пятница, 23 марта 2018 г.

Так с кем же согласовать свой Перечень объектов КИИ?




Смотрим первоисточник:

п. 15. «Перечень объектов утверждается субъектом критической информационной инфраструктуры. Перечень объектов подлежит согласованию с государственным органом или российским юридическим лицом, выполняющим функции по разработке, проведению или реализации государственной политики и (или) нормативно-правовому регулированию в установленной сфере в части подведомственных им субъектов критической информационной инфраструктуры.» (Постановление Правительства РФ от 08.02.2018 N 127 «Об утверждении Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, а также перечня показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений»).
Специально выделил, что под согласование в п. 15 попадают только субъекты, подведомственные органам (юрлицам), имеющим полномочия на разработку, проведение или реализацию государственной политики и (или) нормативно-правовому регулированию. Попробуем разобраться с тем, какие же органы нормативно-правовое регулирование осуществляют и т.д., в сферах деятельности из 187-ФЗ.  И тут возникли проблемы: так есть разделение для «науки» и «науки в целях обороны и правопорядка», есть разделение «использование атомной энергии», в химической промышленности. Для многих будет непривычно, что не ЦБ, а Минфин.

Свел все в табличку для наглядности.

Сфера деятельности по 187-ФЗ
Согласующий орган по Перечню объектов КИИ
1
Топливно-энергетического комплекс, нефтехимическая промышленность
Министерство энергетики РФ (Минэнерго России)

Валерий Комаров
2
При использовании атомной энергии
Федеральная служба по экологическому, технологическому и атомному надзору, Государственная корпорация «Росатом», Министерство Обороны
3
Транспорт
Министерство транспорта РФ (Минтранс России)
4
Связь
Министерство связи и массовых коммуникаций РФ
5
Банковская и иная финансовая
Министерство финансов РФ (Минфин России)
6
Оборонная
Министерство промышленности и торговли РФ (Минпромторг России)
7
Здравоохранение
Министерство здравоохранения Российской Федерации
(Минздрав)
8
Наука
Министерство образования и науки Российской Федерации (Минобрнауки России)
9
Наука для оборонки и правопорядка
Министерство промышленности и торговли РФ (Минпромторг России)
10
Энергетика
Министерство энергетики РФ (Минэнерго России)
11
Ракетно-космическая
Государственная корпорация по космической деятельности «Роскосмос»
12
Горнодобывающая
Министерство энергетики РФ (Минэнерго России)
13
Металлургическая
Министерство промышленности и торговли РФ (Минпромторг России)
14
Химическая
Министерство промышленности и торговли РФ (Минпромторг России)

Если вы субъект КИИ, не имеющий статуса подведомственной организации для указанных органов, то составленный Перечень на согласование направлять не требуется. Утвердили и в течении 5 рабочих дней направили во ФСТЭК.

Вообще интересно получается. Например, есть ведомственная поликлиника в минтрансе и автопарк в минздраве (в виде отдельных подведомственных организаций), получается им не надо согласовать свои Перечени объектов.А вот ведомственная поликлиника Минздрава должна и автопарк Минтранса должен на согласование направлять. Неформально ФСТЭК озвучивала, что изменила формулировки п.15 под Госкорпорации. С Росатомом и Роскосмосом все логично получается, а вот с Ростехом непонятно. Возможно, что Госкорпорации самостоятельно выпустят указания о процедурах выполнения требований 187-ФЗ на своих предприятиях и закроют эти коллизии законодательства локальными актами.

Да и к общему процессу защиты КИИ возникают вопросы:

1.           В п.12 «В состав комиссии по категорированию могут включаться представители государственных органов и российских юридических лиц, выполняющих функции по разработке, проведению или реализации государственной политики и (или) нормативно-правовому регулированию в установленной сфере деятельности, по согласованию с государственными органами и российскими юридическими лицами.» - никакого упоминания про подведомственность. 
Любой субъект может приглашать работников министерств участвовать в комиссии по категорированию?

2.                Государственный орган согласовал перечень объектов КИИ своих подведов, то есть он знает сколько всего объектов имеется. Но при этом, его никто далее не информирует о результатах категорирования. Он так и не узнает, а сколько же значимых объектов в его подведах.

3.                     Смотрим Приказ ФСТЭК России от 06.12.2017 N 227 «Об утверждении Порядка ведения реестра значимых объектов критической информационной инфраструктуры Российской Федерации» (Зарегистрировано в Минюсте России 08.02.2018 N 49966): «Сведения из Реестра могут предоставляться государственным органам или российским юридическим лицам, выполняющим функции по разработке, проведению или реализации государственной политики и (или) нормативно-правовому регулированию в установленной сфере, указанным в части 2 статьи 11 Федерального закона «О безопасности критической информационной инфраструктуры Российской Федерации» по их запросам только в части значимых объектов критической информационной инфраструктуры, функционирующих в сферах, отнесенных в компетенции этих государственных органов или российских юридических лиц.» - вместо подведомственности субъектов используется «в компетенции». Это одно и то же?

