Приказ Минпромторга России от 31.05.2023 № 1981

«Об утверждении Порядка проведения в отношении субъектов критической информационной инфраструктуры Российской Федерации, осуществляющих деятельность в области оборонной, металлургической и химической промышленности, оценки актуальности и достоверности сведений, указанных в пункте 17 Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, утвержденных постановлением Правительства Российской Федерации от 8 февраля 2018 г. № 127, и установлении критериев определения организаций, привлекаемых к оценке актуальности и достоверности сведений, указанных в пункте 17 Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, утвержденных постановлением Правительства Российской Федерации от 8 февраля 2018 г. № 127»

(Зарегистрировано в Минюсте России 21.08.2023 № 74904)

Зарегистрировано в Минюсте России 21 августа 2023 г. № 74904

---

В соответствии с пунктом 8 статьи 2 Федерального закона от 26 июля 2017 г. № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации», абзацами третьим и пятым пункта 19(3) Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, утвержденных постановлением Правительства Российской Федерации от 8 февраля 2018 г. № 127, и пунктом 1 Положения о Министерстве промышленности и торговли Российской Федерации, утвержденного постановлением Правительства Российской Федерации от 5 июня 2008 г. № 438, приказываю:

1. Утвердить прилагаемый Порядок проведения в отношении субъектов критической информационной инфраструктуры Российской Федерации, осуществляющих деятельность в области оборонной, металлургической и химической промышленности, оценки актуальности и достоверности сведений, указанных в пункте 17 Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, утвержденных постановлением Правительства Российской Федерации от 8 февраля 2018 г. № 127.

2. Установить, что критериями определения организаций, привлекаемых к оценке актуальности и достоверности сведений, указанных в пункте 17 Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, утвержденных постановлением Правительства Российской Федерации от 8 февраля 2018 г. № 127, являются требования, установленные абзацами первым и вторым пункта 19(3) Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, утвержденных постановлением Правительства Российской Федерации от 8 февраля 2018 г. № 127, а также критерии, указанные в подпунктах «в» - «з», «л», «м» пункта 9 Правил предоставления субсидии из федерального бюджета на создание и обеспечение деятельности отраслевого центра компетенций по информационной безопасности в промышленности, утвержденных постановлением Правительства Российской Федерации от 17 сентября 2022 г. № 1636.

3. Контроль за исполнением настоящего приказа возложить на заместителя Министра промышленности и торговли Российской Федерации В.В. Шпака.

1. Оценка актуальности и достоверности проводится в отношении сведений, указанных в пункте 17 Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, утвержденных постановлением Правительства Российской Федерации от 8 февраля 2018 г. № 127 (далее — оценка, Правила категорирования соответственно), представляемых субъектами критической информационной инфраструктуры Российской Федерации (далее — КИИ), осуществляющими деятельность в области оборонной, химической и металлургической промышленности (далее — сведения о категорировании) в соответствии с пунктом 8 статьи 2 Федерального закона от 26 июля 2017 г. № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации».

2. В целях проведения оценки создается рабочая группа, включающая представителей Министерства промышленности и торговли Российской Федерации и (или) представителей отраслевого центра компетенций по информационной безопасности в промышленности, созданного в соответствии с постановлением Правительства Российской Федерации от 17 сентября 2022 г. № 1636 «Об утверждении Правил предоставления субсидии из федерального бюджета на создание и обеспечение деятельности отраслевого центра компетенций по информационной безопасности в промышленности» на базе подведомственной Министерству промышленности и торговли Российской Федерации организации, включенной в перечень организаций, привлекаемых к оценке актуальности и достоверности сведений, указанных в пункте 17 Правил категорирования (далее — исполнитель, рабочая группа соответственно).

3. Департамент цифровых технологий Министерства промышленности и торговли Российской Федерации (далее — Департамент) ежегодно подготавливает проект приказа об утверждении графика проведения оценки с указанием наименования субъектов КИИ и дат проведения оценки (далее — приказ) и представляет его на подписание курирующему заместителю Министра промышленности и торговли Российской Федерации.

Приказ направляется Департаментом исполнителю в срок не позднее 3 рабочих дней со дня его утверждения.

4. Рабочей группой за 10 рабочих дней до даты начала проведения оценки, указанной в приказе, формируется выездная группа с целью ознакомления с объектами КИИ и сведениями о них по месту их нахождения в соответствии с пунктом 19(2) Правил категорирования, в которую включаются представители исполнителя (далее — выездная оценка, выездная группа соответственно).

5. Рабочая группа уведомляет субъекты КИИ о проведении оценки не позднее чем за 5 рабочих дней до даты проведения оценки, указанной в приказе.

6. В случае необходимости получения доступа рабочей группой (выездной группой) к конфиденциальной информации субъекта КИИ для проведения оценки исполнителем заключаются соглашения о неразглашении конфиденциальной информации с субъектом КИИ.

