Категорирование КИИ для страховой, МФО, брокера и НПФ в Смоленске

--Категорирование КИИ для страховой, МФО, брокера и НПФ в Смоленске

Связаться со специалистами компании можно несколькими способами:
- По телефону: +78122411669
- По E-mail: sale@meldana.ru или через форму

Заказать консультацию

Категорирование КИИ для страховщиков, МФО, брокеров, НПФ: кто субъект в сфере финансового рынка, типовые объекты, требования ЦБ и ФСТЭК. От 29 900 ₽.

Категорирование КИИ для страховой, МФО, брокера и НПФ в Смоленске

Если ваша организация работает на финансовом рынке — страховая, микрофинансовая организация, брокер или НПФ, — вы наверняка уже сталкивались с формулировкой «банковская сфера и иные сферы финансового рынка» в 187-ФЗ. Но означает ли это, что вы автоматически становитесь субъектом критической информационной инфраструктуры? Какие системы проверять, как считать категорию и что вообще отправлять во ФСТЭК — вопросов обычно больше, чем ответов.

В этой статье разберём, как определить статус субъекта КИИ для некредитных финансовых организаций в Смоленске, какие объекты чаще всего попадают в перечень 360-р, и почему «мы слишком маленькие» не освобождает от обязанностей. Вы узнаете, что происходит после подачи сведений, какие штрафы возможны за молчание и сколько стоит подготовка документов без лишних выездов и бюрократии.

Коротко

Отрасль «банковская сфера и иные сферы финансового рынка» — прямо названа в п. 8 ст. 2 187-ФЗ. Субъектом становится юрлицо, владеющее ИС/ИТКС/АСУ, функционирующими в этой сфере.
Субъект КИИ — не весь рынок автоматически: проверяем фактический вид деятельности, ОКВЭД, лицензии, устав и наличие систем, совпадающих с перечнем 360-р.
Типовые объекты отрасли: учёт договоров страхования, учёт клиентов МФК, учёт НПФ, личные кабинеты, торговые системы брокера, системы операционной надёжности и ДБО.
Проверяет правильность категорирования ФСТЭК: сведения подаются от субъекта, ФСТЭК проверяет их 30 дней и вносит значимые объекты в реестр.
С 2026 года действуют отраслевые особенности финансового рынка (ПП РФ от 06.02.2026 № 92): ежегодный доклад о значимых объектах и дублирование инцидентов в ЦБ.

Является ли некредитная финансовая организация (страховщик, МФО, брокер, НПФ, управляющая компания) субъектом КИИ

Ключевой критерий — не название отрасли, а принадлежность системы и её функционирование в сфере финансового рынка. По п. 8 ст. 2 187-ФЗ субъект КИИ — это российское юридическое лицо, которому на праве собственности, аренды или ином законном основании принадлежат информационные системы (ИС), информационно-телекоммуникационные сети (ИТКС) или автоматизированные системы управления (АСУ), функционирующие в перечисленных сферах. Сфера прямо названа: «банковская сфера и иные сферы финансового рынка».

Субъекты КИИ — государственные органы, государственные учреждения и российские юридические лица, которым на праве собственности, аренды или ином законном основании принадлежат ИС, ИТКС или АСУ, функционирующие в сферах, перечисленных в п. 8 ст. 2 187-ФЗ. «Банковская сфера и иные сферы финансового рынка» включена в этот перечень.

Как проверить, ваша ли организация: смотрим не только на ОКВЭД, но и на лицензии, устав и фактическую деятельность. Важно, что с 01.09.2025 индивидуальные предприниматели исключены из числа субъектов КИИ, поэтому ИП-страховой брокер или ИП-МФО не являются субъектами 187-ФЗ. Юридические лица проверяем по-другому.

Тип организации	Субъект КИИ?	Почему
МФО / МФК	Да, как правило	Некредитная финансовая организация; учёт клиентов МФК и личные кабинеты входят в перечень 360-р.
Ломбард	Да, обычно	Относится к НФО по ст. 76.1 закона о ЦБ. Проверяем, есть ли системы из перечня 360-р.
Страховой брокер / агент	Не всегда	Зависит от наличия собственных ИС, совпадающих с перечнем. Агент часто работает на инфраструктуре партнёра.
Брокер / управляющая компания	Да, как правило	Профессиональный участник рынка ценных бумаг; торговые системы и учёт клиентов часто являются типовыми объектами.
НПФ	Да	Учёт НПФ прямо назван в перечне 360-р; для НПФ установлен специальный показатель 10(3).
Платёжный агент	Обычно нет	Если не является оператором платёжной системы и не имеет самостоятельных объектов из перечня 360-р.

