КИИ в фармацевтике: как пройти категорирование

В 2025 году требования к КИИ в фармацевтике серьезно поменялись. Правила категорирования формально существовали и раньше, но большинство компаний годами работали в режиме неопределенности. Никто толком не понимал, что именно считать объектом КИИ, какие системы подлежат проверке и где та самая граница значимости.

С осени 2025 года этот период заканчивается. Регулятор постепенно переводит категорирование в более формальный и предсказуемый режим — через перечни типовых объектов и отраслевые методики оценки.

Разберем, что именно поменялось и как фармацевтическим компаниям с этим работать.

В 2025 году приняли два закона — № 58-ФЗ от 7 апреля и № 325-ФЗ от 31 июля. С 1 сентября они переписали правила игры для всех, кто работает с критической инфраструктурой.

Обновили постановление № 127 с правилами категорирования. Переделали форму, утвержденную приказом ФСТЭК России № 236. Но главное не это. В законе появились два новых понятия, которые меняют весь подход к категорированию.

Правительство теперь составляет списки типовых систем КИИ для каждой отрасли. В них перечислены конкретные виды информационных систем, автоматизированных комплексов и сетей, которые подлежат категорированию.

Для здравоохранения такой перечень уже существовал ранее. Минздрав и ФСТЭК России согласовали документ еще в декабре 2023 года, который подписали заместитель директора ФСТЭК России Виталий Лютиков и замминистра здравоохранения Павел Пугачев.

В перечень попали пять групп систем: государственные системы здравоохранения регионов, медицинские информационные системы, системы фармацевтических организаций, программы для автоматизации медицинской деятельности и ИТ-инфраструктура, которая обеспечивает работу медучреждений.

К каждой группе привязали коды ОКВЭД и описали, какие процессы она обслуживает. Если система попадает в перечень типовых объектов, ее рассматривают как подлежащую категорированию.

Отраслевые перечни объединены в один документ: распоряжением Правительства России от 26 февраля 2026 года № 360-р утвержден перечень типовых отраслевых объектов КИИ, куда вошла и сфера здравоохранения. Здесь важный момент: если система есть у компании на любом законном основании (собственность, аренда, что угодно) и она соответствует типу из перечня, категорирование неизбежно.

Кроме перечней появились отраслевые особенности категорирования. Правительство вместе с ведомствами описывает специфические подходы к оценке значимости для конкретных сфер.

Минздрав разработал документ по здравоохранению. Там детально расписали, как устанавливать соответствие объектов КИИ критериям, какие признаки значимости использовать и как считать показатели с учетом специфики сферы здравоохранения.

На практике именно на эти документы ориентируются при подготовке материалов для регулятора.

Отраслевые документы четко прописывают, кто становится субъектом КИИ в медицине и фармацевтике.
Требования касаются двух типов организаций.

Медицинские организации — те, которые оказывают специализированную помощь (включая высокотехнологичную) или скорую помощь (включая специализированную).

Фармкомпании — оптовики и аптечные сети с торговлей лекарствами. Но не все подряд. Как правило, речь идет о компаниях с выручкой свыше 5 миллиардов рублей и численностью более 250 человек.

Если компанию можно отнести к субъектам КИИ, следующим шагом становится категорирование ее систем и выполнение требований ФСТЭК России.

При оценке значимости объектов КИИ в здравоохранении и фармацевтике работают четыре группы критериев.

Социальная значимость — самый важный критерий для фармы. Сюда входит прямой ущерб жизни и здоровью людей (это ключевое для фармкомпаний), нарушение работы государственных органов и недоступность госуслуг для граждан.

Политическая значимость — оценивают, может ли сбой нарушить работу органов власти. Этот критерий чаще применяется к федеральным медучреждениям, но фармкомпаниям тоже стоит его учитывать.

Экономическая значимость — смотрят на возможный ущерб для государственных корпораций и стратегических предприятий. Если ваша компания поставляет лекарства таким организациям, этот критерий может сработать.

Экологическая значимость — учитывают вредное воздействие на окружающую среду. Актуально для производителей с потенциально опасными технологиями или источниками ионизирующего излучения.

