Категорирование КИИ для медицинской организации в Кирове: клиники, больницы, лаборатории

Частной клинике или диагностическому центру в Кирове приходит запрос от ФСТЭК либо вопрос от вышестоящей организации или страховой: «А вы провели категорирование объектов КИИ?». ИТ-служба открывает 187-ФЗ, видит, что сфера «здравоохранение» стоит первой в списке, но не понимает, касается ли это их частной медицинской организации, какие именно системы включать и что делать с МИС, ЛИС и медоборудованием с ПО.

В статье разберём, является ли медорганизация субъектом КИИ, как проверить себя до начала работ, какие системы чаще всего попадают в объекты категорирования, как присваивается категория и что будет, если ничего не делать. В конце — состав работ и цена под ключ.

Является ли медицинская организация (в т.ч. частная клиника) субъектом КИИ

Критерий субъекта установлен п. 8 ст. 2 187-ФЗ: российские юридические лица и государственные учреждения, которым на праве собственности, аренды или ином законном основании принадлежат информационные системы (ИС), информационно-телекоммуникационные сети (ИТКС) или автоматизированные системы управления (АСУ), функционирующие в сфере здравоохранения. Форма собственности значения не имеет — частная клиника такой же субъект, как и государственная больница.

Чтобы проверить себя, посмотрите три вещи:

• ОКВЭД: коды 86.1, 86.2, 86.90 (медицинская деятельность), 46.46 и 47.73 (фармацевтика) прямо упомянуты в перечне 360-р для сферы здравоохранения.
• Лицензии: медицинская, фармацевтическая, деятельность по обороту наркотических средств — сильный признак.
• Устав и фактические виды деятельности: оказываете ли вы медицинские услуги с использованием ИС или АСУ.

Пограничные случаи — ниже в таблице. Важно: если вы сомневаетесь, мы бесплатно до заключения договора проверим статус субъекта и скажем, есть ли у вас объекты категорирования.

Какие системы обычно становятся объектами КИИ в отрасли

Отправная точка — перечень типовых отраслевых объектов КИИ (распоряжение № 360-р). Не нужно категорировать всё подряд: сначала сопоставляем ваши ИС, ИТКС и АСУ с позициями раздела I. Отраслевых особенностей для здравоохранения не принято, поэтому работаем по общему порядку ПП № 127 и указанному перечню.

Как присваивают категорию: показатели значимости для медицинских организаций

Категорию присваивают по наихудшему сценарию целенаправленной атаки: что произойдёт, если система прекратит функционировать или её работа будет нарушена. Для медицинских организаций чаще всего применяются показатели из перечня к ПП № 127:

• Социальный (показатель 1): ущерб жизни и здоровью. III категория присваивается, если последствия затрагивают от 1 до 50 человек. Для МИС с назначениями, PACS с экстренной диагностикой, систем ИВЛ и мониторинга это ключевой порог.
• Экономический (показатель 8): снижение годового дохода юридического лица от 1% до 10% в среднем за 5 лет. Для частной клиники остановка МИС на несколько дней может превысить 1%.
• Госуслуги (показатель 5): недоступность государственной услуги в электронном виде. Актуально для государственных медучреждений и частных, участвующих в ОМС.
• Политический, экологический и оборонный показатели для типовой частной клиники, как правило, не применяются.

Важно: «без категории» — это тоже результат. Если система не подпадает ни под один показатель, категория не присваивается, но это фиксируется актом и сведениями во ФСТЭК. Ничего не отправлять нельзя: непредставление сведений — отдельный состав нарушения.

Порядок и сроки категорирования

Особенности отрасли, о которых забывают

• ✓ Подключение к ЕГИСЗ и региональным сегментам. Даже если ваша МИС не кажется критичной, сам факт взаимодействия с ЕГИСЗ может вывести систему в типовой объект («иные ИС, взаимодействующие с ЕГИСЗ»).
• ✓ ПДн спецкатегории (152-ФЗ). Медицинские данные — это спецкатегория персональных данных. Категорирование КИИ не заменяет защиту ПДн, это параллельная обязанность.
• ✓ Медицинские изделия с ПО. Аппараты ИВЛ, мониторы пациента, хирургические системы, КТ/МРТ часто управляются встроенным ПО или подключены к сети. Их нужно учитывать как АСУ, а не только как «железо».
• ✓ Облачная МИС у поставщика. Если права на систему у поставщика, а у клиники только доступ, важно определить, у кого объект КИИ. Локальная сеть и рабочие станции с доступом к облачной МИС могут быть вашим ИТКС. Проверяем в рамках бесплатной предварительной оценки.
• ✓ Единый перечень 360-р. Для здравоохранения нет отдельного постановления об особенностях, поэтому работаем строго по разделу I распоряжения и ПП № 127.

