Категорирование КИИ для горнодобывающего предприятия в Анапы: рудники, карьеры, шахты

Руководитель карьера или шахты редко думает о том, что системы шахтной безопасности, диспетчеризации горной техники и даже ERP попадают под действие 187-ФЗ. Между тем горнодобывающая промышленность прямо названа в списке сфер критической информационной инфраструктуры. Если у организации есть АСУ ТП, ИС или ИТКС, которые обеспечивают добычу, обогащение или безопасность работ, — с высокой вероятностью вы субъект КИИ, и это влечёт обязанности по категорированию.

В статье разберём, как понять, касается ли это вашего предприятия в Анапы, какие системы обычно становятся объектами КИИ, как присваивают категорию по показателям значимости и что грозит, если ничего не делать. Отдельно покажем порядок, сроки и реальный расчёт на условном примере золотодобывающего рудника с обогатительной фабрикой.

Является ли горнодобывающее предприятие субъектом КИИ

Критерий прост: российское юридическое лицо, у которого есть информационные системы, информационно-телекоммуникационные сети или автоматизированные системы управления, функционирующие в сфере горнодобывающей промышленности. Форма собственности значения не имеет — частный карьер, акционерное общество или артель подпадают одинаково, если есть такие системы и они реально используются в производственных процессах.

Как проверить себя:

• Посмотрите коды ОКВЭД в выписке ЕГРЮЛ: раздел B «Добыча полезных ископаемых» — сильный индикатор, но не единственный. Даже если основной ОКВЭД другой, фактическая деятельность по добыче или обогащению делает вас потенциальным субъектом.
• Проверьте лицензии на пользование недрами, горный отвод, проектную документацию на разработку месторождения. Они подтверждают, что предприятие ведёт деятельность в сфере.
• Оцените, есть ли у вас АСУ ТП (дробильно-сортировочные линии, конвейеры, экскаваторы с диспетчеризацией), системы безопасности (МФСБ, аэрогазовый контроль), ERP/MES. Если хотя бы одна система автоматизирует технологический процесс или обеспечивает безопасность — вы почти наверняка субъект.

Пограничные случаи в отрасли:

Важно: если вы сомневаетесь, мы бесплатно проверим статус субъекта по опроснику, ОКВЭД, лицензиям и фактическим системам до заключения договора. Если окажется, что вы не субъект, дадим письменное заключение об этом.

Какие системы обычно становятся объектами КИИ в отрасли

Перечень типовых отраслевых объектов утверждён распоряжением Правительства от 26.02.2026 № 360-р. Для горнодобывающей промышленности это раздел XII. Отраслевых особенностей категорирования для этой сферы пока не принято, поэтому категорирование идёт по общему порядку ПП РФ № 127 и перечню 360-р.

Вот типичное сопоставление производственных процессов и систем, которые нужно проверить:

Обратите внимание: в перечне для горнодобывающей отрасли есть не только АСУ ТП, но и информационные системы уровня предприятия — ERP, MES. Поэтому категорировать только «технологию» и забывать учётные системы — ошибка, которую ФСТЭК фиксирует как типовую.

Как присваивают категорию: показатели значимости для горнодобывающих предприятий

Категория присваивается по наихудшему сценарию целенаправленной атаки: прекращение функционирования системы или нарушение заданных параметров проектного режима. Показатели значимости определены в приложении к ПП РФ № 127. Для горнодобывающих предприятий обычно ключевые два:

• Социальный (показатель 1) — ущерб жизни и здоровью людей. Для III категории достаточно от 1 до 50 пострадавших. Если остановка МФСБ или аэрогазового контроля в шахте может привести к отравлению, травмам или гибели людей — система сразу получает категорию.
• Экологический (показатели 11а–11б) — выход загрязнения за пределы территории. Для III категории достаточно, если последствия аварии на объекте (например, прорыв хвостохранилища, отказ очистных) затронут территорию в пределах одного муниципального образования с населением от 2 тыс. человек либо от 2 до 1000 тыс. человек.