Важно: если ваша организация может не быть субъектом КИИ, мы скажем об этом до оплаты. Проверка статуса с письменным заключением — бесплатно при заказе категорирования. Для этого достаточно опросника и перечня ИС/АСУ/ИТКС.

Какие системы обычно становятся объектами КИИ в отрасли

С 26.02.2026 действует единый перечень типовых отраслевых объектов КИИ — распоряжение Правительства РФ № 360-р. Раздел VII «Финансовый рынок» содержит позиции, которые прямо касаются некредитных финансовых организаций. Категорированию подлежат системы, соответствующие этим типам.

Отраслевые особенности для финансового рынка утверждены ПП РФ от 06.02.2026 № 92, согласованы с ФСТЭК и ЦБ. Они не отменяют общий порядок ПП № 127, а уточняют его: добавляют ежегодный доклад о значимых объектах и увязывают обмен инцидентами с ЦБ.

Процесс	Объект КИИ (пример)	Тип
Учёт договоров страхования	Автоматизированная система учёта договоров страхования	ИС
Клиентский сервис	Личный кабинет клиента (страховщик, МФО, брокер)	ИС
Учёт клиентов МФК	АС учёта клиентов и займов микрофинансовой компании	ИС
Торговые операции брокера	Система управления торговыми операциями / торговый терминал	ИС
Учёт пенсионных активов	Система учёта пенсионных накоплений и резервов НПФ	ИС
Операционная надёжность	ИТКС, обеспечивающие непрерывность финансовых операций	ИТКС
Дистанционное обслуживание	Система ДБО / мобильный банк (если есть)	ИС

В перечень также входят системы ЦБ, процессинг, клиринг, регистратор финансовых транзакций, БКИ, операторы УПИ, операторы услуг информационного обмена и системы СФР. Если ваша инфраструктура не подпадает ни под одну позицию — это ещё не значит «ничего не делать»: решение оформляется сведениями об отсутствии категории.

Как присваивают категорию: показатели значимости для некредитных финансовых организаций

Категория присваивается по наихудшему сценарию целенаправленной атаки: прекращение функционирования или нарушение заданных параметров штатного режима (п. 14(1) ПП № 127). Для финансового рынка ПП № 127 содержит специальные показатели с 10 по 10(7). Именно они чаще всего определяют, попадёт ли объект в III категорию или останется «без категории».

Пороги III (низшей) категории по показателям:

Показатель 10(3) — НПФ: активы от 50 до 1000 млрд руб. → III категория.
Показатель 10(4) — страховщик: активы от 100 до 1500 млрд руб. → III категория.
Показатель 10(6) — МФК: сумма выданных займов за год от 100 до 1000 млрд руб. → III категория.
Показатель 10(7) — бюро кредитных историй: от 30 до 200 млн кредитных историй → III категория.

Для брокеров и управляющих компаний отдельного финансового показателя нет, поэтому оцениваются общие показатели: социальный (ущерб жизни и здоровью), экономический (ущерб организации или бюджету) и другие. Если по всем показателям объект не набирает порог III категории, категорию не присваивают.

«Без категории» — это тоже результат, который нужно оформить. В сведения во ФСТЭК включается информация об отсутствии необходимости присвоения категории. Не подать сведения нельзя: объект всё равно находится в сфере КИИ и подлежит инвентаризации.

Порядок и сроки категорирования

Предельный срок категорирования, установленный ранее, отменён. Поэтому ориентир — разумная последовательность шагов после выявления признаков субъекта. Типовой порядок выглядит так:

Шаг	Что делаем	Срок / норма
1	Проверка, является ли организация субъектом КИИ	Бесплатно при заказе; срок — до 1 рабочего дня
2	Подготовка проекта приказа о постоянно действующей комиссии	п. 11–13 ПП № 127
3	Инвентаризация ИС, ИТКС, АСУ и сопоставление с перечнем 360-р	Срок нормой не установлен; у нас 3–4 раб. дня
4	Расчёт показателей значимости по наихудшему сценарию	п. 14(1), показатели ПП № 127
5	Оформление акта категорирования (допускается единый на несколько объектов)	п. 16 ПП № 127; подписывает комиссия, утверждает руководитель
6	Направление сведений во ФСТЭК по форме приказа ФСТЭК № 236 (в ред. № 247)	В течение 10 рабочих дней со дня утверждения акта
7	Проверка ФСТЭК; при замечаниях — устранение; далее пересмотр	ФСТЭК проверяет 30 дней; на устранение до 10 дней; пересмотр не реже 1 раза в 5 лет

Мы берём на себя подготовку всех проектов, расчёт показателей и формирование сведений во ФСТЭК. Сопровождение до принятия сведений реестром — с бесплатными правками по замечаниям.

