Вот выдержки из Доктрины ИБ
35. Задачами государственных органов в рамках деятельности по обеспечению информационной безопасности являются:
в) планирование, осуществление и оценка эффективности комплекса мер по обеспечению информационной безопасности;
б) оценка состояния информационной безопасности, прогнозирование и обнаружение информационных угроз, определение приоритетных направлений их предотвращения и ликвидации последствий их проявления;

Однако
34. Деятельность государственных органов по обеспечению информационной безопасности основывается на следующих принципах:
б) конструктивное взаимодействие государственных органов, организаций и граждан при решении задач по обеспечению информационной безопасности;

33. Организационную основу системы обеспечения информационной безопасности составляют:
органы исполнительной власти субъектов Российской Федерации,

Участниками системы обеспечения информационной безопасности являются:
собственники объектов КИИ и организации, эксплуатирующие такие объекты;
СМИ;
организации денежно-кредитной, валютной, банковской и иных сфер финансового рынка;
операторы связи,
операторы информационных систем;
организации, осуществляющие ...[лицензиаты ФСТЭК, ФСБ, РКН]

Т.е. направить ФСТЭК России как орг.основа СОИБ может запрос оператору любой ИС как участнику СОИБ.

А устанавливать сроки отчётности? Сказано ежегодно предоставлять отчёт по форме (более того, об инцидентах на значимых объектах ККИ просто на почту присылать им инфу).
А ещё в отчёте есть много персональных данных, мне сейчас какую цель обработки тут сотрудникам озвучивать?
Если делается система отчётности, она должна быть более формально организована. Форма отчёта просто приложение к плану по округу.
Сверху ещё гриф ДСП, хотя никто порядка никакого до нас не доводил работы с такими документами.
В целом, ясно, что нужно сделать и просто формально заполнить, но не ясно за чей счёт. )))

Нет, в перечне изменений, в случае которых требуется уведомление ФСТЭК смена CЗИ не значится. В случае проверки они сами актуализируют информацию по вам. Это было в вопросах и ответах ФСТЭК

Только, если смена СЗИ не повлекла изменения категории значимости

Я прошу прощения, но каким образом это возможно? CЗИ по методике не должны влиять на категорию

Оценка угроз и возможностей нарушителя должна проводится комиссией при принятии решении о категории

Уважаемое сообщество, подскажите пожалуйста, где-то однозначно прописано какие именно факты стоит считать компьютерными инцидентами, достойными информирования НКЦКИ? Пишу регламент по управлению инцидентами. Хотелось бы провести в нем черту, что же в конечном итоге отправляем, а что нет. Имею ли я право прописать в нем, что сканирование информационного ресурса не требует уведомления, если проникновения в периметр сети не зафиксировано, например?

угрозы и возможности нарушителя никак не зависят от применяемых у нас средств защиты, разве нет?

Определение КИ дано в 187-фз. А так, смотрите методические документы нкцки.

Регламент взаимодействия с НКЦКИ, если мне склероз не изменяет. Там в приложении - типы инцидентов и какую информацию по ним предоставлять

10. Исходными данными для категорирования являются:

а) сведения об объекте критической информационной инфраструктуры (назначение, архитектура объекта, применяемые программные и программно-аппаратные средства, взаимодействие с другими объектами критической информационной инфраструктуры, наличие и характеристики доступа к сетям связи); - изменился состав ОКИИ, изменились исходные данные для категорирования

в вашей статье было как-то указано, что эти документы необходимо запрашивать в 8 центре(( А в свободном доступе есть?

Они ДСП, высылаются по запросу. Посмотрите эти заметки в 3 частях, они на основе этих документов https://valerykomarov.blogspot.com/2019/10/187_14.html?fbclid=IwAR1fNJ5drL1gm2HkUz2JgQuM9pNG8E1ybNbg_qRqVwF2zDM2KLz6o7AMhx0&m=1

Вот его-то мне, похоже, для счастья и не хватает

Запросите, он предоставляется всем субъектам

Для составления регламента реагирования в части состава технических параметров инцидентов можно дополнительно использовать материалы по ссылке https://www.safe-surf.ru/specialists/article/5252/638030/

Странно, то при категорировании мы не должны учитывать системы защиты типа  МЭ/СЗИ, а теперь оказывается их можно учитывать при категорировании. Речь всегда вроде говорилась лишь о применении в системах РАС/ПАЗ никак не связанных с объектом КИИ

Доклад Минэнерго, около 80% организаций ТЭК и энергетики не приступили к 187-фз. А Лютиков в своём докладе их сегодня лидерами по выполнению назвал. В принципе, хорошо бьётся с цифрами с докладов ФСТЭК на сок-форуме. Закон выполняет 1% потенциальных субъектов.

Несмотря на такое заявление спикера, Торбенко подтвердила, что ТЭК молодцы.

Угу, даже комиссию у себя не создали