В законе не сказано про входит ли организация в те или иные сферы. В законе сказано про наличие ИС/ИТС/АСУ в сферах

Коллеги, подскажите, какой пакет документов отправляется во фстэк при присвоении категорий значимости утвержденному перечню окии?

Заполненная и подписанная руководителем субъекта Форма сведений согласно 236 приказу ФСТЭК

Плюс высылаете в электронном виде в установленном формате

Все правильно

В случае же проверки будут смотреть всю сопроводительную документацию (показывающую, как определялись категории значимости)?

Будут, причем все делается комиссионно

А там же и в форме обоснования по определению категории должны быть?)

Приветствую! Коллеги, подскажите, если ни один процесс организации не соответствует ни одному показателю критериев значимости, то как зафиксировать отсутствие критических процессов и информировать об этом ФСТЭК? И вообще является ли данный подход при определении критических процессов верным?

Если процессы организации не соответствуют показателям, то так и пишите, что показатель не применим в отчётной форме из 236 приказа, которую необходимо будет направить в ФСТЭК.

Отдельный вопрос в том, что есть ли у субъекта критические процессы или нет. Если их нет, то, скорее всего, и заявлять объекты КИИ на категорирование не надо.

Если процессы организации не соответствуют показателям критериев значимости, следовательно нет критических процессов, следовательно нет объектов КИИ.

Как субъекту КИИ уведомить об этом регулятора. Форма из 236 приказа используется как результат категорирования объектов КИИ. Объектов то нет

Не путайте. Субъекты КИИ сначала должны понять есть ли у них ОКИИ, подлежащие категориованию, и только затем субъекты КИИ смотрят на показатели критериев значимости. Т.е. на наличие или отсутсвие объектов КИИ, подлежащих категорированию, соответсвии организации показателям критериев значимости не влияет.

Есть несколько позиций в этом деле.
Одна позиция - заявлять на категориование все ИС/ИТС/АСУ субъекта КИИ.
Другая - заявлять на категорирование только те ОКИИ, которые обрабатывают критические процессы.
Соотвественно, выберите один из этих подходов, определитесь с тем, есть ли Вам, что надо категорировать, уведомите ФСТЭК, если Вам есть, что категорировать, далее смотрите на показатели критериев значимости.

Я выбираю позицию Другая. Созданная комиссия определяет, основываясь на показателях критериев значимости, что в организации отсутствуют критические процессы. Значит объектов КИИ, которые обеспечивают такие процессы, тоже нет.

Оформите это документально. Храните эту бумажку. Направлять информацию об этом в ФСТЭК не надо.

Ок. Спасибо

но объекты у вас все равно могут быть, которые не будут иметь категории

Это почему? Критических процессов нет

на какой пункт закона вы ссылаетесь говоря о "критических" процессах?

ПП 127 п.5