Согласно Федеральному закону от № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации», субъекты критической информационной инфраструктуры (СКИИ) обязаны выявлять объекты КИИ и направлять сведения о них на категорирование в ФСТЭК России․ Однако не у всех организаций имеются информационные системы, попадающие под критерии критической информационной инфраструктуры․ В таком случае формируется Акт об отсутствии объектов КИИ, подлежащих категорированию․

Данная статья подробно разбирает правовые основания, порядок составления, структуру документа и предоставляет рекомендации по заполнению актуального образца на 2024–2026 годы․

Правовая база и нормативные акты

Основой для составления Акта служит комплекс нормативных правовых актов:

• 187-ФЗ (ст․ 7, ч․ 3): СКИИ в течение 30 календарных дней со дня выявления объекта КИИ направляет сведения о нем в ФСТЭК России․ Если объекты не выявлены — формируется Акт․
• Постановление Правительства РФ от № 130: Утверждает критерии значимости объектов КИИ (Приложение № 1) и порядок категорирования․
• Приказ ФСТЭК России от № 27 (в ред․ от 2024 г․): Устанавливает форму уведомления о выявлении объектов КИИ и порядок взаимодействия․ Важно: Единой утвержденной формы «Акта об отсутствии» на федеральном уровне не существует, однако Форма уведомления (Приложение к Приказу № 27) подразумевает возможность указания сведений об отсутствии объектов․
• Приказ ФСТЭК России от № 45: Об утверждении Порядка категорирования объектов КИИ (актуальная редакция)․

Кто и когда обязан составлять Акт?

Субъекты, обязанные проводить выявление:

1. Организации, включенные в Реестр СКИИ (ведется ФСТЭК России)․
2. Организации, осуществляющие деятельность в сферах критической информационной инфраструктуры (энергетика, атомная индустрия, транспорт, связь, финансы, здравоохранение, водоснабжение, оборона, наука, управление государством и др․), даже если они еще не внесены в Реестр, но соответствуют критериям ст․ 3 187-ФЗ․

Сроки составления:

• Первичное выявление: В течение 30 календарных дней с момента включения в Реестр СКИИ или возникновения оснований для признания СКИИ․
• Ежегодная актуализация: До 1 марта года, следующего за отчетным (согласно п․ 10 Постановления № 130, сведения актуализируются ежегодно)․ Если объектов нет — подтверждается Актом․
• Внепланово: При реорганизации, смене профиля деятельности, выводе систем из эксплуатации․

Алгоритм определения: есть ли у вас объекты КИИ?

Перед составлением Акта проведите инвентаризацию информационных систем по чек-листу:

Шаг 1․ Определите сферу деятельности

Соответствует ли ваша организация одной из 11 сфер КИИ (энергетика, связь, транспорт, банки/финансы, здравоохранение, атомная, ракетно-космическая, гидротехнические сооружения, опасные производственные объекты, гос․ управление, наука)?

Шаг 2․ Проверьте критерии значимости (Приложение № 1 к Постановлению № 130)

Объект КИИ — это АИС (автоматизированная информационная система) или АСУ ТП (автоматизированная система управления технологическими процессами), которая:

• Обеспечивает жизнедеятельность объекта КИИ (управляет технологическим процессом)․
• Ее отказ/нарушение работы приведет к недопустимым последствиям (гибель людей, экологическая катастрофа, остановка стратегического предприятия, нарушение обороноспособности и т․д․)․
• Соответствует количественным порогам (число пользователей, объем данных, мощность и т․д․ — см․ Приложение № 1 к Пост․ № 130 для вашей сферы)․

• Есть системы, подпадающие под критерии → Заполняете Уведомление о выявлении (Форма Приказа № 27) и отправляете в ФСТЭК․
• Систем нет или они не достигают порогов значимости → Составляете Акт об отсутствии объектов КИИ, подлежащих категорированию․

Структура и реквизиты Акта (Образец заполнения)

Так как единой формы нет, Акт оформляется на бланке организации в соответствии с требованиями ГОСТ Р 7․0․97-2016» (Система стандартов по информации, библиотечному и издательскому делу․ Документы административные․ Общие требования к исполнению) и ст․ 9 187-ФЗ (реквизиты СКИИ)․

Обязательные реквизиты:

