Если речь о КИИ, то нужно по 127 ПП категорировать. И, чтобы уж наверняка присвоить "без категории", лучше описать сразу все АКТУАЛЬНЫЕ и возможные угрозы. Не брать, конечно, из Банка угроз ФСТЭК, но и не исключать те, которые в теории могут возникнуть (без фанатизма, ясное дело). Тогда меньше шанс, что вернут на переделку акты категорирования, да и самим попроще будет