Организационно-распорядительные документы по безопасности КИИ в Ставрополе: приказы ФСТЭК № 235 и № 239

Ситуация знакома многим руководителям промышленных и транспортных компаний в Ставрополе: объект прошёл категорирование и внесён в реестр значимых объектов критической информационной инфраструктуры. На руках есть акт категорирования, но при проверке ФСТЭК первым делом запросит комплект организационно-распорядительных документов по безопасности. Если их нет — это нарушение требований приказов № 235 и № 239, за которое предусмотрена административная ответственность.

Из статьи вы узнаете, какие документы обязательны для субъекта КИИ и владельца значимого объекта, что именно требует ФСТЭК и ФСБ в 2025–2026 годах, кто утверждает ОРД и как подготовить комплект без лишних затрат. Отдельно разберём, как наша компания помогает с правовым контуром и методическим сопровождением технической части.

Какие документы по ИБ обязательны: субъект КИИ / владелец значимого объекта

Требования к ОРД закреплены в приказах ФСТЭК № 235 и № 239 и применяются только к значимым объектам КИИ, то есть тем, которым по итогам категорирования присвоена I, II или III категория. Если объект не значимый — приказы 235/239 на него не распространяются, но остаются обязанности по Указу Президента № 250: назначить заместителя руководителя, ответственного за ИБ, и создать структурное подразделение.

Ниже — таблица с ключевыми документами, где честно указано, что является нормой, а что — сложившейся практикой.

Состав и формы ОРД определяются самим субъектом КИИ — фиксированного перечня документов в нормативных актах нет. В таблице перечислены документы, которые прямо названы или однозначно выводятся из требований.

Состав комплекта для вашей организации

Ниже — типовое наполнение комплекта ОРД для значимого объекта. Часть документов обязательна, часть настоятельно рекомендуется практикой проверок.

Кто проверяет и что смотрят

Основной контроль за выполнением требований к безопасности значимых объектов КИИ осуществляет ФСТЭК. Федеральная служба безопасности через НКЦКИ контролирует порядок информирования о компьютерных инцидентах и взаимодействие с ГосСОПКА. Отраслевые регуляторы (например, Минэнерго, Минпромторг) вправе проверять достоверность сведений о категорировании и передавать материалы во ФСТЭК.

Типовые вопросы и запросы при проверке:

• Покажите утверждённые ОРД по безопасности значимых объектов и документы, подтверждающие ознакомление работников.
• Есть ли приказ о назначении заместителя руководителя, ответственного за ИБ, и положение о подразделении ИБ?
• Где план реагирования на компьютерные инциденты? Когда копия направлена в НКЦКИ?
• Представьте ежегодный план мероприятий по безопасности и отчёт о его выполнении за прошлый год.
• Как проводился внутренний контроль? Есть ли акт и приказ о комиссии?

Как мы готовим комплект

Для субъектов КИИ мы не выполняем работы по защите информации как исполнитель — по Указу № 250 такие работы могут вести исключительно организации с лицензией ФСТЭК на ТЗКИ. Мы закрываем правовой контур: документы по 152-ФЗ, 98-ФЗ, трудовому праву, а также оказываем методическое сопровождение технической части — предоставляем шаблоны, указания, консультации, проверяем проекты. Технические ОРД готовит ваш специалист или партнёр-лицензиат, с которым мы взаимодействуем по вашему поручению.

Особенности, о которых забывают

• ✓ Нет значимых объектов — не значит, что нет обязанностей. Субъекты КИИ без значимых объектов всё равно обязаны по Указу № 250 назначить заместителя руководителя, ответственного за ИБ, создать подразделение и привлекать только лицензиатов.
• ✓ Указ № 250 требует именно заместителя руководителя и структурное подразделение. Просто «ответственный за ИБ» из числа сотрудников без полномочий заместителя не подойдёт. Формы приказа и положения — в типовых документах из ПП № 1272.
• ✓ ОРД утверждает руководитель, а не согласует орган. ФСТЭК или РКН не принимают и не визируют эти документы. Они проверяют их наличие и содержание в рамках надзора.
• ✓ С 01.03.2027 вступят изменения приказа № 235: расчёт показателя защищённости Кзи раз в 6 месяцев и уровня зрелости Узи раз в 3 года. Готовить документы нужно с учётом этих изменений.
• ✓ План реагирования на инциденты — отдельный документ по приказу ФСБ № 547. Он не заменяет регламент реагирования в составе ОРД, хотя части могут пересекаться. Срок подготовки — 90 дней после включения в реестр.

Разбор на примере: предприятие с одним значимым объектом III категории

Условный пример для наглядности — не реальный заказчик.

Что будет без документов

Для значимых объектов КИИ отсутствие утверждённых ОРД — прямое нарушение требований приказов № 235 и № 239. Ответственность предусмотрена статьёй 13.12.1 КоАП РФ:

• часть 1 — нарушение требований к безопасности значимых объектов: для юридических лиц 50 000 – 100 000 ₽;
• часть 2 — нарушение порядка информирования о компьютерных инцидентах: для юридических лиц 100 000 – 500 000 ₽.

Также ФСТЭК может вынести предписание об устранении нарушений, а при повторных нарушениях — инициировать административное приостановление деятельности. Если объект не значимый, штрафы по 13.12.1 не применяются, но неисполнение Указа № 250 может быть квалифицировано по иным составам, например, ст. 19.7.15 КоАП РФ (по имеющимся данным).

Помимо административных рисков, отсутствие документов подрывает позиции компании при судебных спорах, связанных с утечками информации и разглашением коммерческой тайны: невозможно доказать, что сведения имели статус охраняемой тайны, если не утверждён перечень, нет грифа и расписок.

Чем поможем и сколько это стоит

Мы закрываем правовой и организационный контур, а техническую часть по КИИ помогаем вести методически или через партнёра-лицензиата. Состав услуг:

• Политика обработки ПДн (для сайта и внутренняя), положение об обработке ПДн, приказ об ответственном за организацию обработки, формы согласий, поручения на обработку, регламент ответов субъектам и уничтожения.
• Режим коммерческой тайны: положение, перечень сведений, приказ, обязательства работников, гриф, журналы, условия для контрагентов.
• Документы по удалённой работе и подрядчикам: регламент удалённого доступа, NDA, поручение обработки ПДн.
• Методическое сопровождение технической части ИСПДн и КИИ: шаблоны, указания, консультации, проверка проектов.

Цена ниже рынка за счёт дистанционного формата и отработанных типовых решений: вы заполняете опросный лист, а документы готовит специалист, адаптируя их под ваши процессы, а не отдавая пустой шаблон. Для организаций из Ставрополе работаем полностью удалённо с возможностью созвона.

Частые вопросы

Подробнее о наших услугах по документационному обеспечению информационной безопасности вы можете узнать на страницах: документы по ИБ, документы по персональным данным и модель угроз безопасности информации. Если нужен расчёт комплекта для вашей организации в Ставрополе — оставьте заявку, мы свяжемся в течение рабочего дня.