III. Порядок расчета значений показателей критериев значимости с учетом особенностей функционирования объекта критической информационной инфраструктуры

11. В целях расчета значений показателей критериев значимости, указанных в пункте 8 настоящего документа, комиссия по категорированию, если иное не установлено настоящим документом, использует следующие методы расчета значений показателей критериев значимости:

а) метод расчета наихудших последствий, заключающийся в количественном (расчетном) и (или) качественном оценивании максимально возможного ущерба, который может быть нанесен субъекту критической информационной инфраструктуры в результате компьютерной атаки и компьютерного инцидента (далее - расчетный метод);

б) метод моделирования компьютерных атак, компьютерных инцидентов и их негативных последствий, заключающийся в разработке и анализе вероятных сценариев компьютерных атак, компьютерных инцидентов и их последствий, определенных в том числе на основании сведений о компьютерных атаках, компьютерных инцидентах и их негативных последствиях в отношении объектов критической информационной инфраструктуры, включенных в перечень типовых отраслевых объектов критической информационной инфраструктуры Российской Федерации, утвержденный распоряжением Правительства Российской Федерации от 26 февраля 2026 г. N 360-р.

12. Категория значимости объекта критической информационной инфраструктуры присваивается по наивысшему из значений показателей критериев значимости, полученных в результате использования методов, указанных в пункте 11 настоящего документа.

13. При расчете значения показателя критерия значимости, указанного в субпозиции "а" позиции 4 перечня показателей критериев значимости, в целях определения количества абонентов, для которых могут быть недоступны услуги связи, оценивается количество абонентов, в том числе пользователей услугами связи - юридических лиц, с которыми операторами связи заключены договоры об оказании услуг связи.

В случае использования объекта критической информационной инфраструктуры, в отношении которого проводится категорирование, для оказания нескольких услуг связи расчет значения показателя критерия значимости, указанного в субпозиции "а" позиции 4 перечня показателей критериев значимости, осуществляется в отношении каждой такой услуги. Категория значимости присваивается объекту критической информационной инфраструктуры по совокупности значений такого показателя критерия значимости, полученных в результате расчетов применительно к каждой такой услуге.

14. Значение показателя критерия значимости, указанного в субпозиции "б" позиции 4 перечня показателей критериев значимости, рассчитывается по уровню и количеству органов государственной власти или организаций, для которых могут быть нарушены или недоступны услуги связи и которые перечислены в значениях такого показателя критерия значимости.

15. При расчете значения показателя критерия значимости, указанного в позиции 6 перечня показателей критериев значимости, оценивается вероятность прекращения или нарушения функционирования государственных органов или организаций, созданных на основании федеральных законов, перечисленных в значениях такого показателя критерия значимости, в части невыполнения возложенной на них функции (полномочия) в связи с невозможностью реализации процесса, обеспечиваемого объектом критической информационной инфраструктуры.

16. Значение показателя критерия значимости, указанного в позиции 8 перечня показателей критериев значимости (П₈), процентов, рассчитывается расчетным методом по формуле:

где:

Д_факт - уровень дохода субъекта критической информационной инфраструктуры (с учетом налога на добавленную стоимость, акцизов и иных обязательных платежей) за оцениваемый период, рублей;

Д_{средний} - годовой объем доходов субъекта критической информационной инфраструктуры, усредненный за прошедший 5-летний период, рублей.

17. При расчете значения показателя критерия значимости, указанного в позиции 8 перечня показателей критериев значимости (П₈), используются в том числе:

а) усредненная за прошедший 5-летний период годовая сумма уплаченных (подлежащих уплате) субъектом критической информационной инфраструктуры налогов в федеральный бюджет, определенная на основании налоговой отчетности и представляемых в Федеральную налоговую службу налоговых деклараций;

б) годовой объем доходов субъекта критической информационной инфраструктуры, усредненный за прошедший 5-летний период (Д_{средний}), определенный на основании данных управленческого учета и бухгалтерского учета;

в) максимально допустимый период простоя, определенный на основании регламентов проведения профилактических работ информационных систем, информационно-телекоммуникационных сетей и автоматизированных систем управления субъекта критической информационной инфраструктуры;

г) время, требуемое для устранения последствий компьютерной атаки, определяемое на основании эксплуатационных, технических, договорных и (или) иных документов. При отсутствии таких документов указанное время определяется на основании статистических данных за прошедший 5-летний период, а в случае отсутствия таких статистических данных это время принимается равным 10 дням.

18. Значение показателя критерия значимости, указанного в позиции 9 перечня показателей критериев значимости (П₉), процентов, рассчитывается расчетным методом по формуле:

где:

- снижение выплат (отчислений) в бюджеты бюджетной системы Российской Федерации, осуществляемых субъектом критической информационной инфраструктуры, рублей;

Б_{средний} - прогнозируемый годовой доход федерального бюджета, усредненный за планируемый 3-летний период, рублей.

19. Для расчета значения показателя критерия значимости, указанного в позиции 9 перечня показателей критериев значимости (П₉):

а) прогнозируемый годовой доход федерального бюджета, усредненный за планируемый 3-летний период (Б_{средний}), определяется с учетом положений федерального закона о федеральном бюджете и иных положений законодательства Российской Федерации;

б) определяется годовая сумма налогов, уплачиваемых субъектом критической информационной инфраструктуры в бюджеты бюджетной системы Российской Федерации, исходя из данных, представляемых в Федеральную налоговую службу. При определении указанной суммы налогов учитываются в полном объеме в том числе следующие затраты:

затраты на ликвидацию и устранение последствий компьютерных атак и компьютерных инцидентов;

затраты на оплату труда персонала и условно-постоянные расходы за время простоя и (или) деградации технологического процесса;

затраты на оплату труда персонала, привлекаемого к сверхурочной работе для ликвидации последствий нарушений, вызванных простоем и (или) деградацией технологического процесса;

потери от уплаты неустоек (штрафов, пеней) и прочих выплат за невыполнение условий договоров об оказании услуг связи в результате простоя и (или) деградации технологического процесса;

в) определяется максимально возможный период прекращения оказания услуг связи в результате нарушения и (или) прекращения функционирования объекта критической информационной инфраструктуры, в отношении которого осуществляется категорирование, и оценивается максимально возможное снижение прибыли организации связи от оказания услуг связи с использованием объекта критической информационной инфраструктуры, в отношении которого осуществляется категорирование, в течение такого периода.