Транспортная инфраструктура как КИИ: правила подачи сведений во ФСТЭК и Минтранс

Транспортная отрасль находится под двойным регуляторным контролем — ФСТЭК и Минтранса. В статье разбираем перечень типовых объектов КИИ для воздушного, железнодорожного, морского, автомобильного и внеуличного транспорта, правила подачи сведений и отраслевые критерии значимости.

Методические рекомендации Минтранса от 24.01.2024: пошаговый разбор

24 января 2024 года Минтранс России утвердил Методические рекомендации по категорированию объектов КИИ, функционирующих в сфере транспорта. Документ носит рекомендательный характер, однако на практике ФСТЭК и отраслевые регуляторы ориентируются на него при проверках.

Ключевые положения документа:

1. Формирование комиссии по категорированию. Методические рекомендации предписывают включать в комиссию не только специалистов по ИБ и ИТ, но и представителей эксплуатационных подразделений — диспетчеров, инженеров по безопасности движения, специалистов по транспортной безопасности. Это отличает транспорт от большинства других отраслей.
2. Определение критических процессов. Несмотря на то что ПП № 1762 сместил акцент с критических процессов на типовые перечни, методические рекомендации Минтранса сохраняют дуальный подход: субъект обязан проанализировать как перечень типовых объектов, так и собственные критические процессы.
3. Оценка масштаба последствий. Для транспорта особую роль играет показатель «количество людей, которые лишатся доступа к транспортной услуге». Методика Минтранса даёт ориентировочные пороговые значения.
4. Согласование с Минтрансом. Рекомендации предусматривают этап согласования перечня объектов КИИ, подлежащих категорированию, с профильным департаментом Минтранса до направления сведений во ФСТЭК.

Полный алгоритм категорирования «от нуля до акта» разобран в нашем пошаговом руководстве по категорированию КИИ.

Отраслевые особенности категорирования: критерии значимости для транспорта

Минтранс России разработал проект постановления Правительства «Об утверждении отраслевых особенностей категорирования объектов КИИ в сфере транспорта» в соответствии со статьёй 6 (часть 2, пункт 4) 187-ФЗ. Документ дополняет общие правила Постановления № 127 (в редакции ПП № 1762) транспортной спецификой.

Главная особенность — уточнение показателя «причинение ущерба жизни и здоровью людей» применительно к транспортным авариям и катастрофам. Для транспортной сферы дополнительно учитываются:

• масштаб территории, на которой нарушается транспортное обеспечение (один муниципалитет, субъект РФ, несколько субъектов);
• количество людей, лишившихся возможности пользоваться транспортной инфраструктурой;
• наличие альтернативных маршрутов и видов транспорта;
• продолжительность нарушения функционирования объекта.

Важно: показатель «причинение ущерба транспортным услугам» применяется только к организациям, которые оказывают транспортные услуги для третьих лиц. Если компания использует транспорт исключительно для собственных нужд (например, корпоративный автопарк), этот критерий не применяется.

Матрица типовых объектов КИИ по видам транспорта

Ниже приведена сводная матрица, которую мы составили на основе перечня типовых отраслевых объектов КИИ Минтранса и практики категорирования. Она поможет CIO и CISO транспортных компаний быстро определить, какие системы их предприятия подлежат категорированию.

Используйте эту матрицу как отправную точку для инвентаризации. Сопоставьте каждую строку с системами вашей организации. Если система присутствует — она подлежит категорированию. Если отсутствует в перечне, но участвует в управлении транспортным процессом, — применяйте механизм «снизу вверх».

Чек-лист подачи сведений во ФСТЭК для транспортной организации

Ниже — пошаговый чек-лист, разработанный на основе нашего опыта сопровождения транспортных предприятий. Он учитывает специфику двойного регулирования (ФСТЭК + Минтранс) и требования Приказа ФСТЭК № 236 о предоставлении сведений о доменных именах и IP-адресах.

Этап 1. Подготовка

• Издать приказ о создании комиссии по категорированию (включить представителей службы движения / диспетчеров).
• Провести инвентаризацию всех ИС, АСУ и ИТКС, используемых в транспортной деятельности.
• Сопоставить выявленные системы с перечнем типовых объектов КИИ Минтранса.
• Выявить системы, не входящие в типовой перечень, но обеспечивающие транспортные процессы.

Этап 2. Категорирование

• Для каждого объекта КИИ определить показатели критериев значимости с учётом отраслевых особенностей.
• Рассчитать масштаб последствий: территорию, количество пользователей, продолжительность сбоя.
• Присвоить категорию значимости (I, II, III или без категории).
• Оформить акт категорирования и сопроводительную документацию.

