Категорирование КИИ на железнодорожном транспорте в Смоленске: перевозчики, ППК, депо, метро

Руководитель пригородной пассажирской компании или владелец путей необщего пользования на заводе в Смоленске часто сомневается: диспетчерская, системы СЦБ, билетные серверы — это уже объекты критической информационной инфраструктуры? Или 187-ФЗ про «больших» перевозчиков, а нам не нужно? Практика показывает: штраф за непредставление сведений во ФСТЭК выписывают и небольшим операторам, у которых есть хотя бы одна система, совпавшая с типовым объектом из распоряжения № 360-р.

Из статьи вы узнаете, как проверить, являетесь ли вы субъектом КИИ, какие системы на ж/д транспорте и в метро обычно подлежат категорированию, по каким показателям присваивается категория и что сделать, чтобы пройти процедуру без претензий регулятора. Бонус — разбор условного примера оператора путей необщего пользования с расчётом показателей.

Является ли железнодорожный перевозчик, владелец путей необщего пользования или метрополитен субъектом КИИ

Критерий субъекта прост: российское юридическое лицо, которому на праве собственности, аренды или ином законном основании принадлежат информационные системы, информационно-телекоммуникационные сети или автоматизированные системы управления, функционирующие в сфере транспорта. Физические лица и ИП субъектами не являются — с 01.09.2025 это прямо исключено законом № 58-ФЗ.

Проверить себя можно за 20 минут: поднимите устав и карточку ОКВЭД. Если основной или дополнительный вид деятельности — железнодорожные перевозки (коды 49.10, 49.20, 49.31 и т.п.), деятельность метрополитена, маневровые работы, транспортная обработка грузов — и у вас есть собственная или арендованная система диспетчеризации, СЦБ, учёта перевозочных документов или билетная система, вы потенциальный субъект. Наличие лицензии на перевозку опасных грузов или статус объекта транспортной инфраструктуры (ОТИ) усиливает вероятность, но не является обязательным условием.

Важно: даже если вы не попадаете под типовые позиции перечня 360-р, вы всё равно обязаны оформить решение об отсутствии необходимости присвоения категории и направить сведения во ФСТЭК. Это не «нет объектов» — это отдельный результат категорирования.

Какие системы обычно становятся объектами КИИ в отрасли

Отправная точка — распоряжение Правительства от 26.02.2026 № 360-р «Об утверждении перечня типовых отраслевых объектов критической информационной инфраструктуры». Это единый перечень из 397 позиций, разделённых по сферам ст. 2 187-ФЗ. Для железнодорожного транспорта и метрополитена наиболее значимы следующие позиции раздела III «Транспорт».

Важный момент: отраслевые особенности категорирования для транспорта на дату подготовки статьи не приняты. Поэтому процедура идёт по общему порядку ПП 127 и перечню 360-р, без дополнительных отраслевых коэффициентов.

Как присваивают категорию: показатели значимости для железнодорожного транспорта

Категории три: I (высшая), II, III. Присваивается категория по наивысшему значению любого из показателей; если по одному показателю получается I, остальные можно не считать. Объект, не дотянувший ни до одного порога, остаётся «без категории» — это тоже оформляемое решение.

Для ж/д отрасли на практике чаще всего срабатывают следующие показатели из перечня к ПП 127:

• Показатель 1 — ущерб жизни и здоровью людей: III категория, если потенциально пострадают от 1 до 50 человек. Для СЦБ и диспетчерской централизации сход или столкновение поездов — реалистичный наихудший сценарий.
• Показатель 3а/3б — транспорт: прекращение или нарушение перевозок на территории одного муниципального образования либо для числа людей от 2 тыс. до 1 млн. Подходит для пригородных перевозок и городского рельсового транспорта.
• Показатель 3г — категория объекта транспортной инфраструктуры (ОТИ) по 16-ФЗ: если объекту присвоена 3-я или 4-я категория ОТИ, то связанный с ним объект КИИ получает III категорию. Это важная связка с транспортной безопасностью.
• Показатель 8 — ущерб госкорпорации, стратегическому АО или предприятию: снижение годового дохода на 1–10% даёт III категорию. Актуально для крупных перевозчиков и метрополитенов.
• Показатель 11 — экологический ущерб: для сливоналивных эстакад и перевозки опасных грузов разлив с последствиями в пределах муниципального образования может дать III категорию.

Если по всем показателям получается меньше порогов — комиссия фиксирует «необходимость присвоения категории отсутствует». Сведения об этом всё равно направляются во ФСТЭК в течение 10 рабочих дней.

Порядок и сроки категорирования

Предельный срок категорирования законом сейчас не установлен (норма о годе отменена ПП 1281). Однако практика ФСТЭК показывает: если к вам пришла проверка или выявлены системы, соответствующие перечню 360-р, а сведения не поданы — это состав правонарушения по ст. 19.7.15 КоАП. Поэтому разумно провести процедуру в течение 1–2 месяцев после осознания статуса.