Экономический ущерб (показатель 8) применяется, если предприятие является госкорпорацией, ГУП, организацией ОПК, стратегическим АО или предприятием. Для частного рудника без стратегического статуса он обычно не применяется. Показатель 9 (ущерб бюджету РФ) для горнодобычи нетипичен, его пороги крайне малы в абсолютных цифрах.

Важно: если по всем показателям порог не превышен, объект остаётся без категории. Но это не освобождает от обязанностей — акт с решением «категория не присваивается» всё равно оформляется и сведения направляются во ФСТЭК. Не отправить сведения — нарушение по ст. 19.7.15 КоАП.

Порядок и сроки категорирования

С 2024–2025 годов процедура упростилась: больше не нужно утверждать перечень критических процессов и перечень объектов, подлежащих категорированию. Отправная точка — сопоставление имеющихся систем с перечнем типовых отраслевых объектов 360-р. Максимального срока категорирования также нет, но затягивать не стоит: ФСТЭК вправе выдать требование, а затем привлечь к ответственности за непредставление сведений.

Пересмотр категорий — не реже одного раза в 5 лет, а также внепланово при изменении объекта, показателей или по решению ФСТЭК. Для горнодобычи отраслевые особенности пока не утверждены, сокращённых сроков нет.

Особенности отрасли, о которых забывают

• ✓ МФСБ и аэрогазовый контроль — почти всегда социальный показатель. Люди под землёй — главный фактор. Если система безопасности откажет, а эвакуация невозможна, порог III категории (1 пострадавший) легко достигается.
• ✓ Распределённые объекты. Карьер, шахта, фабрика, хвостохранилище — разные площадки, иногда за десятки километров. Категорировать нужно по каждой системе, а не «по предприятию в целом».
• ✓ Связь с промышленной безопасностью. Декларации ПБ, планы ликвидации аварий, сценарии развития аварий — это исходные данные для расчёта показателей. Их нужно поднимать заранее.
• ✓ Системы жизнеобеспечения. Водоотлив, вентиляция, подъём — их остановка может привести к затоплению или загазованности. Даже если они не выделены отдельным объектом, они влияют на сценарий наихудшего случая.
• ✓ ERP и MES тоже в перечне. Забывать учётные системы — типовая ошибка. Они прямо указаны в разделе XII 360-р.

Разбор на примере: золотодобывающий рудник с фабрикой

Как это выглядело по шагам:

1. Запросили опросник: перечень ИС/АСУ/ИТКС, назначение, место размещения, численность персонала в шахте, план ликвидации аварий, сведения о системах безопасности.
2. Сопоставили с разделом XII перечня 360-р. Совпали: МФСБ (безопасность горных предприятий), АСУ ТП вентиляции и водоотлива (жизнеобеспечение шахт), АСУ ТП обогатительной фабрики (управление рудниками/обогащением), ERP (управление предприятием).
3. Рассчитали показатели по наихудшему сценарию для каждой системы. Для МФСБ: целенаправленная атака, отказ аэрогазового контроля и оповещения при загазованности — возможное поражение до 30 человек. Это укладывается в порог III категории по показателю 1 (от 1 до 50 человек).
4. Для АСУ ТП вентиляции и водоотлива, АСУ ТП фабрики и ERP превышения порогов не выявлено: социальный ущерб не подтверждён (люди эвакуируются при штатных процедурах), экологический — последствия локальны и не выходят за границы предприятия, экономический показатель 8 не применим (юрлицо не стратегическое), ущерб бюджету незначителен.
5. Оформили акт категорирования: МФСБ — III категория, остальные — без категории. Сведения направили во ФСТЭК в течение 10 рабочих дней.

Дальше для значимого объекта III категории: требования к безопасности (приказ ФСТЭК № 239), система безопасности (№ 235), информирование об инцидентах в ГосСОПКА не позднее 3 часов, доверенные ПАК для новых закупок с 01.09.2024 и 100% к 2030 году. Для объектов без категории: только информирование об инцидентах (не позднее 24 часов) и пересмотр категории не реже раза в 5 лет.