1. Наименование документа: АКТ об отсутствии объектов критической информационной инфраструктуры, подлежащих категорированию․
2. Дата составления (число, месяц словами, год)․
3. Место составления (город/населенный пункт)․
4. Сведения о СКИИ (Заявителе):
   • Полное и сокращенное наименование организации․
   • ИНН / КПП / ОГРН․
   • Юридический адрес․
   • Номер записи в Реестре СКИИ (если организация уже внесена в реестр)․
5. Состав комиссии по выявлению объектов КИИ: ФИО, должности членов комиссии (председатель, секретарь, члены)․ Приказ о создании комиссии — приложение․
6. Основание для составления: Ссылка на ст․ 7 187-ФЗ, Постановление № 130, Приказ ФСТЭК № 27, внутренний приказ/распоряжение․
7. Ход работы комиссии (суть акта): Описание проделанной работы: проведена инвентаризация АИС/АСУ ТП, сопоставлены с критериями Приложения № 1 к Пост․ № 130, проанализированы реестры информационных систем․
8. Подписи: Председателя комиссии, членов комиссии, секретаря (с расшифровкой подписей)․
9. Печать организации (при наличии)․

Образец заполнения Акта (Текстовый шаблон)

Ниже приведен универсальный шаблон․ Текст в квадратных скобках [ ] замените на свои данные․

УТВЕРЖДАЮ
Генеральный директор
ООО «Ромашка»
Иванов И․И․
«___» _____________ 202_ г․

АКТ
об отсутствии объектов критической информационной инфраструктуры,
подлежащих категорированию

г․ Москва «15» января 2025 года

Мы, нижеподписавшиеся:
Председатель комиссии: Петров Петр Петрович — Директор по ИБ ООО «Ромашка»
Секретарь комиссии: Сидорова Анна Сергеевна — Старший инженер отдела ИБ
Член комиссии: Козлов Алексей Викторович, Начальник IT-отдела
Член комиссии: Смирнова Елена Владимировна, Юрисконсульт

составленные в соответствии с Приказом Генерального директора ООО «Ромашка» от № 5-од «О создании комиссии по выявлению объектов КИИ»,

СОСТАВИЛИ ПРЕДСТАВЛЕННЫЙ АКТ

ОСНОВАНИЕ: Федеральный закон от № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» (ст․ 7, ч․ 3), Постановление Правительства РФ от № 130, Приказ ФСТЭК России от № 27․

СВЕДЕНИЯ О СУБЪЕКТЕ КРИТИЧЕСКОЙ ИНФОРМАЦИОННОЙ ИНФРАСТРУКТУРЫ:
Полное наименование: Общество с ограниченной ответственностью «Ромашка»․
Сокращенное наименование: ООО «Ромашка»․
ИНН: ### / КПП: 770101001․
ОГРН: 1027700123456․
Юридический адрес: 101000, г․ Москва, ул․ Примерная, д․ 1, офис 10․
Номер записи в Реестре СКИИ: № 12345-ИИ (при наличии)․

ХОД РАБОТЫ КОМИССИИ:
В период с по комиссия провела работы по выявлению объектов критической информационной инфраструктуры в структуре ООО «Ромашка»․
Выполнены следующие действия:
Проанализирован реестр информационных систем организации (утв․ приказом от № 1-од), всего учтено 12 АИС и 2 АСУ ТП․
Проведено сопоставление функционального назначения каждой системы с перечнем сфер деятельности КИИ (ст․ 3 187-ФЗ) и критериями значимости (Приложение № 1 к Пост․ № 130) для сферы «Здравоохранение» / «Связь» / «Финансы» [выберите нужное]․
Установлено, что ни одна из эксплуатируемых информационных систем не обеспечивает управление технологическими процессами объектов КИИ и/или не достигает установленных количественных порогов значимости (пороговые значения: число пользователей, объем обрабатываемых ПДн/ГИС/КГИ и т․д․)․
Выявленные АИС используются исключительно для офисной работы, учета кадров, документооборота и внутренней отчетности, не связаны с управлением объектами критической инфраструктуры․

На основании проведенных работ комиссия единогласно УСТАНОВИЛА:

В структуре Общества с ограниченной ответственностью «Ромашка» на дату составления настоящего Акта ОТСУТСТВУЮТ объекты критической информационной инфраструктуры, подлежащие категорированию в порядке, установленном Федеральным законом от № 187-ФЗ и Постановлением Правительства РФ от № 130․

Настоящий Акт составлен в 1 (одном) экземпляре, который хранится в секретариате ООО «Ромашка» и направляется в ФСТЭК России в порядке, установленном Приказом ФСТЭК России № 27․

