Объект ТЭК и объект КИИ: чем отличаются 256-ФЗ и 187-ФЗ и когда работают оба режима

Объект ТЭК и объект КИИ — разные вещи, хотя часто находятся на одной площадке. Объект ТЭК по 256-ФЗ — это физический объект: котельная, подстанция, нефтебаза, газопровод. Его защищают от актов незаконного вмешательства — теракта, диверсии, проникновения. Объект критической информационной инфраструктуры по Федеральному закону от 26.07.2017 № 187-ФЗ — это информационная система, сеть или автоматизированная система управления, и её защищают от компьютерных атак. Категорируют их разные комиссии по разным правилам, и результат одной процедуры не заменяет другую.

Путаница возникает из-за одного слова. И там, и там звучит «категорирование», и там, и там фигурирует топливно-энергетический комплекс. Поэтому, получив акт по одному режиму, предприятие нередко считает, что закрыло оба, — и узнаёт об обратном от проверяющих.

Что такое категорирование объекта ТЭК

Категорирование по 256-ФЗ «О безопасности объектов топливно-энергетического комплекса» нужно, чтобы установить дифференцированные требования безопасности. Учитывается степень потенциальной опасности акта незаконного вмешательства и его возможные социально-экономические последствия: является ли объект критически важным или потенциально опасным, масштаб последствий, наличие критических элементов и потенциально опасных участков (ч. 1 ст. 5).

Процедура выглядит так:

• перечень объектов, подлежащих категорированию, утверждается в субъекте РФ с участием антитеррористической комиссии;
• комиссию по категорированию создаёт субъект ТЭК, в неё входят представители госорганов;
• по итогам объекту присваивается высокая, средняя или низкая категория опасности либо категория не присваивается, решение оформляется актом;
• на основе акта составляется паспорт безопасности, его согласует председатель АТК в субъекте РФ и утверждает руководитель субъекта ТЭК;
• сведения об объекте вносятся в реестр, который ведёт Минэнерго.

Предмет защиты здесь — площадка целиком: охрана, ограждение, инженерно-технические средства, пропускной режим, защита критических элементов. Требования для категорированных объектов утверждены ПП РФ от 03.08.2024 № 1046дсп — документ ограниченного распространения. Перечень основных актов по теме собран в подборке КонсультантПлюс.

Что такое категорирование объектов КИИ

187-ФЗ работает с другим предметом. Субъектами КИИ закон называет организации, которым на законном основании принадлежат информационные системы, информационно-телекоммуникационные сети и автоматизированные системы управления, работающие в ряде сфер. Топливно-энергетический комплекс в перечне этих сфер есть — поэтому энергетическое предприятие почти всегда должно задать себе вопрос о КИИ.

Категорируют по 187-ФЗ не площадку, а конкретные системы: АСУ ТП котельной, телемеханику подстанции, автоматику налива на нефтебазе, систему учёта, корпоративную сеть. Категорирование проводит сам субъект КИИ, без включения в региональный перечень, по своим критериям значимости. Эта шкала никак не связана с категориями опасности по 256-ФЗ. Регулятор в области безопасности КИИ — ФСТЭК России.

Для энергетики есть отраслевая специфика: существуют методические рекомендации по категорированию объектов КИИ в ТЭК, согласованные Минэнерго и ФСТЭК России. Детали процедуры, формы и сроки установлены подзаконными актами к 187-ФЗ — перед началом работы сверьте их действующие редакции.

Сравнение 256-ФЗ, 187-ФЗ и третьего режима — 116-ФЗ

У большинства энергетических объектов есть и третий режим — промышленная безопасность опасных производственных объектов. Чтобы не смешивать все три, полезно держать перед глазами одну таблицу.

