Приняты отраслевые особенности категорирования КИИ в сфере финансового рынка

Ранее мы рассказывали о ключевых поправках к Федеральному закону № 187-ФЗ («Закон о КИИ»), принятых в 2025 году.

6 февраля 2026 года Правительством РФ принято Постановление № 92 («Постановление»), которое закрепило отраслевые особенности категорирования КИИ в банковской и иных сферах финансового рынка[1]. Новый документ вступает в силу 15 февраля 2026 года и уже требует от субъектов КИИ оперативных действий.

Постановление определяет порядок установления соответствия объекта КИИ критериям значимости и показателям их значений в целях присвоения такому объекту одной из категорий значимости, а также закрепляет порядок расчета значений показателей критериев значимости с учетом особенностей тех или иных объектов.

Согласно Постановлению, отраслевые особенности распространяются на следующих субъектов финансового рынка: 

• государственные органы и(или) юридические лица, выполняющее функции (полномочия) в банковской сфере и иных сферах финансового рынка (в т. ч. подведомственные им организации);
• кредитные организации;
• некредитные финансовые организации;
• субъекты национальной платежной системы;
• лица, оказывающие профессиональные услуги на финансовом рынке;

если им принадлежат на каком-либо законном основании (в т. ч. на праве аренды) информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления («ИТ-системы»), обеспечивающие выполнение функций субъекта КИИ в сфере финансового рынка.

Принятие отраслевых особенностей автоматически влечет необходимость пересмотреть решение об установлении категорий значимости или об отсутствии необходимости присвоения таких категорий[2].

В случае признания ИТ-системы объектом КИИ, Компания должна принять комплекс мер по обеспечению безопасности объектов КИИ.

Напомним, что с 1 сентября 2025 года субъекты КИИ также обязаны непрерывно взаимодействовать с ГосСОПКА, включая установку средств обнаружения компьютерных атак и инцидентов (в том числе для поиска признаков атак) и информирование уполномоченного органа о таких инцидентах. Помимо этого, субъекты КИИ обязаны использовать на значимых объектах отечественное ПО.

По Постановлению при принятии решения о том, является ли ИТ-система объектом КИИ, компании должны опираться на следующие критерии: 

1. Перечень типовых отраслевых объектов КИИ – на данный момент проект перечня, который находится на рассмотрении в Правительстве РФ[3], предусматривает в том числе следующие объекты:
   • Системы дистанционного банковского обслуживания
   • Автоматизированные банковские системы
   • Системы, реализующие функционал процессинга
   • Системы, обеспечивающие учет финансовых транзакций
   • Системы учета клиентов НПФ, МФО
   • Системы учета договоров страхования, платежей, убытков, перестрахования
   • Системы, обеспечивающие сбор, обработку, хранение и предоставление кредитной информации).
2. Критерии значимости, опубликованные Правительством РФ[4].

При этом, объектом КИИ признаются в том числе и ИТ-системы, обеспечивающие деятельность Компании в сфере финансового рынка, но функционирующие в иной сфере. В связи с этим при проведении категорирования необходимо учитывать не только перечни типовых отраслевых объектов КИИ в сфере финансового рынка, но и в других сферах.

Принятие отраслевых особенностей означает, что Компании, которые являются субъектами КИИ, должны: 

1. Создать Комиссию по категорированию, в которую должны входить в том числе руководитель субъекта КИИ, работники в области информационных технологий и связи, работники в области технологической (промышленной) и информационной безопасности.
2. Определить объекты КИИ и присвоить им категорию значимости в соответствии с опубликованными Правительством критериями значимости и отраслевыми особенностями.
3. Направить в ФСТЭК России акт, принятый Комиссией по категорированию.

За нарушения требований Закона о КИИ юридические лица и их должностные лица могут быть привлечены к административной ответственности с назначением штрафа до 500 000 рублей на юридических лиц и до 50 000 рублей на должностных лиц. А в том случае, если несоблюдение требований повлекло причинение вреда КИИ, виновные должностные лица могут быть привлечены к уголовной ответственности вплоть до лишения свободы на срок до 5 лет с назначением штрафа в размере до 1 млн рублей.

В ближайшее время компаниям следует уделить особое внимание определению статуса субъекта КИИ, проведению категорирования с учетом типовых перечней и отраслевых особенностей, а также переходу на отечественное ПО и аппаратные средства. 

Учитывая неопределенность в отношении переходных периодов, мы рекомендуем заранее планировать принятие мер для соблюдения новых требований (провести миграцию на российские сервисы или подготовить документы для регистрации российского ПО и баз данных в соответствующих реестрах и перечнях).

Команда Б1 готова оказать поддержку по различным вопросам, связанным с определением принадлежности наших клиентов к субъектам КИИ, осуществить юридическое сопровождение процедуры категорирования объектов КИИ, включая подготовку позиции для взаимодействия с органами, а также помочь с мониторингом соблюдения новых обязанностей и подготовкой необходимых документов для миграции на российское ПО.