Разбор на примере: многопрофильная частная клиника

Как это делали:

• Запросили опросник и перечень всех ИС, АСУ и сетей. Созвонились с ИТ-службой для уточнения состава и связей.
• Сопоставили каждую систему с разделом I 360-р. Выпали 4 системы, остальные (кадры, бухгалтерия, сайт) не соответствовали типовым объектам.
• Для МИС рассчитали показатель 1: при целенаправленной атаке и недоступности системы более чем у одного пациента могут быть нарушены назначения — это ≥1 человек, что даёт III категорию (порог от 1 до 50).
• ЛИС и PACS оказались без категории: по наихудшему сценарию отказ приводит к задержке плановых исследований, но не к прямому вреду здоровью в масштабе, достаточном для III категории.
• Подготовили проекты приказа о комиссии, акта категорирования (единый на 4 объекта) и сведения по форме ФСТЭК. Клиника отправила сведения, ФСТЭК проверяет 30 дней.
• После включения МИС в реестр как значимого объекта — переход к требованиям приказов ФСТЭК №239/235, подключение к ГосСОПКА, план перехода на доверенные ПАК.

Что будет, если не провести категорирование

Ответственность по КоАП:

• Ст. 19.7.15 ч.1 — непредставление или недостоверные сведения о категорировании во ФСТЭК: должностные лица 10–50 тыс. ₽, юрлица 50–100 тыс. ₽. Повторно — до 200 тыс. ₽.
• Ст. 19.7.15 ч.2 — непредставление информации в ГосСОПКА: юрлица 100–500 тыс. ₽.
• Ст. 13.12.1 ч.1 — нарушение требований к безопасности значимого объекта: юрлица 50–100 тыс. ₽.
• Ст. 13.12.2 — нарушение правил эксплуатации КИИ: юрлица 100–500 тыс. ₽.

Уголовная ответственность по ст. 274.1 УК РФ — вплоть до лишения свободы на срок до 10 лет при тяжких последствиях. Помимо штрафов, ФСТЭК проводит плановые проверки (через 3 года после внесения в реестр) и внеплановые при инцидентах. Минздрав в рамках ведомственного мониторинга может выявлять некатегорированные типовые объекты и сообщать во ФСТЭК.

После категорирования: что обязательно для значимых и незначимых объектов

Для всех субъектов (включая объекты без категории):

• Информировать НКЦКИ (ГосСОПКА) об инцидентах: для значимых объектов — не позднее 3 часов, для иных объектов КИИ — не позднее 24 часов с момента обнаружения (приказ ФСБ №547).
• Поддерживать сведения в реестре актуальными: изменения направляются в течение 20 рабочих дней.

Для значимых объектов дополнительно:

• Выполнять требования приказов ФСТЭК №239 (меры защиты) и №235 (система безопасности). С 01.03.2027 вводятся расчёт показателя защищённости Кзи раз в 6 месяцев и уровня зрелости Узи раз в 3 года.
• Применять доверенные программно-аппаратные комплексы (ПП №1912): с 01.09.2024 нельзя использовать недоверенные ПАК, приобретённые после этой даты; к 01.01.2030 — 100% доверенных ПАК.
• Обеспечить непрерывное взаимодействие с ГосСОПКА.

По модели угроз и организационным документам по ИБ даём методическое сопровождение: документ готовит ваш специалист по нашему шаблону, мы консультируем и проверяем. Внедрение сертифицированных средств защиты и аттестация значимых объектов выполняются через партнёра-лицензиата ФСТЭК.

Что мы подготовим и сколько это стоит

• Проверка, является ли организация субъектом КИИ (по ОКВЭД, лицензиям, уставу и фактическим видам деятельности) — письменное заключение.
• Проект приказа о постоянно действующей комиссии.
• Инвентаризация ИС, ИТКС и АСУ и сопоставление с перечнем 360-р.
• Расчёт показателей значимости по ПП № 127 по наихудшему сценарию с исходными данными.
• Проект акта категорирования (допускается единый на несколько объектов).
• Сведения о результатах по форме ФСТЭК (приказ №236) — в том числе об отсутствии необходимости присвоения категории.
• Сопровождение до внесения в реестр / принятия сведений ФСТЭК; правки по замечаниям — бесплатно.

Цена ниже рынка, потому что мы используем отработанные типовые решения и работаем дистанционно: опросник + перечень систем + созвон с ИТ-службой. Документы готовит специалист по защите информации, а не менеджер. Точную стоимость определим по опроснику бесплатно в течение рабочего дня.

Частые вопросы

Если не уверены, что ваша клиника или лаборатория в Кирове обязана проходить категорирование, начните с бесплатной проверки. Ознакомьтесь с услугой категорирования объектов КИИ, а также с подготовкой модели угроз ИБ и комплекта организационных документов по информационной безопасности.