Категорирование КИИ в ТЭК в Серпухове: нефть, газ, АЗС, нефтебазы

Руководителю нефтебазы или сети АЗС в Серпухове поступил вопрос от ИТ-службы или отраслевого регулятора: «А ваша автоматизированная система управления — это критическая информационная инфраструктура? Нужно ли проходить категорирование по 187-ФЗ и подавать сведения во ФСТЭК?» Если точного ответа нет, появляется риск: либо пропустить обязательную процедуру и получить предписание или штраф, либо, наоборот, категорировать лишнее и потратить ресурсы на несуществующие обязанности.

В этой статье разберём, как определить статус субъекта КИИ для предприятий топливно-энергетического комплекса, какие системы из раздела VIII перечня 360-р обычно подлежат категорированию, как присваивается категория и в какие сроки направляются сведения во ФСТЭК. Отдельно остановимся на АЗС, нефтебазах, газораспределении и пересечении с ФЗ-256.

Является ли предприятие ТЭК (добыча, транспорт, переработка, АЗС, нефтебазы, газораспределение) субъектом КИИ

Критерий субъекта установлен п. 8 ст. 2 187-ФЗ: субъект КИИ — это российское юридическое лицо, которому на праве собственности, аренды или ином законном основании принадлежат информационные системы, информационно-телекоммуникационные сети или автоматизированные системы управления, функционирующие в сферах, перечисленных в этой норме. Топливно-энергетический комплекс — одна из таких сфер.

На практике проверить статус можно по трём признакам:

• ОКВЭД и устав. Если основной или дополнительный вид деятельности связан с добычей, транспортировкой, переработкой нефти, газа, угля, сланцев, торфа, оптовой торговлей нефтепродуктами через собственную нефтебазу — вы в зоне ТЭК.
• Лицензии и разрешения. Лицензия на эксплуатацию взрывопожароопасных производственных объектов, свидетельство о регистрации ОПО, паспорт безопасности объекта ТЭК — косвенные признаки.
• Фактически используемые системы. Наличие АСУ ТП резервуарного парка, SCADA магистрального трубопровода, автоматики газораспределительной станции, телеметрии скважин и т.п. — прямой признак.

Пограничные случаи в отрасли:

Если сомневаетесь, мы бесплатно проверим статус при заказе категорирования — по ОКВЭД, лицензиям, уставу и фактическим системам. До оплаты скажем, есть ли у вас обязанности субъекта КИИ.

Какие системы обычно становятся объектами КИИ в отрасли

С 26.02.2026 действует единый перечень типовых отраслевых объектов — распоряжение Правительства № 360-р. В разделе VIII (ТЭК) перечислены технологические системы, соответствующие процессам добычи, транспорта, переработки и хранения. Категорированию подлежат системы, которые соответствуют этим типам.

Важно: отраслевых особенностей категорирования для ТЭК не принято, поэтому применяется общий порядок ПП РФ № 127 и перечень 360-р. Это означает, что соответствие типовым объектам — отправная точка, а далее идёт расчёт показателей значимости.

Как присваивают категорию: показатели значимости для предприятий ТЭК

Категория (I, II, III) присваивается по наихудшему сценарию целенаправленной атаки: прекращение функционирования или нарушение заданных параметров проектного или штатного режима. Для ТЭК чаще всего работают четыре группы показателей из ПП РФ № 127:

• Экологическая значимость (показатель 11). Ущерб окружающей среде: территория загрязнения или число людей, пострадавших от экологического инцидента. Порог III категории — территория в пределах одного муниципального образования (с населением от 2 тыс. человек) или внутригородской территории города федерального значения, либо от 2 тыс. до 1 млн человек.
• Социальная значимость (показатель 1). Ущерб жизни и здоровью: III категория — от 1 до 50 человек.
• Объекты жизнеобеспечения (показатель 2). Если нарушение работы объекта затрагивает газо-, тепло-, электро- или водоснабжение населения: порог III — территория в пределах 1 МО или от 2 тыс. людей.
• Экономическая значимость. Для организаций с госучастием, стратегических АО и предприятий — снижение годового дохода от 1% до 10% даёт III категорию (показатель 8). Для бюджетного ущерба (показатель 9) порог III — от 0,0003% до 0,0006% прогнозного дохода федерального бюджета за 3 года.

Если ни один показатель не превышает минимального порога, категория не присваивается. Это тоже юридически значимый результат: его нужно оформить актом и направить сведения во ФСТЭК.

Порядок и сроки категорирования

Пересмотр категории — не реже раза в 5 лет, если отраслевые особенности не установят иное. Для ТЭК пока особенностей нет, поэтому действует общий пятилетний срок.

Особенности отрасли, о которых забывают

• Пересечение с ФЗ-256. Закон № 256-ФЗ о безопасности объектов ТЭК касается физической защиты от актов незаконного вмешательства. Категорирование по 187-ФЗ — про информационную безопасность и устойчивость ИТ/АСУ. Это разные процедуры, но паспорт безопасности объекта ТЭК используется как исходные данные для категорирования.
• Экологический ущерб как ключевой показатель. Для нефтебаз, резервуарных парков, трубопроводов именно экологический сценарий часто даёт III категорию: разлив нефтепродуктов, утечка газа. Важно честно оценивать возможную территорию загрязнения.
• Промышленная безопасность ОПО. Декларация промышленной безопасности — обязательный исходный документ для расчёта показателей. Без неё сложно подтвердить масштаб последствий.
• Распределённые объекты (АЗС). Сами АЗС не объекты КИИ, но если у вас есть централизованная ИС, которая управляет резервуарным парком или технологическими процессами нефтебазы, она может быть объектом. Разделяйте розничную ИС и технологическую АСУ.
• Не только АСУ ТП. В разделе VIII перечня 360-р корпоративные системы (ERP, MES) не перечислены, но если ИС напрямую участвует в управлении технологическим процессом (например, диспетчерская система), она может подпадать под типовой объект. Инвентаризация должна это учитывать.