Этап 3. Согласование с Минтрансом

• Направить перечень объектов КИИ в профильный департамент Минтранса для согласования.
• Получить замечания и при необходимости скорректировать перечень.

Этап 4. Подача во ФСТЭК

• Определить адресата: центральный аппарат или территориальное управление (см. таблицу в разделе 4).
• Подготовить форму сведений о результатах категорирования по установленному образцу.
• Включить сведения о доменных именах и IP-адресах каждого объекта КИИ (требование Приказа № 236).
• Направить пакет документов в бумажном и электронном виде.
• Контролировать срок рассмотрения: 30 дней с момента получения ФСТЭК.

Этап 5. Реакция на результат

• При включении в Реестр ЗОКИИ — приступить к разработке мер защиты по Приказу ФСТЭК № 239.
• При возврате сведений — устранить замечания и направить повторно в 10-дневный срок.
• Обеспечить подключение значимых объектов к ГосСОПКА.

Подробнее о стоимости всей процедуры — в нашем разборе «Сколько стоит категорирование КИИ в 2026 году».

Типичные ошибки и подводные камни при категорировании в транспорте

За годы работы с транспортными компаниями мы выявили ряд повторяющихся ошибок, которые приводят к возврату сведений ФСТЭК, штрафам и потере времени.

1. Путаница между КИИ и транспортной безопасностью. Многие CIO воспринимают требования 187-ФЗ как дублирование требований по транспортной безопасности (ФЗ-16). Это разные правовые режимы: транспортная безопасность — это защита от актов незаконного вмешательства (терроризм, диверсии), а КИИ — защита информационных систем от кибератак. Объекты КИИ и объекты транспортной инфраструктуры (ОТИ) могут пересекаться, но не совпадают.

2. Исключение облачных сервисов из периметра категорирования. Системы бронирования, TMS-платформы, ГЛОНАСС-мониторинг зачастую предоставляются по модели SaaS. Субъект КИИ не владеет серверами, но использует систему для обеспечения транспортной деятельности. ФСТЭК считает такие системы объектами КИИ субъекта-пользователя.

3. Занижение категории для систем управления движением. Ссылки на резервирование, ручные режимы управления и дублирующие каналы связи не являются основанием для снижения категории. ФСТЭК оценивает последствия инцидента при полном отказе всех контуров, включая резервные.

4. Подача сведений не в тот орган ФСТЭК. Ошибка описана в разделе 4 настоящей статьи. Для транспортных холдингов с разветвлённой структурой характерна ситуация, когда головная компания подаёт за все дочерние общества в центральный аппарат, тогда как каждая «дочка» должна подавать самостоятельно в территориальное управление.

5. Игнорирование сроков. С 1 сентября 2025 года действуют обновлённые правила, а крайний срок подачи сведений — 1 сентября 2026 года. Штрафы по ст. 13.12.1 КоАП РФ достигают 500 000 рублей для юридических лиц. На рассмотрении находится ст. 13.12.2 с санкциями до 5 000 000 рублей.

6. Неучёт международных стандартов. Авиатранспорт использует международные стандарты (ARINC, DO-178C, ED-202A), для которых отсутствуют полные отечественные аналоги. При категорировании бортовых систем необходимо учитывать эту специфику и готовить обоснование для ФСТЭК.

Итог

Транспортная отрасль находится под двойным регуляторным давлением: помимо ФСТЭК, субъекты КИИ обязаны взаимодействовать с Минтрансом и его подведомственными структурами (Росавиация, Росжелдор, Росморречфлот). Перечень типовых объектов КИИ охватывает все виды транспорта и включает десятки категорий систем — от управления воздушным движением до систем оплаты проезда. Правильное определение адресата подачи сведений (центральный аппарат или территориальное управление ФСТЭК) экономит до двух месяцев. А учёт отраслевых особенностей при расчёте критериев значимости позволяет избежать возвратов и повторных категорирований.

Если вы ещё не приступили к процедуре категорирования, ориентируйтесь на крайний срок — 1 сентября 2026 года. Для организаций с большим парком информационных систем и территориально распределённой инфраструктурой рекомендуем привлечь лицензированного подрядчика, обладающего опытом работы именно в транспортной отрасли.

Нужна помощь с категорированием КИИ в транспортной сфере? Оставьте заявку — специалисты sertifikat.bz проведут бесплатную экспресс-оценку вашей ситуации и определят перечень объектов, подлежащих категорированию.