7. В целях проведения оценки рабочей группой запрашиваются у субъекта КИИ сведения, указанные в пункте 17 Правил категорирования.

8. При проведении оценки рабочей группой используются технические средства (сбора, накопления, передачи, обработки, хранения и защиты аудиовизуальной и другой цифровой информации), соответствующие требованиям по защите государственной тайны, электронная почта, платформы для обмена и обработки текстовой информации, фото-, видео-, аудиоинформации и другой цифровой информации, отвечающие при необходимости требованиям соблюдения информационной безопасности.

9. В целях проведения выездной оценки исполнителем согласовываются с субъектами КИИ дата и время ее проведения в пределах сроков проведения оценки, указанных в приказе.

Продолжительность выездной оценки не должна превышать 10 рабочих дней с даты начала ее проведения, определенной в соответствии с абзацем первым настоящего пункта.

Не позднее чем за 3 рабочих дня до дня начала проведения выездной оценки исполнителем согласовывается с субъектом КИИ порядок доступа на территорию субъекта КИИ:

а) перечень и порядок передачи предоставляемых субъекту КИИ сведений о выездной группе;

б) необходимость согласования со службой безопасности субъекта КИИ кандидатур выездной группы;

в) ограничения, связанные с требованиями по охране здоровья;

г) информация о порядке использования технических средств и программного обеспечения на площадках субъекта КИИ.

В целях обеспечения доступа на территорию субъекта КИИ субъектом КИИ предоставляется исполнителю информация о требованиях пропускного и внутриобъектового режима, а также о требованиях техники безопасности (промышленная безопасность, пожарная безопасность, охрана труда).

10. В целях оценки актуальности и достоверности сведений об установленном на объектах КИИ программном обеспечении выездная группа осуществляет анализ установленного программного обеспечения без использования сторонних инструментальных средств.

11. По результатам оценки исполнителем формируется экспертное заключение, содержащее в себе информацию о предмете оценки, объектах КИИ, актуальности и достоверности сведений о категорировании, сведения о выявленных нарушениях, а также выводы и рекомендации по результатам оценки. Экспертное заключение утверждается руководителем исполнителя (уполномоченным им лицом) в течение 10 рабочих дней со дня завершения оценки.

12. Утвержденное экспертное заключение направляется исполнителем в Департамент и субъекту КИИ, по результатам оценки сведений категорирования которого составлено экспертное заключение, не позднее 5 рабочих дней со дня его утверждения.

13. В случае несогласия с выводами и рекомендациями, содержащимися в экспертном заключении, субъект КИИ вправе направить возражения на экспертное заключение исполнителю и в Департамент не позднее 20 рабочих дней со дня получения экспертного заключения (далее — возражения).

Исполнитель рассматривает возражения и не позднее 10 рабочих дней со дня их получения направляет отзыв на возражения в Департамент (далее — отзыв).

14. Департамент обеспечивает рассмотрение возражений и отзыва с привлечением представителей исполнителя и субъекта КИИ (при необходимости) не позднее 15 рабочих дней со дня получения отзыва.

По итогам рассмотрения возражений и отзыва Департамент в соответствии с положениями постановления Правительства Российской Федерации от 8 февраля 2018 г. № 127 и приказа Федеральной службы по техническому и экспортному контролю от 25 декабря 2017 г. № 239 «Об утверждении Требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации» (зарегистрирован Министерством юстиции Российской Федерации 26 марта 2018 г., регистрационный № 50524) с изменениями, внесенными приказами Федеральной службы по техническому и экспортному контролю от 9 августа 2018 г. № 138 (зарегистрирован Министерством юстиции Российской Федерации 5 сентября 2018 г., регистрационный № 52071), от 26 марта 2019 г. № 60 (зарегистрирован Министерством юстиции Российской Федерации 18 апреля 2019 г., регистрационный № 54443) и от 20 февраля 2020 г. № 35 (зарегистрирован Министерством юстиции Российской Федерации 11 сентября 2020 г., регистрационный № 59793), принимает решение о достоверности выводов и рекомендаций экспертного заключения и принятии его без изменений или о необходимости доработки экспертного заключения с учетом возражений субъекта КИИ.

15. Департамент информирует исполнителя и субъекта КИИ о принятом решении не позднее 5 рабочих дней со дня его принятия.

16. Доработка и утверждение экспертного заключения осуществляется исполнителем в срок не позднее 10 рабочих дней со дня получения от Департамента информации в соответствии с пунктом 15 настоящего Порядка.

17. Утвержденное доработанное экспертное заключение направляется исполнителем в Департамент и субъекту КИИ не позднее 5 рабочих дней со дня ею утверждения.

---