Особенности отрасли, о которых забывают

✓ Формулировка сферы — «банковская сфера и иные сферы финансового рынка», а не просто «банки». Поэтому страховщики, МФО, НПФ, профучастники подпадают под закон.
✓ ПП № 92 от 06.02.2026 требует ежегодно, не позднее 10-го рабочего дня года, представлять уполномоченному органу перечень значимых объектов и решение о пересмотре. Отдельный доклад, о котором часто не знают.
✓ Об инцидентах финансовые организации сообщают не только в НКЦКИ, но и в ЦБ. Для значимых объектов срок информирования — 3 часа, для иных — 24 часа.
✓ Небольшие МФО и страховщики часто получают «без категории»: активы или займы ниже порогов III категории. Но обязанность оформить сведения и сообщать об инцидентах остаётся.
✓ Требования ЦБ к защите информации для НФО действуют параллельно с категорированием КИИ. Мы учитываем их в исходных данных, но категорирование выполняется именно по 187-ФЗ и ПП № 127.

Разбор на примере: микрофинансовая компания с онлайн-выдачей

Условный пример для наглядности — не реальный заказчик

Сфера	Микрофинансовая компания (МФК)
Систем проверено	9
Совпало с перечнем 360-р	4 (учёт клиентов МФК, личный кабинет, система операционной надёжности, ИТКС)
Категории	1 объект — III категория (показатель 10(6), займы 130 млрд ₽ за год); 3 объекта — без категории
Срок подготовки комплекта	8 рабочих дней

Как это делали:

Запросили опросник, устав, лицензию МФК, ОКВЭД и перечень всех ИС и ИТКС с описанием процессов.
Сопоставили 9 систем с перечнем 360-р; 4 системы совпали с типовыми объектами раздела VII.
Для совпавших систем рассчитали показатели по наихудшему сценарию. Система учёта клиентов МФК дала III категорию по показателю 10(6): годовой объём займов 130 млрд руб. попадает в диапазон ≥100 и <1000 млрд руб.
Составили акт категорирования (единый на 4 объекта) и сведения по форме ФСТЭК; направили во ФСТЭК в течение 10 рабочих дней после утверждения акта.
Дальше: по значимому объекту — меры защиты по приказам ФСТЭК 235/239, взаимодействие с ГосСОПКА, доверенные ПАК; по объектам без категории — информирование об инцидентах в течение 24 часов и ежегодный доклад по ПП № 92.

Что будет, если не провести категорирование

ФСТЭК контролирует правильность отнесения объектов к значимым в рамках плановых и внеплановых проверок (ст. 13 187-ФЗ). Плановая проверка возможна по истечении 3 лет с момента внесения объекта в реестр или окончания последней проверки.

Отдельно за непредставление или недостоверность сведений о категорировании предусмотрена ст. 19.7.15 КоАП РФ: должностные лица от 10 до 50 тыс. руб., юрлица от 50 до 100 тыс. руб. Повторное нарушение — для юрлиц от 100 до 200 тыс. руб. Непредставление информации в ГосСОПКА — юрлица от 100 до 500 тыс. руб.

За нарушение требований безопасности значимых объектов работает ст. 13.12.1 КоАП (юрлица 50–100 тыс. руб.), а с 20.04.2026 — новая ст. 13.12.2 за нарушение правил эксплуатации средств и систем КИИ (юрлица 100–500 тыс. руб.). При тяжких последствиях возможна уголовная ответственность по ст. 274.1 УК РФ вплоть до лишения свободы на 5–10 лет.

Для финансового рынка добавляются и отраслевые риски: НФО, допустившая несоответствие требованиям ЦБ в области защиты информации, может получить предписания регулятора, что влияет на деловую репутацию и взаимодействие с банками.

После категорирования: что обязательно для значимых и незначимых объектов

Все субъекты КИИ обязаны информировать НКЦКИ (ГосСОПКА) об атаках и инцидентах: значимые объекты — не позднее 3 часов с момента обнаружения, иные объекты КИИ — не позднее 24 часов. Финансовые организации дублируют информацию в ЦБ в те же сроки.

