Категорирование КИИ для банка в Кирове: АБС, ДБО, процессинг

Региональный банк в Кирове сверяет требования ЦБ — ГОСТ Р 57580, Положение 683-П — с 187-ФЗ и не понимает, достаточно ли выполнить одно, чтобы не попасть под санкции другого. На практике получается два контура: банковский надзор смотрит на операционную надёжность и защиту информации по своим стандартам, а ФСТЭК — на категорирование объектов критической информационной инфраструктуры и соблюдение уже своих требований. Одно другого не заменяет.

В этой статье разберём, почему кредитная организация почти всегда субъект КИИ, какие системы банка — АБС, ДБО, процессинг, СБП-шлюз — чаще всего становятся объектами категорирования, как по показателям значимости присваивается категория и что будет, если не направить сведения во ФСТЭК. В конце — состав работ и стоимость под ключ.

Является ли кредитная организация субъектом КИИ

Субъект КИИ — это российское юридическое лицо, которому на праве собственности, аренды или ином законном основании принадлежат информационные системы, информационно-телекоммуникационные сети или автоматизированные системы управления, функционирующие в банковской сфере или иных сферах финансового рынка (п. 8 ст. 2 187-ФЗ). Ключевое — фактические виды деятельности и системы, а не только ОКВЭД. Лицензия ЦБ на банковские операции — сильный признак, но проверять нужно по уставу и перечню эксплуатируемых систем.

Самостоятельно проверить статус можно так: выписка ЕГРЮЛ (ОКВЭД 64.19, 64.92, 66.19 и смежные), лицензии ЦБ, устав, фактический перечень ИС и ИТКС. Если хотя бы одна система попадает под типовой объект из раздела VII распоряжения № 360-р — субъект КИИ есть. Если сомневаетесь, мы до оплаты бесплатно письменно подтвердим, является ли организация субъектом.

Какие системы обычно становятся объектами КИИ в отрасли

С 26.02.2026 действует единое распоряжение Правительства № 360-р на 397 типовых отраслевых объектов. Для финансового рынка это раздел VII. Отраслевые особенности категорирования утверждены постановлением Правительства от 06.02.2026 № 92, согласованы с ФСТЭК и ЦБ. Категорирование идёт по общему порядку ПП № 127, а не по отдельному отраслевому процессу.

С 07.11.2025 из ПП 127 исключены понятия «критические процессы» и обязательное направление перечня объектов до категорирования. Теперь отправная точка — сопоставление систем с типовыми объектами из 360-р. Если система совпадает с позицией раздела VII, она подлежит категорированию.

Как присваивают категорию: показатели значимости для банков

Показатели критериев значимости — приложение к ПП № 127 (ред. от 07.11.2025). Для финансового рынка базовые — показатели 10–10(7). Наиболее часто для банка применяют показатель 10 «Переводы денег»: среднедневные операции в млн рублей. Пороги третьей категории: ≤70 млн руб., второй: >70 и ≤120 млн руб., первой: >120 млн руб. Если банк выполняет функции центрального контрагента, депозитария, оператора УПИ или совмещает несколько ролей — применяются и соответствующие специализированные показатели.

Расчёт делается по наихудшему сценарию целенаправленной атаки: прекращение функционирования или нарушение заданных параметров проектного/штатного режима. Если ни по одному показателю значимость не набирается, категория не присваивается — но и это оформляется актом, а сведения об отсутствии необходимости присвоения категории направляются во ФСТЭК. Оставить «пусто» нельзя.

Порядок и сроки категорирования

Особенности отрасли, о которых забывают

• ✓ Двойное регулирование: ЦБ контролирует ГОСТ Р 57580 и Положение 683-П, ФСТЭК — 187-ФЗ и свои приказы. Параллельные, не заменяющие друг друга режимы.
• ✓ ГОСТ Р 57580 не отменяет 187-ФЗ и наоборот. Отсутствие предписаний ЦБ не освобождает от категорирования.
• ✓ Инциденты: банк обязан информировать НКЦКИ (ГосСОПКА) и дублировать в ЦБ. Для значимых объектов срок — 3 часа, для остальных — 24 часа (приказ ФСБ № 547 от 25.12.2025).
• ✓ План реагирования для значимых объектов согласуется с ЦБ (приказ ФСБ № 547).
• ✓ Ежегодный доклад: субъект финансового рынка не позднее 10-го рабочего дня года представляет уполномоченному органу перечень значимых объектов и решение о пересмотре (ПП № 92 от 06.02.2026).