Разбор на примере: нефтебаза с резервуарным парком и собственной сетью АЗС

Как это делали:

• Запросили паспорт безопасности объекта ТЭК, декларацию ПБ ОПО, перечень систем и сведения о технологических процессах.
• Сопоставили с разделом VIII перечня 360-р: АСУ ТП резервуарного парка и АСУ ТП налива соответствуют типу «нефтебазы и резервуарные парки». ИС учёта и видеонаблюдение — нет.
• Для АСУ ТП резервуарного парка рассчитали экологический показатель (11а): наихудший сценарий — разлив нефтепродуктов на территории в пределах одного муниципального образования с населением более 2 тыс. человек. Это соответствует III категории.
• Для АСУ ТП налива показатели не превысили минимальных порогов — категория не присвоена. Это тоже оформили.
• Во ФСТЭК направили сведения по форме приказа № 236 (в ред. 247) на оба объекта: один — с III категорией, второй — с отсутствием необходимости категории. Срок — 10 рабочих дней после утверждения акта.
• Дальше: для значимого объекта III категории обязательны требования приказов ФСТЭК 235 и 239, подключение к ГосСОПКА, применение доверенных ПАК; для объекта без категории — информирование НКЦКИ об инцидентах в течение 24 часов.

Что будет, если не провести категорирование

ФСТЭК ведёт контроль за правильностью отнесения объектов к значимым. Плановая проверка возможна после внесения объекта в реестр (через 3 года), внеплановая — при инциденте с негативными последствиями, по поручению Президента или Правительства, по требованию прокурора. Если сведения о категорировании не поданы, ФСТЭК направляет требование с обязательным сроком исполнения.

Ответственность:

• КоАП 19.7.15 ч. 1 — непредставление или нарушение сроков сведений о категорировании: должностные 10–50 тыс. ₽, юрлица 50–100 тыс. ₽; повторное (ч. 3) — должностные 50–100 тыс. ₽, юрлица 100–200 тыс. ₽.
• КоАП 13.12.1 ч. 1 — нарушение требований к созданию систем безопасности значимых объектов или обеспечению их безопасности: должностные 10–50 тыс. ₽, юрлица 50–100 тыс. ₽.
• КоАП 13.12.2 (с 20.04.2026) — нарушение правил эксплуатации средств и систем КИИ или правил доступа: должностные 10–50 тыс. ₽, юрлица 100–500 тыс. ₽.
• УК 274.1 — неправомерный доступ к КИИ, создание вредоносных программ, нарушение эксплуатации с тяжкими последствиями — вплоть до 10 лет лишения свободы.

Отраслевой регулятор (Минэнерго в рамках мониторинга достоверности сведений) может выехать на объект, выявить типовой объект без категорирования и сообщить во ФСТЭК.

После категорирования: что обязательно для значимых и незначимых объектов

Для всех субъектов КИИ (даже если объекты без категории) действует обязанность информировать НКЦКИ об инцидентах и атаках. Срок — 24 часа для иных объектов КИИ. Для значимых объектов (I, II, III категории) — 3 часа с момента обнаружения.

Для значимых объектов дополнительно:

• Выполнение требований приказа ФСТЭК № 239 (меры защиты).
• Обеспечение непрерывного взаимодействия с ГосСОПКА (приказ ФСБ 548).
• Применение доверенных ПАК (постановление 1912): с 01.09.2024 нельзя использовать недоверенные ПАК, приобретённые после этой даты; к 31.12.2029 доля доверенных должна быть 100%.
• С 01.03.2027 вводятся показатели защищённости Кзи (раз в 6 месяцев) и уровня зрелости Узи (раз в 3 года) по приказу ФСТЭК № 220.

По модели угроз и организационным документам по ИБ даём методическое сопровождение: документ готовит ваш специалист по нашему шаблону, мы консультируем и проверяем. Внедрение сертифицированных СЗИ и аттестация значимых объектов — через партнёра-лицензиата ФСТЭК.

Что мы подготовим и сколько это стоит

• Проверка, является ли организация субъектом КИИ (бесплатно при заказе категорирования).
• Проект приказа о постоянно действующей комиссии.
• Инвентаризация ИС, ИТКС, АСУ и сопоставление с перечнем 360-р.
• Расчёт показателей значимости по ПП 127 с исходными данными.
• Проект акта категорирования (допускается единый на несколько объектов).
• Сведения по форме ФСТЭК (приказ 236 в ред. 247), в том числе об отсутствии категории.
• Сопровождение до внесения в реестр / принятия сведений ФСТЭК, правки по замечаниям — бесплатно.

Цена ниже рынка, потому что мы работаем дистанционно по опроснику и перечню систем, используем отработанные типовые решения, а документы готовит специалист по защите информации. Точную стоимость рассчитаем бесплатно в течение рабочего дня после получения опросника.

Частые вопросы

Мы готовы помочь предприятиям ТЭК в Серпухове и по всей России. Позвоните или оставьте заявку — без оплаты проверим, являетесь ли вы субъектом КИИ, и сориентируем по срокам и составу работ. Подробнее об услуге: категорирование объектов КИИ. Сопутствующие документы: модель угроз ИБ, организационные документы по информационной безопасности.