Особенности отрасли, о которых забывают

• ✓ Транспортная безопасность (16-ФЗ) — отдельный режим. Категорирование ОТИ и категорирование КИИ не отменяют друг друга. Более того, показатель 3г ПП 127 прямо связывает их: если объекту присвоена 3-я или 4-я категория ОТИ, связанная с ним система КИИ получает III категорию.
• ✓ Общая сеть с крупным перевозчиком. Если вы используете инфраструктуру ОАО «РЖД» или другого владельца, ваши собственные системы (например, билетная или учёта вагонов) всё равно могут быть объектами, если они функционируют в сфере транспорта и принадлежат вам.
• ✓ Сливоналивные эстакады для опасных грузов. Помимо промышленной безопасности, эти АСУ прямо указаны в перечне 360-р. Экологический показатель (11) часто даёт как минимум III категорию.
• ✓ Социальный ущерб для метро. Даже локальный сбой в системах доступа или эскалаторах может привести к травмам пассажиров, что почти автоматически означает III категорию по показателю 1 (от 1 до 50 пострадавших).
• ✓ Не забывайте про ИТКС. Технологическая сеть связи, по которой передаются команды СЦБ или диспетчерские распоряжения, сама является объектом категорирования, даже если не обрабатывает информацию, а только транспортирует.

Разбор на примере: оператор путей необщего пользования крупного завода

Как это делали:

• Запросили перечень ИТ-активов и технологических АСУ у ИТ-службы и главного инженера. Выяснили, что завод владеет веткой длиной 3 км, двумя стрелочными постами и диспетчерским пунктом.
• Сопоставили системы с перечнем 360-р: точно совпали диспетчерская централизация (управление стрелками и сигналами с пульта), СЦБ (микропроцессорная централизация), система учёта перевозочных документов (вагонные листы) и АСУ тяговой подстанции.
• Рассчитали показатели по наихудшему сценарию. Для СЦБ: целенаправленная атака может привести к переводу стрелки под составом, сход вагонов, травмы до 10 человек — это III категория по показателю 1 (от 1 до 50). Остальные системы при отказе не создают таких последствий: тяговая подстанция запитана резервно, учёт документов влияет только на оформление, диспетчерская централизация дублируется ручным управлением (риск только задержка, не травмы).
• Оформили единый акт на 4 объекта: 1 — III категория, 3 — без категории. Сведения по форме ФСТЭК направили в течение 10 рабочих дней.
• После принятия сведений значимый объект (СЦБ) подлежит включению в реестр. Далее — выполнение требований к значимым объектам: взаимодействие с ГосСОПКА, доверенные ПАК, меры защиты по приказам ФСТЭК.

Что будет, если не провести категорирование

Непредставление сведений о результатах категорирования во ФСТЭК или нарушение сроков — это состав по ч. 1 ст. 19.7.15 КоАП РФ: штраф на должностных лиц от 10 000 до 50 000 ₽, на юридических лиц — от 50 000 до 100 000 ₽. Повторное нарушение (ч. 3) увеличивает штраф до 100 000–200 000 ₽ для юрлиц.

ФСТЭК активно контролирует это направление: по данным, озвученным на Инфофоруме-2026, из 603 протоколов 492 составлены именно за непредставление или несвоевременное представление сведений. Кроме того, отраслевые регуляторы (Минтранс) в рамках ведомственного мониторинга проверяют достоверность сведений и сообщают во ФСТЭК о выявленных типовых объектах без категорирования. Игнорирование также повышает риск внеплановой проверки при инциденте.

После категорирования: что обязательно для значимых и незначимых объектов

Для всех субъектов КИИ — независимо от наличия категории — действует обязанность информировать НКЦКИ (ГосСОПКА) об инцидентах: для значимых объектов — не позднее 3 часов с момента обнаружения, для иных объектов — не позднее 24 часов.

Для значимых объектов (I–III категории) добавляются требования приказов ФСТЭК № 235 и № 239, включая использование доверенных программно-аппаратных комплексов (ПП 1912). По модели угроз и организационным документам по ИБ даём методическое сопровождение: документ готовит ваш специалист по нашему шаблону, мы консультируем и проверяем. Внедрение сертифицированных средств защиты и аттестацию выполняет партнёр-лицензиат ФСТЭК — мы не проводим лицензируемые работы.

Что мы подготовим и сколько это стоит

Компания «МелданаСБ» работает дистанционно по всей России, в том числе с организациями в Смоленске. Мы готовим полный комплект документов, который субъект утверждает и направляет во ФСТЭК самостоятельно — это юридически корректно, направлять сведения обязан субъект.

• Проверка, является ли организация субъектом КИИ (по ОКВЭД, лицензиям, уставу) — при заказе категорирования бесплатно;
• Проект приказа о постоянно действующей комиссии;
• Инвентаризация ИС, ИТКС и АСУ и сопоставление с перечнем 360-р;
• Расчёт показателей значимости по ПП 127 по наихудшему сценарию;
• Проект акта категорирования (допускается единый на несколько объектов);
• Сведения о результатах категорирования по форме ФСТЭК (приказ № 236 в ред. № 247), включая решение об отсутствии категории;
• Сопровождение до принятия сведений ФСТЭК; правки по замечаниям — бесплатно.

Цена ниже рыночной за счёт отработанных типовых решений для ж/д отрасли и дистанционного формата: вы заполняете опросник, мы готовим документы, специалист по защите информации консультирует по телефону или в переписке.

Частые вопросы

Полный комплект для категорирования КИИ на ж/д транспорте мы готовим за 7–10 рабочих дней. Если сомневаетесь, является ли ваша организация субъектом, запросите бесплатную проверку по опроснику. Также вам могут понадобиться модель угроз ИБ и организационные документы по информационной безопасности. По любым вопросам — свяжитесь с нами.