KoDmAn
Ссылка на первую часть: https://d3myanoff.ru/articles/2
Как и было обещано, представляю Вашему вниманию вторую часть статьи о разночтении между 187-ФЗ и 127-ПП. Ниже расположена цитата ответа от ФСТЭК с добавленными мною сокращениями, выделениями и дополнениями.
«В соответствии с п.3 127-ПП, категорированию подлежат ОКИИ, соответствующие типам ИС, ИТКС, АСУ, включенным в Перечень типовых отраслевых ОКИИ, утвержденный распоряжением Правительства РФ от 26.02.2026 г. № 360-р.
При этом согласно п.22 127-ПП в случае выявления субъектом (вновь создаваемых) КИИ ОКИИ, которые не соответствуют типам ИС, ИТКС, АСУ, включенным в Перечни типовых отраслевых ОКИИ, но масштаб возможных последствий в случае возникновения компьютерных инцидентов на которых соответствует показателям критериев значимости ОКИИ РФ и их значений, утвержденным 127-ПП, субъект КИИ направляет в ФСТЭК России сведения о таком объекте, указанные в п.17 127-ПП, а также предложения о дополнении Перечня типовых отраслевых объектов.
Таким образом, субъект КИИ осуществляет оценку масштаба возможных последствий в случае возникновения компьютерных инцидентов, предусмотренную подпунктом «е» п.14 127-ПП, для всех ОКИИ и в случае выявления ОКИИ, для которых масштаб возможных последствий соответствует одной из категорий значимости, он направляет в ФСТЭК России сведения о результатах категорирования такого ОКИИ в соответствии с п.18 127-ПП, а также (в случае если ОКИИ не соответствует типам ИС, ИТКС, АСУ, включенным в Перечни типовых отраслевых ОКИИ) направляет предложения о дополнении Перечня типовых отраслевых объектов.
Учитывая изложенное, противоречия между п.3 127-ПП и положениями 187-ФЗ отсутствуют.»
Словосочетание «вновь создаваемых» из п.22 127-ПП, видимо, не такое важное и понятное, поэтому в ответе его решили не добавлять. По моему мнению, это правильно.
Дополню ответ: в случае выявления ОКИИ, для которых масштаб возможных последствий НЕ соответствует одной из категорий значимости, субъект КИИ направляет в ФСТЭК России сведения об отсутствии необходимости присвоения ОКИИ одной из таких категорий.
Вывод:
В соответствии с п.3 127-ПП категорировать надо ОКИИ, которые соответствуют перечню. А те, которые не соответствуют? Тоже надо, но в соответствии с п.22 127-ПП.
Вся эта ситуация напомнила мне один анекдот:
Репортёр приезжает к горному чабану, пасущему стадо чёрных и белых баранов, брать интервью.
— Здравствуйте! Скажите, пожалуйста, сколько ваши бараны дают шерсти?
— Какие? Белые или чёрные?
— Белые.
— Один килограмм.
— А чёрные?
— Тоже один килограмм.
— Ясно… А скажите, пожалуйста, сколько они едят корма?
— Какие? Белые или чёрные?
— Белые.
— Один килограмм.
— А чёрные?
— Тоже один килограмм.
— Извините, а если между чёрными и белыми баранами никакой разницы, почему вы всё время уточняете цвет?
— Просто белые бараны — мои.
— А чёрные?
— И чёрные — мои!