Председатель комиссии: /Петров П․П․/ Петров Петр Петрович
Секретарь комиссии: /Сидорова А․С․/ Сидорова Анна Сергеевна
Член комиссии: /Козлов А․В․/ Козлов Алексей Викторович
Член комиссии: /Смирнова Е․В․/ Смирнова Елена Владимировна

М․П․

Порядок направления Акта в ФСТЭК России

С 2023 года взаимодействие с ФСТЭК осуществляется преимущественно в электронном виде через ГИС «КИИ» (Государственная информационная система «Критическая информационная инфраструктура») или личный кабинет на портале ФСТЭК (lk․fstec․ru)․

Способы подачи:

1. Через ГИС «КИИ» (рекомендуемый): Авторизация по ЭП ОГРН/СНИЛС -> Раздел «Сведения об объектах КИИ» -> Выбор действия «Уведомить об отсутствии объектов» (или заполнение формы уведомления с нулевым количеством объектов)․
2. Через Личный кабинет СКИИ на сайте ФСТЭК: Аналогичный функционал․
3. Почта РФ (ЕМС) / Курьерская служба: Только при невозможности электронной подачи (требуется нотариально заверенная копия или оригинал с печатью/подписью)․ Адрес: 105064, г․ Москва, ул․ Кутузовская, д․ 10, ФГУП «Связь-Информ» (или актуальный адрес приемной ФСТЭК)․

Срок подачи:

Не позднее 30 календарных дней со дня выявления (для вновь включенных в реестр) или до 1 марта текущего года (при ежегодной актуализации)․

Типичные ошибки и риски

Особенности 2024–2026 годов: на что обратить внимание

• Расширение реестра СКИИ: ФСТЭК активно включает новые организации (в т․ч․ средний бизнес в сфере здравоохранения, образования, логистики)․ Проверяйте реестр на сайте ФСТЭК раз в квартал․
• Обновление критериев значимости: В 2023–2024 гг․ вносились изменения в Приложение № 1 к Пост․ № 130 для отдельных сфер (например, для «Здравоохранения» — Приказ ФСТЭК от № 269)․ Используйте только актуальные редакции при сверке порогов․
• Обязательность ГИС «КИИ»: Переход на полноценную электронную подачу обязателен․ Бумажные акты принимаются как исключение․
• Связь с 152-ФЗ и 149-ФЗ: Даже если объекта КИИ нет, системы могут быть ОИС (областью информационной безопасности) по 152-ФЗ или ГИС по 149-ФЗ․ Акт об отсутствии КИИ не освобождает от требований по защите ПДн и ГИС․

Чек-лист для ответственного сотрудника (КИБ/ЦИБ/ИБ)

1. [ ] Проверить актуальность включения организации в Реестр СКИИ (сайт ФСТЭК)․
2. [ ] Издать Приказ о создании комиссии по выявлению (если нет действующего)․
3. [ ] Собрать актуальный реестр ИС/АСУ ТП организации․
4. [ ] Скачать актуальное Приложение № 1 к Пост․ № 130 для своей сферы․
5. [ ] Провести заседание комиссии, зафиксировать протокол․
6. [ ] Составить Акт об отсутствии (по образцу выше)․
7. [ ] Подписать Акт всеми членами комиссии, поставить печать․
8. [ ] Загрузить скан/данные в ГИС «КИИ» / ЛК ФСТЭК до дедлайна (1 марта или 30 дней)․
9. [ ] Сохранить квитанцию о приеме/регистрации в ФСТЭК (номер регистрации, дата)․
10. [ ] Заархивировать пакет документов (Приказ, Протокол, Акт, Квитанция) на 5 лет минимум․

Составление Акта об отсутствии объектов КИИ, подлежащих категорированию — это обязательная процедура для любого СКИИ, не имеющего систем, попадающих под критерии Постановления № 130․ Документ прост по форме, но требует качественной предварительной аналитической работы (инвентаризации и экспертизы систем)․ Формальный подход несет риски как штрафных санкций, так и пропуска реальных объектов КИИ, что ведет к нарушению требований по защите КИИ (Приказ ФСТЭК № 17, № 239 и др․)․

Используйте приведенный выше образец как базу, адаптируйте под структуру своей организации и актуальные нормативные акты на дату составления․ Регулярная актуализация (раз в год) — залог спокойствия при проверках регулятора․

Данная статья носит информационно-справочный характер и не является юридической консультацией․ Нормативная база может меняться; Перед подачей документов рекомендуется сверить требования с актуальными редакциями 187-ФЗ, Постановления № 130 и Приказов ФСТЭК России на официальном портале fstec․ru или в консультационно-правовых системах (КонсультантПлюс, Гарант)․