Если это ОПО то на этапе проектирования можно и нужно провести категорирование. Заодно будущий субъект за одно будет готов к созданию сил по обеспечению безопасности.
из тех производственных предприятий, которые модернизируют или создают промышленные комплексы с АСУ, и с которыми я сталкивался, именно так и делают. Если на этапе проектирования и внедрения не предусмотреть реализацию ИБ, потом это сделать намного сложнее и по технологическим и по бюрократическим (организационным) причинам.