1281 — отмена этапа формирования перечня объектов КИИ для согласования с ФСТЭК

• Приказ ФСТЭК № 236 — новые требования к подаче сведений о доменных именах и IP-адресах

Все эти документы формируют единую систему: государство переходит от субъективного подхода к категорированию КИИ к директивному, стандартизированному и контролируемому.

Заключение

Постановление Правительства № 1762 — это не просто очередная правка нормативной базы. Это смена парадигмы: от свободы субъекта в определении «что считать критическим» к чёткому государственному реестру типовых объектов КИИ. Для организаций это означает, что старые акты категорирования теряют актуальность и требуют немедленного пересмотра.

Специалисты центра «Астелс» помогают субъектам КИИ на всех этапах: от инвентаризации инфраструктуры и сопоставления с типовыми перечнями до подготовки обновлённых сведений для ФСТЭК. Если вашей организации необходимо привести категорирование в соответствие с ПП № 1762 — обратитесь за консультацией по телефону 8(800) 70-70-144.