Dmirtiy Вы действительно постарались "додумать" закон и под законные акты так, как вам представляется удобно, возможно, в силу определённых интересов - но закон есть закон. Обязательства создавать модель угроз нет, ровно как вы и говорили  и в подзаконных актах (ПП-1119). Что касается методов определения актуальных угроз - вы отчасти правы, наше законодательство открывает большие возможности и удобные Инструменты для этих целей - и комиссии, и оценки экспертных сообществ, рекомендации регулятора и множество других.

Коллеги, доброго дня! Прошу прощения за небольшой оффтоп, но никак не могу понять, что подразумевается под формулировкой "сведения об объекте КИИ", указанной в п. 16 127-ПП от 8.02.2018 (с правками от 13.04.2019).

Собственно, выписка:
"16. Решение комиссии по категорированию оформляется актом, который должен содержать сведения об объекте КИИ, сведения о присвоенной объекту КИИ категории значимости либо об отсутствии необходимости присвоения ему одной из таких категорий."

На мой взгляд, здесь завуалирована отсылка к подпункту а, пункта 10 вышеуказанного ПП.

Коллеги, добрый день. Подскажите, пожалуйста, если выявлено несколько объектов КИИ, то акт категорирования необходимо составлять по каждому отдельному объекту?