Разбор на примере: региональный банк

Как делали:

• Запросили опросный лист: перечень ИС/ИТКС/АСУ, сведения о бизнес-процессах, данные по среднедневным переводам, структуру сети.
• Из 12 систем совпали с разделом VII 360-р: АБС, ДБО (интернет+мобильный), процессинг, СБП-шлюз, система межбанковских расчётов.
• По показателю 10 «Переводы денег» среднедневной объём составил 65 млн руб. — это порог III категории (≤70 млн). Объекту «АБС + ДБО как единая платформа обслуживания» присвоена III категория.
• Процессинг и СБП-шлюз не набрали порог ни по одному показателю из-за небольших объёмов — оформлено решение об отсутствии необходимости присвоения категории.
• Подготовлен единый акт на 5 объектов, сведения по форме ФСТЭК направлены в течение 10 рабочих дней. После включения значимого объекта в реестр банк выполняет требования для III категории: мониторинг, план реагирования, переход на доверенные ПАК.

Что будет, если не провести категорирование

ФСТЭК ведёт плановые и внеплановые проверки (ст. 13 187-ФЗ). Непредставление или несвоевременное представление сведений о категорировании — ст. 19.7.15 КоАП РФ: должностные лица 10–50 тыс. ₽, юрлица 50–100 тыс. ₽; повторное нарушение — должностные 50–100 тыс. ₽, юрлица 100–200 тыс. ₽. За нарушение требований к защите значимых объектов — ст. 13.12.1: должностные 10–50 тыс. ₽, юрлица 50–100 тыс. ₽. С 20.04.2026 действует новая ст. 13.12.2 — штрафы до 500 тыс. ₽ для юрлиц за нарушение правил эксплуатации.

Для банка добавляется внимание ЦБ: в рамках надзора за операционной надёжностью регулятор может запросить сведения о статусе категорирования и результатах. Кроме того, без категорирования невозможно корректно выполнить требования ГосСОПКА и обосновать выбор мер защиты перед ФСТЭК.

После категорирования: что обязательно для значимых и незначимых объектов

Для всех субъектов КИИ, включая банки с объектами без категории, действует обязанность информировать НКЦКИ об инцидентах: 24 часа для незначимых, 3 часа для значимых (приказ ФСБ № 547). Также необходимо непрерывное взаимодействие с ГосСОПКА (для значимых — обязательно, для остальных — по ст. 9 187-ФЗ с 01.09.2025 расширено на госсектор, но банки в любом случае субъекты).

Для значимых объектов добавляются: выполнение требований приказов ФСТЭК № 235, № 239, применение доверенных ПАК (ПП 1912, переход до 01.01.2030), использование российского ПО (сроки пока не утверждены, проект). План реагирования на инциденты для значимого объекта банка согласуется с ЦБ.

Модель угроз и организационные документы по ИБ готовим мы; внедрение сертифицированных СЗИ и аттестацию на значимых объектах выполняет партнёр-лицензиат ФСТЭК.

Что мы подготовим и сколько это стоит

Дистанционно по всей России: вы заполняете опросник (DOCX), при необходимости созвон с ИТ-службой. Далее мы:

• Проверяем, является ли организация субъектом КИИ (бесплатно письменно при заказе категорирования).
• Готовим проект приказа о постоянно действующей комиссии.
• Инвентаризируем ИС/ИТКС/АСУ и сопоставляем с разделом VII 360-р.
• Рассчитываем показатели значимости по ПП 127 по наихудшему сценарию.
• Оформляем проект акта категорирования (единый на несколько объектов).
• Готовим сведения по форме ФСТЭК (приказ № 236 в ред. № 247), включая сведения об отсутствии необходимости категории.
• Сопровождаем до принятия сведений ФСТЭК; правки по замечаниям — бесплатно.

Точную стоимость рассчитаем по опроснику бесплатно в течение рабочего дня.

Частые вопросы

Если вы уже получили запрос ФСТЭК или ЦБ либо просто хотите закрыть вопрос до проверки — начните с категорирования объектов КИИ. Параллельно можно заказать модель угроз ИБ — она потребуется для значимых объектов. Если нужен полный комплект организационных документов по ИБ, посмотрите раздел документов, расчётов и деклараций. Работаем дистанционно, включая банки в Кирове.