Для большинства фармацевтических компаний решающим становится социальный критерий — ущерб здоровью и экономическая значимость. Остальные критерии применяются реже, но их тоже нельзя игнорировать при оценке.

Главный вопрос здесь — сколько людей могут пострадать при компьютерном инциденте или кибератаке на систему. Под ущербом понимают тяжкий и средний вред здоровью согласно Приказу Минздрава России от 08.04.2025 № 172н «Об утверждении порядка определения степени тяжести вреда, причиненного здоровью человека».

Для фармкомпаний этот критерий особенно актуален. Нарушение работы систем, обеспечивающих производство, контроль качества или поставки жизненно важных лекарственных препаратов, может привести к ситуации, когда пациенты не получат необходимое лечение. Именно такие последствия оценивают по социальному критерию.

Категории присваивают по количеству потенциально пострадавших:

Этот критерий тоже в первую очередь для федеральных органов здравоохранения. Но если ваша компания работает в тесной связке с государственными структурами, то имеет смысл его учитывать.

Суть простая: насколько сбой в вашей системе может парализовать работу органов власти.

Например, если из-за кибератаки на вашу систему Минздрав или региональный департамент здравоохранения не сможет выполнять свои функции — это политический критерий.

Категорию определяют по уровню затронутого органа власти:

1. Определите статус

Начните с базового вопроса: относится ли ваша компания к субъектам КИИ?

Для фармацевтических организаций при оценке, как правило, учитываются два показателя:

• Объем выручки от оптовой или розничной торговли лекарственными средствами;
• Численность персонала.

На практике внимание регулятора в первую очередь привлекают крупные компании с выручкой в несколько миллиардов рублей и штатом в сотни сотрудников. При этом оба показателя рассматриваются в совокупности, а не по отдельности.

Далее имеет смысл проверить коды ОКВЭД. Если деятельность связана со здравоохранением (раздел 86) или фармацевтической деятельностью, требования к КИИ стоит изучать внимательно даже при пограничных значениях показателей, но на практике возможны нюансы.

Если компания в целом подпадает под признаки субъекта КИИ, дальше нужно разбираться с категорированием ее систем и требованиями ФСТЭК России. Если нет, все равно стоит держать ситуацию под контролем: бизнес растет, а регуляторные пороги и подходы со временем могут меняться.

2. Сверьтесь с перечнем

Обязательно изучите перечень типовых объектов КИИ для здравоохранения, утвержденный распоряжением Правительства России от 26 февраля 2026 года № 360-р.

Для фармкомпаний там выделена отдельная группа — «системы фармацевтических организаций». Если ваша информационная система попадает под это описание, категорировать нужно.

Важный момент: не имеет значения, владеете вы системой или арендуете. Используете на основании лицензии? Работаете через облачный сервис? Система установлена у подрядчика, но обрабатывает ваши критические процессы? Все это попадает под понятие «принадлежит на любом законном основании» и подлежит категорированию.

Типичная ошибка: «У нас система не наша, мы ее арендуем, значит не наша проблема». Нет. Система может принадлежать кому угодно, но пользуетесь ей вы, а значит вы и обязаны обеспечить бесперебойность ее работы.

3. Создайте комиссию

Сформируйте постоянную комиссию по категорированию, от состава комиссии зависит качество оценки.
Кто должен войти в комиссию:

Председатель — руководитель компании или его заместитель по безопасности;

Специалисты по профильной деятельности — те, кто понимает бизнес-процессы: закупки, логистику, производство, контроль качества:

ИТ-специалисты — системные администраторы, разработчики, те, кто знает вашу ИТ-инфраструктуру изнутри;

Специалисты по информационной безопасности — если есть штатный CISO или служба ИБ;

Ответственные за защиту информации — те, кто отвечает за персональные данные, коммерческую тайну.



Комиссию создают приказом руководителя. Без приказа, комиссии юридически не существует, а значит и результаты ее работы можно оспорить.

Частая проблема: в комиссию включают только ИТ-шников или только безопасников. Нужны люди, которые понимают и технологии, и бизнес-процессы, и последствия их нарушения.