Для значимых объектов дополнительно применяются требования приказов ФСТЭК № 235 и № 239 к созданию систем безопасности и обеспечению безопасности. Это внедрение сертифицированных СЗИ, привлечение лицензиатов ТЗКИ, план реагирования (для финансовой сферы — с согласованием с ЦБ) и переход на доверенные ПАК по ПП № 1912.

По модели угроз и организационным документам по ИБ даём методическое сопровождение: документ готовит ваш специалист по нашему шаблону, мы консультируем и проверяем. Внедрение сертифицированных СЗИ, аттестацию и лицензируемые работы по значимым объектам выполняет партнёр-лицензиат ФСТЭК.

Что мы подготовим и сколько это стоит

Работаем дистанционно по всей России, включая Смоленске. Нужен только опросник (DOCX), перечень ИС/АСУ/сетей и сведения о процессах; при необходимости проводим созвон с ИТ-службой.

Проверка, является ли организация субъектом КИИ (по ОКВЭД, лицензиям, уставу и фактическим видам деятельности);
Проект приказа о постоянно действующей комиссии;
Инвентаризация ИС, ИТКС и АСУ с сопоставлением с перечнем 360-р;
Расчёт показателей значимости по ПП № 127 по наихудшему сценарию;
Проект акта категорирования (единый на несколько объектов);
Сведения о результатах категорирования по форме ФСТЭК (приказ № 236 в ред. № 247), включая отсутствие необходимости категории;
Сопровождение до внесения в реестр / принятия сведений ФСТЭК с бесплатными правками.

Вариант	Рынок	МелданаСБ	Срок
Категорирование + перечень + сведения	80–300 тыс. ₽	от 29 900 ₽	7–10 раб. дней
Модель угроз ИБ	20–50 тыс. ₽	от 12 900 ₽	по опроснику
Категорирование + модель угроз	100–350 тыс. ₽	от 39 900 ₽	по опроснику

Почему дешевле: у нас отработанные типовые решения для финансового рынка, дистанционный формат без выезда, а документы готовит специалист по защите информации. Нет расходов на командировки и офисные встречи. Точную цену называем после опросника — бесплатно в течение рабочего дня.

Готовьте категорирование под контролем специалиста

✓ Подготовка комплекта — от 7 рабочих дней
✓ Фиксированная цена от 29 900 ₽ за до 5 объектов
✓ Правки по замечаниям ФСТЭК — бесплатно до принятия сведений

Рассчитать категорирование КИИ

Частые вопросы

МФО — субъект КИИ?

Да, если у МФО есть ИС, ИТКС или АСУ, совпадающие с перечнем 360-р (раздел VII — учёт клиентов МФК, личный кабинет, системы операционной надёжности). Маленькая МФО может оказаться «без категории», но обязана оформить сведения и сообщать об инцидентах в ГосСОПКА.

Ломбард — субъект КИИ?

Обычно да, так как ломбард относят к некредитным финансовым организациям по ст. 76.1 закона о ЦБ. Но нужно проверить, есть ли у него самостоятельные системы из перечня 360-р. Если систем нет — сведения об отсутствии категории всё равно подаются.

Страховые агенты и брокеры — субъекты КИИ?

Не всегда. Страховой агент часто работает на инфраструктуре страховщика и не владеет собственными объектами из перечня. Страховой брокер может иметь собственные ИС, но для вывода о статусе нужна проверка по уставу, ОКВЭД и фактическим системам.

Какие требования ЦБ действуют для НФО параллельно с 187-ФЗ?

Для некредитных финансовых организаций действуют отдельные требования ЦБ к защите информации и операционной надёжности. Они не заменяют категорирование, а дополняют его. При подготовке исходных данных учитываем эти требования, но сам расчёт категории выполняется по ПП № 127 и перечню 360-р.

Что значит «объект без категории» и нужно ли подавать сведения?

«Без категории» означает, что по всем показателям значимости объект не набрал порог III категории. Это результат категорирования, который фиксируется в акте и оформляется сведениями во ФСТЭК. Подать сведения обязательно: непредставление — административная ответственность по ст. 19.7.15 КоАП РФ.

Категорирование КИИ для финансового рынка — это не разовый аврал, а входящая процедура, которая определяет последующие меры защиты: значимость объекта, требования к СЗИ, обмен инцидентами с ГосСОПКА и ЦБ. Если вы сомневаетесь, с чего начать, начните с проверки статуса. Категорирование объектов КИИ в Смоленске можно подготовить дистанционно. Если понадобится модель угроз ИБ или организационные документы по ИБ — поможем и с этим.

Категорирование КИИ по отраслям