II. Порядок установления соответствия объекта критической информационной инфраструктуры критериям значимости и показателям их значений с целью присвоения ему одной из категорий значимости

4. Для проведения категорирования решением руководителя субъекта критической информационной инфраструктуры в соответствии с пунктом 11 Правил категорирования создается постоянно действующая комиссия по категорированию (далее - комиссия).

По решению руководителя субъекта критической информационной инфраструктуры в состав комиссии помимо лиц, указанных в пункте 11 Правил категорирования, могут быть включены представители Государственной корпорации по атомной энергии "Росатом", учреждений и акционерных обществ Государственной корпорации по атомной энергии "Росатом" и их дочерних обществ, федеральных государственных унитарных предприятий, в отношении которых Государственная корпорация по атомной энергии "Росатом" осуществляет от имени Российской Федерации права собственника имущества, и федерального государственного бюджетного учреждения, создаваемого в целях организации плавания судов в акватории Северного морского пути, в отношении которого Государственная корпорация по атомной энергии "Росатом" наделена полномочиями по осуществлению от имени Российской Федерации прав собственника имущества, по согласованию с указанными организациями.

5. К субъектам критической информационной инфраструктуры не применяются показатели, указанные в позициях 4, 10, 10(1) - 10(7) и 14 перечня показателей критериев значимости.

6. В рамках настоящего документа для целей категорирования применяются следующие показатели, указанные в перечне показателей критериев значимости:

а) показатели, указанные в позициях 1 - 3 и 11 указанного перечня, - всеми субъектами критической информационной инфраструктуры, за исключением Государственной корпорации по атомной энергии "Росатом";

б) показатель, указанный в позиции 5 указанного перечня, - Государственной корпорацией по атомной энергии "Росатом", федеральными органами исполнительной власти, выполняющими функции (полномочия) в области использования атомной энергии, российскими юридическими лицами, подведомственными этим федеральным органам исполнительной власти и Государственной корпорации по атомной энергии "Росатом" и участвующими в предоставлении государственных услуг в области использования атомной энергии;

в) показатели, указанные в позициях 6, 7 и 12 указанного перечня, - Государственной корпорацией по атомной энергии "Росатом";

г) показатели, указанные в позициях 8 и 9 указанного перечня, - всеми субъектами критической информационной инфраструктуры;

д) показатель, указанный в позиции 13 указанного перечня, - всеми субъектами критической информационной инфраструктуры, являющимися государственными заказчиками государственного оборонного заказа, головными исполнителями поставок продукции по государственному оборонному заказу, исполнителями, участвующими в поставках продукции по государственному оборонному заказу;

е) показатель, указанный в позиции 13(1) указанного перечня, - всеми субъектами критической информационной инфраструктуры, являющимися головными исполнителями поставок продукции, работ и услуг по государственному оборонному заказу, исполнителями контракта по государственному оборонному заказу, заключившими контракт с головным исполнителем государственного оборонного заказа, соисполнителями, субподрядчиками или поставщиками части продукции, работ и услуг в рамках контракта по государственному оборонному заказу совместно с исполнителем, заключившим контракт с головным исполнителем государственного оборонного заказа.

7. Исходными данными для категорирования помимо исходных данных, предусмотренных пунктом 10 Правил категорирования, также являются следующие данные:

а) техническая и проектная документация на объект критической информационной инфраструктуры;

б) договоры сервисного обслуживания объекта критической информационной инфраструктуры;

в) документы по обеспечению эксплуатации, обслуживанию и ремонту рассматриваемого объекта критической информационной инфраструктуры;

г) возможные типы компьютерных атак и компьютерных инцидентов, приводящих к негативным последствиям (ущербу) в отношении рассматриваемого объекта критической информационной инфраструктуры;

д) прогнозируемый сценарий (сценарии) проведения компьютерных атак и возникновения компьютерных инцидентов, приводящих к возникновению негативных последствий (ущербу) в отношении рассматриваемого объекта критической информационной инфраструктуры;

е) информация о негативных последствиях ранее проведенных компьютерных атак и возникших компьютерных инцидентов, полученная по результатам анкетирования работников (служащих) субъекта критической информационной инфраструктуры, обеспечивающих функционирование объекта критической информационной инфраструктуры.

8. При проведении работ в соответствии с подпунктом "е" пункта 14 Правил категорирования комиссия для каждого объекта критической информационной инфраструктуры проводит оценку масштаба возможных последствий в случае возникновения компьютерных инцидентов на объектах критической информационной инфраструктуры путем сопоставления значений масштаба возможных последствий в случае возникновения компьютерных инцидентов, определенных в соответствии с пунктом 9 настоящего документа, со значениями показателей критериев значимости объектов критической информационной инфраструктуры, указанных в перечне показателей критериев значимости.

9. Определение комиссией значений масштаба возможных последствий в случае возникновения компьютерных инцидентов на объектах критической информационной инфраструктуры включает:

а) сбор комиссией информации о процессах, обеспечиваемых объектом критической информационной инфраструктуры, и специфике негативных последствий в случае возникновения компьютерных инцидентов;

б) анализ негативных последствий и сценариев возникновения компьютерных инцидентов, приводящих к ущербу, в соответствии с показателями критериев значимости;

в) оценку ущерба в результате возникновения компьютерных инцидентов.

10. По результатам сопоставления комиссией значений масштаба возможных последствий со значениями конкретных показателей критериев значимости, указанных в перечне показателей критериев значимости, определяется один из следующих вариантов результата сопоставления:

а) показатель критерия значимости неприменим;

б) показатель критерия значимости применим и последствия компьютерного инцидента соответствуют значению показателя критерия значимости для одной из категорий значимости;

в) показатель критерия значимости применим и последствия компьютерного инцидента не соответствуют ни одному значению показателя критериев значимости.