Вот и я о том же. Муин делать, меры внедрять, госсопка и так будет присутствовать в системах.
защита объекта, при ее необходимости, может идти отдельно от работ по кии, так и паралельно, являясь частью процедур по категорированию объекта, в том случае, если объект получился окии (и неважно есть ли категория или нет, формы регулятора обязывают нас описать меры защиты!). Все же зависит об самого объекта.