Постановление Правительства РФ № 836

Постановление Правительства РФ № 836 — это нормативный правовой акт, принятый Правительством Российской Федерации 19 августа 2020 года, который утвердил Правила отнесения владельцев объектов критической информационной инфраструктуры (КИИ) к субъектам КИИ, а также перечень сведений и порядок их представления в уполномоченный орган в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации. Документ является ключевым подзаконным актом, реализующим положения Федерального закона № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» и определяющим механизм идентификации объектов КИИ и их владельцев.

История принятия

Постановление № 836 было разработано во исполнение требований Федерального закона от 26 июля 2017 года № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации». Закон установил общие принципы обеспечения безопасности КИИ, однако для его практической реализации требовались подзаконные акты, детализирующие процедуры категорирования объектов, порядок взаимодействия с государственными органами и критерии отнесения организаций к субъектам КИИ.

До принятия Постановления № 836 действовали временные правила, утверждённые Приказом ФСТЭК России от 6 декабря 2017 года № 227, которые носили рекомендательный характер. Принятие единого правительственного акта было необходимо для унификации подходов к идентификации субъектов КИИ, устранения правовых пробелов и обеспечения централизованного учёта объектов критической инфраструктуры. Постановление вступило в силу с 1 января 2021 года, заменив собой ранее действовавшие ведомственные акты.

Содержание и структура

Постановление № 836 состоит из двух основных частей: утверждённых Правил отнесения владельцев объектов КИИ к субъектам КИИ и Порядка представления сведений в уполномоченный орган. Документ содержит 12 пунктов и несколько приложений, включая форму уведомления и перечень сведений.

Правила отнесения к субъектам КИИ

Правила устанавливают, что владелец объекта КИИ обязан самостоятельно определить, относится ли его организация к субъектам КИИ. Критерием является наличие у организации на праве собственности, аренды или ином законном основании объектов КИИ, которые соответствуют одному из следующих признаков:

• Объект относится к одной из сфер, перечисленных в статье 2 Федерального закона № 187-ФЗ (здравоохранение, наука, транспорт, связь, энергетика, банковская сфера, оборонная промышленность, ракетно-космическая промышленность, горнодобывающая промышленность, металлургическая промышленность, химическая промышленность, топливно-энергетический комплекс, атомная энергетика, оборонная промышленность и другие).
• Нарушение (прекращение) функционирования такого объекта может привести к негативным последствиям для обороноспособности, безопасности государства, жизнедеятельности населения, экономики или финансовой системы.

Владелец обязан в течение 10 рабочих дней с момента получения информации о том, что его объект соответствует критериям КИИ, направить уведомление в Федеральную службу по техническому и экспортному контролю (ФСТЭК России). Если объект перестаёт соответствовать критериям, владелец также обязан уведомить об этом ФСТЭК.

Порядок представления сведений

Порядок определяет, какие именно сведения владелец объекта КИИ должен направить в ФСТЭК России. Перечень включает:

• Полное наименование организации, её организационно-правовая форма, ИНН, ОГРН, адрес места нахождения.
• Сведения о принадлежности объекта к определённой сфере (с указанием кода по ОКВЭД).
• Информация о типе объекта КИИ (информационная система, автоматизированная система управления производственными и технологическими процессами, информационно-телекоммуникационная сеть).
• Сведения о категории значимости объекта (если она уже присвоена).
• Контактные данные ответственного лица за обеспечение безопасности КИИ.

Сведения представляются в электронной форме через личный кабинет на официальном сайте ФСТЭК России или на бумажном носителе. Срок представления — не позднее 10 рабочих дней после возникновения основания для отнесения к субъектам КИИ.

Применение и значение

Постановление № 836 является обязательным для исполнения всеми юридическими лицами и индивидуальными предпринимателями, которые являются владельцами объектов КИИ. Неисполнение требований постановления, в том числе непредставление сведений или представление недостоверных данных, влечёт административную ответственность по статье 13.12.1 Кодекса РФ об административных правонарушениях (штраф для должностных лиц от 10 000 до 50 000 рублей, для юридических лиц — от 50 000 до 100 000 рублей).

Документ играет ключевую роль в формировании единого реестра субъектов КИИ, который ведётся ФСТЭК России. Наличие такого реестра позволяет государству координировать меры по защите критической инфраструктуры, проводить мониторинг угроз и своевременно реагировать на инциденты. Постановление также устанавливает чёткие сроки и процедуры, что снижает правовую неопределённость для бизнеса.

Критика и сложности применения

С момента вступления в силу Постановление № 836 неоднократно подвергалось критике со стороны представителей бизнеса и экспертного сообщества. Основные претензии касаются:

• Неопределённости критериев. Формулировки «может привести к негативным последствиям» носят оценочный характер, что затрудняет самостоятельное определение статуса субъекта КИИ. На практике организации часто обращаются за разъяснениями в ФСТЭК, что увеличивает нагрузку на ведомство.
• Коротких сроков уведомления. 10-дневный срок с момента обнаружения соответствия критериям признаётся недостаточным для сбора и оформления всех необходимых документов, особенно для крупных холдингов с разветвлённой структурой.
• Отсутствия единой методики категорирования. Постановление не содержит детальных инструкций по присвоению категории значимости объекту (первая, вторая, третья), что вынуждает организации разрабатывать собственные методики, которые могут не соответствовать требованиям регулятора.

В 2022 году ФСТЭК России анонсировала разработку изменений в Постановление № 836, направленных на уточнение критериев и упрощение процедур, однако на начало 2024 года официальные поправки приняты не были.

Взаимосвязь с другими нормативными актами

Постановление № 836 действует в комплексе с рядом других документов, регулирующих безопасность КИИ:

• Федеральный закон № 187-ФЗ — основной закон, устанавливающий правовые основы.
• Приказ ФСТЭК России № 239 — утверждает требования к обеспечению безопасности объектов КИИ.
• Постановление Правительства РФ № 127 — устанавливает порядок категорирования объектов КИИ.
• Постановление Правительства РФ № 111 — определяет порядок обмена информацией об инцидентах в КИИ.

Все эти акты образуют единую нормативную базу, направленную на защиту критической информационной инфраструктуры от компьютерных атак и иных угроз.

Источники

• Постановление Правительства Российской Федерации от 19.08.2020 № 836 «Об утверждении Правил отнесения владельцев объектов критической информационной инфраструктуры Российской Федерации к субъектам критической информационной инфраструктуры Российской Федерации и Порядка представления сведений о субъектах критической информационной инфраструктуры Российской Федерации в уполномоченный орган в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации».
• Федеральный закон от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации».
• Кодекс Российской Федерации об административных правонарушениях, статья 13.12.1.
• Разъяснения ФСТЭК России по вопросам применения Постановления № 836 (официальный сайт ФСТЭК России, раздел «Критическая информационная инфраструктура»).