Вопрос	Объект ТЭК, 256-ФЗ	Объект КИИ, 187-ФЗ	ОПО, 116-ФЗ
Что защищают	Физический объект от актов незаконного вмешательства	Информационные системы, сети и АСУ от компьютерных атак	Производственный объект от аварий и инцидентов
Кто обязан	Субъект ТЭК: владелец объекта и головная организация	Субъект КИИ: организация, которой принадлежат системы в одной из сфер, включая ТЭК	Эксплуатирующая организация
Что оценивают	Объект целиком с критическими элементами	Отдельные системы: ИС, сети, АСУ ТП	ОПО по признакам опасности
Кто проводит	Комиссия субъекта ТЭК с участием госорганов, перечень — в субъекте РФ	Комиссия субъекта КИИ по собственной инициативе	Класс опасности определяется при идентификации и регистрации ОПО
Шкала	Высокая, средняя, низкая категория или без категории	Своя шкала значимости по 187-ФЗ	Классы опасности I–IV
Итоговые документы	Акт категорирования, паспорт безопасности	Документы о категорировании по подзаконным актам к 187-ФЗ	Свидетельство о регистрации, сведения, характеризующие ОПО
Кто регулирует и проверяет	Минэнерго — реестр, АТК — согласование паспорта, Росгвардия — госконтроль	ФСТЭК России	Ростехнадзор

Где режимы встречаются: статья 11 256-ФЗ

В самом 256-ФЗ есть отдельная статья 11 «Обеспечение безопасности информационных систем объектов ТЭК». Закон о ТЭК не игнорирует информационную составляющую, но центр тяжести у него — физическая защита: паспорт безопасности описывает характеристику объекта, возможные последствия, категорию, состояние физической защиты и пожарной безопасности. Защита систем управления по своей детальной процедуре идёт в режиме КИИ.

Практический вывод: утверждённый паспорт безопасности объекта ТЭК не означает, что вы выполнили требования по КИИ. И наоборот — проведённое категорирование АСУ ТП ничего не говорит о том, есть ли у площадки ограждение, охрана и пропускной режим.

Когда работают оба режима: типовые ситуации

• Котельная с диспетчеризацией. Сама котельная — объект теплоснабжения, то есть объект ТЭК по отраслевому признаку. Система управления горелками и удалённый мониторинг — информационная система в сфере ТЭК.
• Подстанция с телемеханикой. Объект электроэнергетики плюс система телемеханики и связи с диспетчерским центром.
• Нефтебаза или сеть АЗС. Объект нефтепродуктообеспечения плюс автоматика налива, учёт и система управления резервуарным парком.
• Газораспределительная организация. Сети и ГРП — объекты газоснабжения, телеметрия ГРП — информационная система.

В каждом из этих случаев площадка — кандидат в объекты ТЭК, системы — кандидаты в объекты КИИ, а при наличии газа, давления или опасных веществ добавляется ещё и ОПО. Три режима — три комплекта документов и, как правило, три разных ответственных: служба безопасности, служба АСУ и ИТ, служба промышленной безопасности. Является ли конкретная система значимым объектом КИИ, а площадка — категорированным объектом ТЭК, решают соответствующие комиссии, а не отраслевая принадлежность сама по себе.

Типовые ошибки при совмещении режимов

• считать, что паспорт безопасности ТЭК закрывает вопросы КИИ, или наоборот;
• ждать письма из региона по КИИ: категорирование по 187-ФЗ организация проводит сама, региональный перечень объектов ТЭК его не запускает;
• вести два списка объектов, которые не сходятся: служба безопасности знает одни площадки, ИТ — другие системы;
• забывать про ОПО: ни ТЭК, ни КИИ не отменяют экспертизу промышленной безопасности, ПМЛА и производственный контроль;
• путать ответственность: по 256-ФЗ основная норма — ст. 20.30 КоАП РФ, по промышленной безопасности — ст. 9.1 КоАП РФ, а нарушения в сфере КИИ квалифицируются по своим нормам.

Начать удобно с того, что уже есть в папках: какие объекты зарегистрированы как ОПО, какие сведения об антитеррористической защищённости собраны, кто за что отвечает по приказам. Это проверяет «Блиц-аудит» НПИ «Недра» — аудит системы управления промышленной безопасностью по документам онлайн. Вы загружаете то, что есть, по перечню из 47 пунктов, включая сведения, характеризующие ОПО, свидетельство о регистрации ОПО, информацию об антитеррористической защищённости, лицензию, СУПБ, ПМЛА и страхование. Цену предлагаете сами, оплата двумя частями по 50%. В ответ — замечания и отчёт с электронной подписью: что в порядке, чего не хватает и что исправить. Категорирование по 256-ФЗ и 187-ФЗ аудит не заменяет, но покажет, на какие документы опираться и где у вас пробелы.

Фото: Trevor Harris, Wikimedia Commons, CC BY-SA 2.0