Положение о порядке категорирования объектов критической информационной инфраструктуры Кыргызской Республики (к постановлению Кабинета Министров КР)

Приложение 1

(к постановлению Кабинета Министров Кыргызской Республики от 29 ноября 2024 года № 716)

ПОЛОЖЕНИЕ о порядке категорирования объектов критической информационной инфраструктуры Кыргызской Республики

1. Настоящее Положение устанавливает порядок категорирования объектов критической информационной инфраструктуры Кыргызской Республики (далее - КИИ).

2. Категорирование объектов КИИ осуществляется постоянно действующей комиссией по категорированию объектов КИИ (далее - комиссия по категорированию), состав которой определяется в соответствии с настоящим Положением.

3. Категорированию подлежат объекты КИИ - информационные системы, информационно-телекоммуникационные системы, сети электросвязи, сети электросвязи общего пользования Кыргызской Республики, базы данных, центры обработки данных и автоматизированные системы управления, функционирующие в секторах государственного управления, государственных электронных услуг, сферах здравоохранения, науки, транспорта, телекоммуникаций и связи, кредитно-финансовой сфере, оборонном секторе, отрасли генерации и распределения электроэнергии, топливной промышленности, пищевой промышленности и горнодобывающей промышленности, принадлежащие субъектам КИИ на праве оперативного и хозяйственного управления, а также на праве собственности, аренды или ином основании, установленном законодательством Кыргызской Республики.

4. Определение соответствия объектов КИИ критериям значимости и показателям их значений осуществляется на основании Перечня показателей критериев значимости объектов критической информационной инфраструктуры Кыргызской Республики (далее - перечень показателей критериев значимости), утверждаемого Кабинетом Министров Кыргызской Республики.

5. Категорирование включает в себя:

а) определение объектов КИИ, указанных в пункте 3 настоящего Положения, в рамках выполнения функций (полномочий) или осуществления видов деятельности субъекта КИИ;

б) выявление управленческих, технологических, производственных, финансово-экономических и (или) иных процессов в рамках выполнения функций (полномочий) или осуществления видов деятельности субъектов КИИ, нарушение и (или) прекращение которых может привести к негативным социальным, экономическим, экологическим последствиям, последствиям для обеспечения обороны страны, безопасности государства и правопорядка (далее - критические процессы);

в) определение объектов КИИ, которые обрабатывают информацию, необходимую для обеспечения критических процессов, и (или) осуществляют управление, контроль или мониторинг критических процессов;

г) формирование реестра объектов КИИ, подлежащих категорированию (далее - реестр объектов);

д) оценку в соответствии с перечнем показателей критериев значимости масштаба возможных последствий в случае возникновения киберинцидентов и кибератак на объектах КИИ;

е) присвоение каждому из объектов КИИ одной из категорий значимости либо принятие решения об отсутствии необходимости присвоения им одной из категорий значимости и отнесении к объектам КИИ.

6. Объекту КИИ по результатам категорирования присваивается в соответствии с перечнем показателей критериев значимости категория значимости с наивысшим значением.

Для каждого показателя критериев значимости, для которого установлено более одного значения такого показателя, оценка производится по каждому из значений показателя критериев значимости, а категория значимости присваивается по наивысшему значению такого показателя. В случае если объект КИИ по одному из показателей критериев значимости отнесен к первой категории, расчет по остальным показателям критериев значимости не проводится. В случае если ни один из показателей критериев значимости неприменим для объекта КИИ или объект КИИ не соответствует ни одному показателю критериев значимости и их значениям, категория значимости не присваивается.

7. Устанавливаются три категории значимости. Самая высокая категория - первая, самая низкая - третья.

8. В отношении создаваемого объекта КИИ, в том числе в рамках создания объекта капитального строительства, категория значимости определяется комиссией по категорированию при формировании субъектом КИИ требований к объекту КИИ с учетом имеющихся исходных данных о критических процессах субъекта КИИ.

Для создаваемого объекта КИИ, указанного в абзаце первом настоящего пункта, категория значимости может быть уточнена в ходе его проектирования.

9. Для объектов, принадлежащих одному субъекту КИИ, но используемых для целей контроля и управления технологическим и (или) производственным оборудованием, принадлежащим другому субъекту КИИ, категорирование осуществляется на основе исходных данных, представляемых субъектом КИИ, которому принадлежит технологическое и (или) производственное оборудование.