4. Выявите объекты

Объектами КИИ могут быть: информационные системы (ERP, CRM, складской учет, системы качества), автоматизированные системы управления технологическими процессами (если есть производство), сети передачи данных, которые связывают все это воедино.

Главный вопрос: эта система обрабатывает информацию для критического процесса? Управляет им? Контролирует? Мониторит? Хотя бы один ответ «да», система идет в перечень на категорирование.

Частая ошибка: системы разбирают, не сверяясь с перечнем типовых объектов КИИ. В результате при госконтроле регулятор находит объекты КИИ, которые компания таковыми не считала.

Еще одна ловушка: резервные системы. У вас есть основная система и горячий резерв? Категорировать нужно оба объекта, если оба входят в перечень типовых. Если не входят, их можно описать как взаимозаменяемые.

Результат этого шага — полный список систем, АСУ и сетей, которые пойдут на оценку.

5. Оцените по критериям

Теперь для каждой системы нужно понять насколько велики последствия при ее остановке или нарушении работы.

Правило первое: думайте о худшем. Представьте: злоумышленники получили полный доступ к системе. Все ваши файрволы, антивирусы они обошли. Что произойдет дальше? Кто пострадает? Сколько людей?

Именно так работает методика — оцениваем максимальный потенциальный ущерб, а не реальную защищенность. Защиту вы будете выстраивать потом, на шаге 9. Сейчас важно понять масштаб возможной катастрофы.

Правило второе: используйте отраслевые методики и готовые примеры расчетов. Минздрав уже написал отраслевые методики с готовыми формулами и примерами расчета. Ошибетесь в категории и регулятор развернет на доработку, потеряете время и деньги.

6. Присвойте категорию

Такое решение принимает комиссия, один человек, даже руководитель, решение принять не может. По результатам оценки все фиксируется протоколом.

Возможный исход: объект вообще не получает категорию. Значит, он не дотянул до порогов значимости. Такое бывает, ведь не все системы субъекта КИИ автоматически становятся значимыми объектами КИИ. Но отсутствие категории тоже нужно обосновать и зафиксировать в протоколе.

7. Подготовьте документы

Подготовьте форму (утвержденную приказом ФСТЭК России № 236), по которой нужно заполнить информацию об откатегорированном объекте КИИ. Новые правила действуют с 1 сентября 2025 года.

Что должно быть в форме: полные данные об объекте КИИ и его собственнике, список программного обеспечения и технических средств, описание элементов (ЦОД, серверы, рабочие станции), детальное описание средств защиты с реквизитами сертификатов ФСТЭК России (или объяснение, почему сертифицированных средств нет), анализ рисков и возможных последствий инцидентов.

8. Соблюдайте сроки

У вас есть 10 рабочих дней после того, как комиссия присвоила категорию. За это время нужно направить сведения в печатном и электронном виде в ФСТЭК России.

А если в дальнейшем актуализируете сведения без изменения категории, отправляйте электронный документ на носителе (оптический диск) с сопроводительным письмом, где указываете размер файлов.

Меняется категория объекта? Тогда сложнее — нужно направить документы и в печатном виде, и в электронном. Электронная версия строго в форматах .ods или .odt. Заполняете по форме из пункта 18 Правил категорирования.

9. Обеспечьте защиту

Категорию присвоили, документы отправили, теперь самое важное: защитить объект по требованиям ФСТЭК России.

Требования описаны в приказе ФСТЭК России от 25.12.2017 № 239 (с учетом изменений). Там расписано все: какие организационные меры нужны, какие технические средства защиты ставить, как обеспечивать безопасность. Требования разные в зависимости от категории. Чем выше категория, тем больший список.

Что предстоит сделать: разработать политики и регламенты по информационной безопасности, внедрить технические средства защиты (межсетевые экраны, системы обнаружения вторжений, антивирусы и так далее), настроить мониторинг инцидентов, обеспечить непрерывность работы объектов КИИ, даже если случится кибератака, бизнес должен работать.

