Категорирование объектов образования, это обязательная процедура, установленная Федеральным законом от № 117-ФЗ «Об охране критической информационной инфраструктуры Российской Федерации» и регулируемая Постановлением Правительства РФ от № 1006. Цель процедуры — определить значимость объекта для функционирования системы образования и назначить ему соответствующую категорию значимости (I, II или III). Ниже представлено подробное описание структуры акта, требований к его заполнению и образец документа.

Нормативная правовая база

При подготовке акта необходимо опираться на следующие ключевые документы:

• 117-ФЗ (ст. 7, 8), основы категорирования и обязанности субъектов КИИ.
• Постановление № 1006 — порядок категорирования, критерии значимости, состав и порядок работы комиссии.
• Приказ ФСТЭК России от № 17 (утв. Порядок определения категории значимости объекта КИИ) — методика расчета показателей значимости.
• Федеральный закон от № 273-ФЗ «Об образовании в Российской Федерации», специфика деятельности образовательных организаций.
• Региональные нормативные акты (приказы министерств/департаментов образования субъектов РФ).

Кто и когда составляет Акт

Акт категорирования составляется Комиссией по категорированию, создаваемой приказом руководителя образовательной организации (или вышестоящего ведомства).

Сроки проведения:

1. Первичное категорирование: в течение 6 месяцев со дня вступления в силу закона (для существующих организаций) или со дня начала деятельности (для вновь созданных).
2. Повторное категорирование: не реже одного раза в 5 лет.
3. Внеплановое категорирование: при изменении критериев значимости (реорганизация, изменение контингента обучающихся, подключение новых ИС, инциденты безопасности).

Структура Акта категорирования

Единой утвержденной формы акта не существует (Постановление № 1006 устанавливает только обязательные реквизиты), однако на практике используется стандартная структура делового документа.

Обязательные реквизиты акта:

• Наименование документа: «Акт категорирования объекта критической информационной инфраструктуры».
• Дата составления и место (город).
• Полное наименование образовательной организации.
• Состав комиссии (ФИО, должности, подписи всех членов).
• Основание для проведения (номер и дата приказа о создании комиссии).
• Характеристика объекта (адрес, тип организации, лицензия, аккредитация).
• Перечень информационных систем (ИС), входящих в состав объекта КИИ.
• Расчет значений показателей значимости по методике Приказа ФСТЭК № 17.

Пошаговый алгоритм заполнения (с маскировкой чувствительных данных)

Шаг 1. Шапка документа

УТВЕРЖДАЮ
Директор МБОУ «СОШ № »
____________ /Иванов И.И./
«___» _____________ 202_ г.

АКТ КАТЕГОРИРОВАНИЯ ОБЪЕКТА КРИТИЧЕСКОЙ ИНФОРМАЦИОННОЙ ИНФРАСТРУКТУРЫ
МБОУ «Средняя общеобразовательная школа № »
г. , «___» _____________ 202_ г. № *

Шаг 2. Сведения об объекте и основании

Шаг 3. Состав комиссии

Комиссия должна включать не менее 3 человек: председатель (обычно руководитель или зам. по ИТ/Безопасности), секретарь (ответственный за защиту информации/администратор ИС) и члены (сисадмин, юрист, охрана, представитель учредителя, по необходимости).

СОСТАВ КОМИССИИ:

Председатель: Петров Петр Петрович *, Заместитель директора по ИКТ и информационной безопасности. Подпись: _______________
Секретарь: Сидоров Сидор Сидорович *, Администратор информационных систем / Ответственный за защиту ПДн. Подпись: _______________
Член: Смирнова Анна Владимировна * — Главный бухгалтер (ответственная за ИС «1С:ХроноГраф/Школа/Бухгалтерия»). Подпись: _______________
Член: Козлов Дмитрий Сергеевич *, Системный администратор. Подпись: _______________
Член: Волкова Елена Игоревна * — Юрисконсульт / Ответственная за режим КТС. Подпись: _______________

Шаг 4. Перечень информационных систем (ИС) объекта

Списываются все ИС, обрабатывающие информацию, нарушение безопасности которой повлечет неприемлемые последствия (персональные данные, гос. тайна, критическая для учебного процесса информация).

Шаг 5. Расчет показателей значимости (по Приказу ФСТЭК № 17)

Это ключевой раздел. Для образовательных организаций обычно определяются следующие показатели (Приложение № 2 к Приказу № 17):

• П1, Численность пострадавших (человек): Контингент обучающихся + сотрудники. Для школы 500–1000 человек — балл 2–3.
• П2 — Экономический ущерб (руб;): Расчет стоимости восстановления ИС, штрафов (152-ФЗ), простоев. Обычно балл 1–2.
• П3 — Влияние на функционирование госорганов/органов местного самоуправления: Школа выполняет госфункцию (общ. образование). Балл 2–3.
• П4 — Влияние на оборонспособность/безопасность: Обычно 0 (если не база МЧС/военкомат).
• П5 — Влияние на межгосударственные отношения: 0.

Формула: К = max(П1, П2, П3, П4, П5). Категория назначается по таблице Приказа № 17.