* Все новости блога на публичном Telegram-канале  t.me/ruporsecurite


3 комментария:

  1. У меня ещё вопрос про регионы. Местные учреждения здравоохранения подведомственны минздраву края. согласовывать с местным или с федеральным?

    Какая форма согласования должна быть? Пока никто не знает. Официальный запроси и официальный ответ что перечень систем согласован? Или просто уведомляем согласующий орган и если всё ок, то ответ не нужен...

    ОтветитьУдалить
  2. 1. С федеральным не требуется в любом случае, так как они ему не подведомственны. А вот с необходимостью согласования с краевым минздравом вопрос. Необходимо смотреть полномочия конкретного минздрава, у вас это краснодарский
    http://www.minzdravkk.ru/pages/about/aims_and_objecti
    ves/
    Так в правах Министра прописано "5.5.3. Осуществляет в рамках установленной компетенции путем издания приказов правовое регулирование в области охраны здоровья населения Краснодарского края.", но при этом у самого министерства прописано только "4.2. Осуществлять реализацию нормативных правовых актов Краснодарского края по вопросам, относящимся к деятельности Министерства, и контроль за их выполнением.", "3.22. Осуществление в соответствии с законодательством Российской Федерации и Краснодарского края анализа правоприменения нормативных правовых актов, принятых Министерством." и "2.2. Обеспечение соблюдения и исполнения законодательства Краснодарского края в области охраны здоровья населения.". Очень все туманно описано. Сравните с Красноярским минздравом http://www.kraszdrav.ru/ministerstvo/polozhenie_o_ministerstve_zdravoohraneniya "1. ОБЩИЕ ПОЛОЖЕНИЯ
    1) нормативное правовое регулирование и функции по разработке государственной политики в сферах здравоохранения, лекарственного обеспечения, функционирования, развития и охраны курортов, лечебно-оздоровительных местностей и природных лечебных ресурсов;

    2) оказание государственных услуг, управление и распоряжение государственной собственностью в сферах здравоохранения, лекарственного обеспечения, функционирования, развития и охраны курортов, лечебно-оздоровительных местностей и природных лечебных ресурсов;

    3) контроль в сферах здравоохранения, лекарственного обеспечения.". Все четко и никаких сомнений.

    В вашем случае, я бы делал так (только для подведомственных учреждений краевого минздрава):
    1. назначил комиссию
    2.направил запрос на включение в комиссию сотрудников краевого минздрава, ПП127 это допускает. В форме официального письма от директора учреждения на имя министра края.
    3. Составили проект Перечня
    4. Направили проект Перечня на согласование в министерство, как приложение к официальному письму.
    5. Если замечаний от министерства нет, то утверждаете Перечень
    6. Отправляете утвержденный Перечень в ФСТЭК.
    Примечание: Ответ от министерства должен быть, согласно правилам документооборота. Если министерство пишет, что не является согласующим органом - просто утверждаете Перечень и направляете ФСТЭК.

    ОтветитьУдалить
  3. Так же поступила просьба прокомментировать выбор министерства для горнодобывающей сферы деятельности.
    Здесь есть доля неопределенности, так как изначально эта сфера деятельности относилась к Министерству промышленности и энергетики, а в 2008 году это единое министерство разделили на два - минпромторг и и минэнерго. В Полномочиях Минэнерго четко указано: "функции по выработке и реализации государственной политики и нормативно-правовому регулированию в сфере .. нефтедобывающей, нефтеперерабатывающей, газовой, угольной, сланцевой и торфяной промышленности, ., освоения месторождений углеводородов на основе соглашений о разделе продукции, и в сфере нефтехимической промышленности..". А в полномочиях Минпромторга вообще нет упоминаний о "горнодобычи" - "функции по выработке государственной политики и нормативно-правовому регулированию в сфере промышленного и оборонно-промышленного комплексов, промышленности строительных материалов (изделий) и строительных конструкций, энергосбережения и повышения энергетической эффективности при обороте товаров, а также в области развития авиационной техники и экспериментальной авиации, технического регулирования, стандартизации и обеспечения единства измерений, науки и техники в интересах обороны и безопасности государства, внешней и внутренней торговли, общественного питания и бытового обслуживания, народных художественных промыслов, индустрии детских товаров (за исключением пищевой продукции для детского питания);". Но при этом, в составе Минпромторга есть 2 департамента, которые готовят предложения по формированию государственной политики и нормативно-правовому регулированию в отраслях промышленности: металлургическом и горно-добывающем комплексе,горнодобывающая промышленность металлических руд. Получается, что Минпромторг только формирует предложения, а сами функции из ПП 127 осуществляет Правительство РФ? И "Почетное звание "Почетный горняк" присваивается Минпромторгом работникам организаций горнодобывающей и других отраслей промышленности, связанных с добычей полезных ископаемых".
    Возможно, что Минпромторг считает горнодобычу одним из видов "промышленности"? Есть еще вариант, что Минпромторг осуществляет только контрольные и надзорные функции, а не нормативно-правовое регулирование.

    ОтветитьУдалить