Это не быстро и не дешево. На внедрение всех мер может уйти от нескольких месяцев до года, в зависимости от сложности инфраструктуры и присвоенной категории.

Важно не откладывать на потом. Регулятор может прийти с проверкой, и если увидит, что категория присвоена, а защиты нет, будет возбуждено дело об административном правонарушении по статье 13.12.1 КоАП РФ.

1. Инвентаризация систем. Составьте полный список всех информационных систем, АСУ и информационно-телекоммуникационных сетей. Какие системы есть в собственности, какие арендуете, какие используете через облако. Все в одну таблицу.

2. Комиссия. Если ее нет, создайте. Если есть, но состав устарел, обновите. Проверьте: есть ли в комиссии люди, которые понимают и бизнес-процессы, и технологии, и безопасность.

3. Сверка с перечнями. Изучите типовые объекты КИИ для здравоохранения. Сопоставьте свои системы с описаниями из перечня. Какие системы точно попадают, а какие под вопросом?

4. Импортозамещение. Спланируйте переход на российское ПО. Требования к использованию отечественного софта на объектах КИИ только растут. Лучше начать миграцию заранее, чем в авральном режиме.

5. План безопасности. Изучите требования приказа ФСТЭК № 239. Проанализируйте, что из этого у вас уже есть, а что нужно будет внедрить. Составьте план и бюджет.

6. Связь с регулятором. Установите каналы взаимодействия с ФСТЭК России. Следите за изменениями в нормативной базе.

Федеральная служба по техническому и экспортному контролю (ФСТЭК России) является уполномоченным федеральным органом в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации. Полномочия службы установлены Положением о Федеральной службе по техническому и экспортному контролю, утвержденным Указом Президента Российской Федерации от 16 августа 2004 г. № 1085 (с изменениями и дополнениями).

1. Административная ответственность

За невыполнение требований по обеспечению безопасности критической информационной инфраструктуры предусмотрена административная ответственность по статье 13.12.1 КоАП РФ (введена Федеральным законом от 26.07.2017 № 187-ФЗ).

Типичные составы нарушений:

• Несвоевременное проведение категорирования объектов КИИ
• Непредставление сведений о результатах категорирования в ФСТЭК России в установленные сроки
• Присвоение категории значимости объекту КИИ без внедрения требуемых мер по обеспечению его безопасности
• Ненадлежащее оформление документов по категорированию (отсутствие приказа о создании комиссии, протоколов заседаний и других обязательных документов)

2. Уголовная ответственность

Статья 274.1 УК РФ — за неправомерное воздействие на КИИ. Это про хакеров и инсайдеров, которые атакуют критическую инфраструктуру.

Создание, распространение или использование программ для атак на КИИ наказывается: принудительными работами до 5 лет, лишением свободы до 5 лет или штрафом до 1 миллиона рублей.

Если атака привела к тяжким последствиям наказание ужесточается. Если действовала группа лиц или использовалось служебное положение еще строже.

Для фармкомпаний это означает, что нужно не только защитить системы от внешних атак, но и контролировать действия своих сотрудников с доступом к критическим системам.

Изменения в законодательстве о КИИ 2025 года требуют от фармкомпаний серьезной подготовки. Категорирование объектов — это инструмент защиты критических систем от киберугроз.

Что изменилось по сути? Появились перечни типовых объектов КИИ и отраслевые методики оценки. Для фармсектора это означает конец эпохи неопределенности и теперь четко прописано, какие системы подлежат категорированию и как их оценивать.

Раньше компания могла самостоятельно решать, критична ее система или нет. Теперь если система попала в перечень типовых объектов КИИ, категорировать нужно обязательно. Самостоятельный анализ критичности уходит в прошлое, на смену приходит формальное соответствие утвержденным перечням.

Для организаций под действием 187-ФЗ главный совет — не откладывать. Проактивный подход дает двойную выгоду. Во-первых, избегаете штрафов и проблем с регулятором. Во-вторых, реально повышаете защищенность критических систем, минимизируете последствия возможных атак и обеспечиваете непрерывность бизнес-процессов. А это уже про выживание бизнеса в условиях растущих киберугроз.