10. Для проведения категорирования объектов КИИ решением уполномоченного государственного органа в сфере обеспечения кибербезопасности создается комиссия по категорированию, в состав которой включаются:

а) представители уполномоченного государственного органа в сфере обеспечения кибербезопасности;

б) представители субъекта КИИ;

в) представители уполномоченного государственного органа в области цифровизации;

г) представители уполномоченного государственного органа в области персональных данных.

11. По решению уполномоченного государственного органа в сфере обеспечения кибербезопасности в состав комиссии по категорированию могут быть включены лица, не указанные в пункте 10 настоящего Положения.

12. Комиссию по категорированию возглавляет представитель уполномоченного государственного органа в сфере обеспечения кибербезопасности (далее - руководитель комиссии).

13. Комиссия по категорированию в ходе своей работы:

а) определяет объекты КИИ, указанные в пункте 3 настоящего Положения, в рамках выполнения функций (полномочий) или осуществления видов деятельности субъекта КИИ;

б) выявляет наличие критических процессов у субъекта КИИ;

в) выявляет объекты КИИ, которые обрабатывают информацию, необходимую для обеспечения выполнения критических процессов, и (или) осуществляют управление, контроль или мониторинг критических процессов, готовит предложения для включения в реестр объектов, а также оценивает необходимость категорирования вновь создаваемых объектов КИИ;

г) рассматривает возможные действия нарушителей в отношении объектов КИИ, а также иные источники киберугроз;

д) анализирует киберугрозы, которые могут привести к возникновению киберинцидентов на объектах КИИ;

е) оценивает в соответствии с перечнем показателей критериев значимости масштаб возможных последствий в случае возникновения киберинцидентов и кибератак на объектах КИИ, определяет значение каждого из показателей критериев значимости или обосновывает их неприменимость;

ж) устанавливает каждому из объектов КИИ одну из категорий значимости либо принимает решение об отсутствии необходимости присвоения им категорий значимости и отнесения их к объектам КИИ.

14. При проведении работ, предусмотренных подпунктами "г" и "д" пункта 13 настоящего Положения, должны быть рассмотрены возможные риски и последствия, учитывающие проведение целенаправленных кибератак на объекты КИИ, результатом которых является прекращение или нарушение выполнения критических процессов и нанесение максимально возможного ущерба.

15. В случае если функционирование одного объекта КИИ зависит от функционирования другого объекта КИИ, оценка масштаба возможных последствий, предусмотренная подпунктом "е" пункта 13 настоящего Положения, проводится исходя из предположения о прекращении или нарушении функционирования вследствие кибератаки объекта КИИ, от которого зависит оцениваемый объект.

16. В случае если осуществление критического процесса зависит от осуществления иных критических процессов, предусмотренная подпунктом "е" пункта 13 настоящего Положения оценка проводится исходя из совокупного масштаба возможных последствий от нарушения или прекращения функционирования всех выполняемых критических процессов.

17. Реестр объектов ведет уполномоченный государственный орган в сфере обеспечения кибербезопасности.

По мере необходимости реестр объектов может быть изменен или дополнен. В реестр объектов в том числе включаются объекты КИИ филиалов, представительств субъекта КИИ.

18. Результаты работы комиссии по категорированию оформляются актом, который должен содержать сведения об объекте КИИ, присвоенной ему категории значимости либо отсутствии необходимости присвоения ему одной из таких категорий.

В случае возникновения разногласий относительно результатов работы комиссии по категорированию, окончательное решение принимает руководитель комиссии. Допускается оформление единого акта по результатам категорирования нескольких объектов КИИ, принадлежащих одному субъекту КИИ. Акт подписывается членами комиссии по категорированию и утверждается руководителем комиссии. Субъект КИИ обеспечивает хранение акта до вывода из эксплуатации объекта КИИ или до изменения категории значимости.

19. Субъект КИИ не реже чем один раз в три года, а также в случае изменения показателей критериев значимости объектов КИИ или их значений осуществляет пересмотр установленных категорий значимости или решений об отсутствии необходимости присвоения указанным объектам таких категорий в соответствии с настоящим Положением.

20. Нарушение настоящего Положения влечет за собой ответственность в соответствии с законодательством Кыргызской Республики.