Что будет, если не провести категорирование

Непредставление сведений о результатах категорирования во ФСТЭК или нарушение сроков — административная ответственность по ст. 19.7.15 КоАП РФ:

• должностные лица — от 10 до 50 тыс. ₽, юрлица — от 50 до 100 тыс. ₽ (ч. 1);
• повторное нарушение — должностные лица от 50 до 100 тыс. ₽, юрлица от 100 до 200 тыс. ₽ (ч. 3).

ФСТЭК ведёт контроль: плановые проверки — раз в 3 года после внесения объекта в реестр или последней проверки, внеплановые — после инцидента, истечения срока предписания, по поручению Президента/Правительства или требованию прокурора. Если сведения не поданы, ФСТЭК направляет требование с конкретным сроком. Кроме штрафа, реальный риск — при аварии или атаке на некатегорированную систему может наступить уголовная ответственность по ст. 274.1 УК РФ за нарушение правил эксплуатации, повлёкшее тяжкие последствия.

Отраслевой регулятор Минпромторг при мониторинге может выявить типовые объекты без категорирования и сообщить во ФСТЭК. На практике большинство протоколов ФСТЭК в 2025 году составлено именно за непредставление или несвоевременное представление сведений.

После категорирования: что обязательно для значимых и незначимых объектов

Для всех субъектов КИИ (и значимых, и без категории) действует обязанность информировать НКЦКИ (ГосСОПКА) о компьютерных атаках и инцидентах. Сроки по приказу ФСБ № 547 от 25.12.2025: для значимых объектов — не позднее 3 часов с момента обнаружения, для иных объектов КИИ — не позднее 24 часов.

Для значимых объектов дополнительно:

• выполнение требований к безопасности значимых объектов (приказ ФСТЭК № 239) и создание системы безопасности (№ 235);
• с 01.09.2024 нельзя использовать недоверенные ПАК, приобретённые после этой даты; к 31.12.2029 доля доверенных ПАК должна достичь 100% (ПП РФ № 1912);
• обязанность использовать российское ПО из реестра — сроки перехода Правительство пока не утвердило, норма уже в законе (п. 5 ч. 3 ст. 9 187-ФЗ);
• с 01.03.2027 вводятся новые показатели: Кзи (расчёт не реже раза в 6 месяцев) и Узи (не реже раза в 3 года) по приказу ФСТЭК № 220 от 16.07.2026.

По модели угроз и организационным документам по ИБ даём методическое сопровождение: документ готовит ваш специалист по нашему шаблону, мы консультируем и проверяем, а внедрение сертифицированных СЗИ и аттестация на значимых объектах — через партнёра-лицензиата ФСТЭК.

Что мы подготовим и сколько это стоит

Состав работ по категорированию под ключ:

• проверка статуса субъекта КИИ (по ОКВЭД, лицензиям, уставу и фактическим системам) — бесплатно при заказе категорирования;
• проект приказа о постоянно действующей комиссии;
• инвентаризация ИС, АСУ, ИТКС и сопоставление с перечнем 360-р;
• расчёт показателей значимости по ПП № 127 по наихудшему сценарию с исходными данными;
• проект акта категорирования (допускается единый на несколько объектов);
• сведения о результатах категорирования по форме ФСТЭК (приказ № 236), включая отсутствие необходимости категории;
• сопровождение до внесения в реестр / принятия сведений ФСТЭК; правки по замечаниям бесплатно.

Цена ниже рыночной за счёт отработанных типовых решений и дистанционного формата: вы заполняете опросник, мы готовим документы, при необходимости проводим созвон с ИТ-службой. Документы готовит специалист по защите информации, а не «универсальный менеджер». Точную цену рассчитаем бесплатно в течение рабочего дня по опроснику.

Частые вопросы

Если нужно начать с категорирования — посмотрите состав услуги. После присвоения категории потребуется модель угроз ИБ для значимых объектов. Нормативная база по 187-ФЗ, 360-р и ПП 127 — здесь. Работаем дистанционно по всей России, в том числе в Анапы.