ТАБЛИЦА РАСЧЕТА ПОКАЗАТЕЛЕЙ ЗНАЧИМОСТИ

| Показатель | Описание критерия (кратко) | Расчетное значение | Балл (по шкале Приказа № 17) |
|------------|----------------------------|-------------------|------------------------------|
| П2 (Экономический ущерб) | Оценка ущерба при отказе ИС на 24ч: зарплата, штрафы 152-ФЗ, восстановление БД. | ~ * млн руб. | 2 (10 млн ⸺ 100 млн) |
| П3 (Влияние на госфункции) | Реализация программы основного общего образования (госзаказ). Нарушение сроков ГИА/ВПР. | Качественный признак | 3 (нарушение госфункции) |
| П4 (Оборонспособность) | Не затрагивается | ⸺ | 0 |
| П5 (Междунар. отношения) | Не затрагивается | ⎼ | 0 |

ИТОГОВЫЙ БАЛЛ (K = max): 3

Шаг 6. Определение категории значимости

Согласно п. 15 Приказа ФСТЭК № 17:

• I категория: K ≥ 4 (для школ крайне редко).
• II категория: K = 3 (если есть ПДн особой категории в медкабинете или биометрия/СКУД с биометрией).
• III категория: K = 1 или 2 (стандартная школа без медкабинета/биометрии).

В нашем примере (K=3): Назначается II категория значимости (если подтвержден показатель П3=3 или П1=3 в совокупности с критичностью ИС). Примечание: Часто школы получают III категорию, если П3 оценивается ниже или нет критических ИС. Решение за комиссией на основе обоснования.

Комиссией проведено категорирование объекта критической информационной инфраструктуры — МБОУ «СОШ № » (адрес: г. , ул. , д. ).
Проанализирован состав информационных систем, определены показатели значимости в соответствии с Приказом ФСТЭК России от № 17.
Максимальный балл значимости (K) составил 3 балла.

РЕШИЛО:
Присвоить объекту КИИ МБОУ «СОШ № *» II (вторую) категорию значимости (или III категорию — в зависимости от расчета).

Направить уведомление о категорировании в ФСТЭК России (через Госуслуги/Личный кабинет субъекта КИИ) в течение 10 рабочих дней.
Разработать и утвердить перечень мер по обеспечению безопасности объекта КИИ (соответствующий II/III категории) в срок до .
Обеспечить проведение аттестации объектов информатизации (при необходимости) и внедрение средств защиты информации (СЗИ) сертифицированных ФСТЭК/ФСБ.

ПРЕДСЕДАТЕЛЬ КОМИССИИ
_____________ /Петров П.П./ «___» _____________ 202_ г.

СЕКРЕТАРЬ КОМИССИИ
_____________ /Сидоров С.С./ «___» _____________ 202_ г.

ЧЛЕНЫ КОМИССИИ:
_____________ /Смирнова А.В./ _____________ /Козлов Д.С./ _____________ /Волкова Е.И;/

Последующие действия после подписания Акта

1. Уведомление ФСТЭК: Подача через ЕПГУ (Госуслуги) в Личном кабинете субъекта КИИ. Приложить скан акта и описание объекта.
2. Разработка модели угроз: Обязательна для I и II категорий (РД ФСТЭК). Для III — рекомендуется.
3. Система защиты информации (СЗИ): Подбор сертифицированных СЗИ (СЗИ для II кат. — класс 2/3, для III, класс 3/4 или базовые).
4. Аттестация объекта: Проведение аттестации СЗИ аккредитованной лабораторией (для I, II кат. — обязательно).

Типичные ошибки при оформлении

• Отсутствие расчета показателей: Акт содержит только фразу «Присвоена III категория» без таблицы расчета по Приказу № 17. Риск: отказ ФСТЭК в приеме уведомления.
• Игнорирование ИС «Электронный журнал»: Если журнал ведется в облаке (СaaS), ответственность за категорирование ИС лежит на провайдере, но школа должна учесть эту ИС в своем акте как используемую.
• Неполный состав комиссии: Нет приказа о создании комиссии или в комиссии нет ответственного за защиту ПДн/администратора ИС.
• Путаница с категорией ИС и категорией объекта: Категория объекта (I, II, III) ≠ Категория ИС (1, 2, 3, 4 по ФСТЭК). Объект может быть III категории, а включать ИС 2-й категории (медкабинет).
• Просрочка уведомления: Уведомление в ФСТЭК должно быть подано в течение 10 рабочих дней со дня утверждения акта.

Особенности для разных типов организаций

Акт категорирования, это базовый документ, от которого зависит объем и глубина мер информационной безопасности, которые образовательная организация обязана реализовать. Грамотное обоснование показателей значимости (особенно П1 и П3) позволяет не завышать категорию (экономия ресурсов на СЗИ и аттестацию) и не занижать её (риск штрафов по 117-ФЗ, 152-ФЗ и инцидентов). Рекомендуется привлекать к работе комиссии специалистов по ИБ или консультироваться с аккредитованными аттестаторами ФСТЭК на стадии подготовки проекта акта.

Данная статья носит информационный характер. Для подготовки конкретного документа необходимо использовать актуальные версии нормативных актов и консультироваться с юристами/ИБ-специалистами организации. Все персональные данные, адреса, номера телефонов и реквизиты документов в примерах заменены на маски (*) в соответствии с требованиями безопасности.