Категорирование КИИ в медицине: тянуть нельзя, проходить

Почему вашей клинике не стоит затягивать с этой процедурой

Ещё недавно к категорированию объектов критической информационной инфраструктуры (КИИ) в медицинских учреждениях относились как к формальности: собрали бумаги, отправили — и забыли. В 2025 году такой подход перестал работать. Отсутствие категории стало реальным управленческим риском.

Что изменилось?

Государство не ввело одномоментный запрет, а постепенно «закручивает гайки» через систему точечных изменений:

• расширение перечней объектов КИИ;
• усиление контроля со стороны отраслевых регуляторов;
• введение требований к реальной защите информационных систем, а не только к документам;
• появление новых нормативных актов, которые усложняют обоснование «у нас нет значимости» (например, Приказ ФСТЭК № 117 от 11 апреля 2025 года, вступивший в силу с 1 марта 2026 года).

Что это значит для клиники на практике?

Раньше можно было «не замечать» часть своих ИТ-систем, и это проходило незамеченным. Сегодня с каждым обновлением перечня таких лазеек становится всё меньше. Всё больше информационных систем автоматически попадают в зону внимания регуляторов.

Вопрос уже не «введут ли обязательное категорирование?». Теперь он звучит иначе: нет категории — к вам обязательно придут с проверкой.

Мы уже рассказывали в одном из постов, как клиника пыталась пройти категорирование самостоятельно и получила отказ ФСТЭК — документы не приняли из-за ошибок в обосновании. Самостоятельный опыт часто оказывается неудачным и отнимает месяцы.

Ключевой момент: время работает против вас

1. Если проходите категорирование сейчас — у вас больше гибкости.

Вы можете выбрать подход, обосновать категорию с учётом реальных рисков и, возможно, остаться без категории или с минимальными требованиями.

2. Если тянете — последствия будут жёстче:

• список объектов КИИ в вашей клинике расширится (могут включить то, что раньше не учитывали);
• вам фактически «назначат» категорию — чаще всего третью.

А третья категория — это уже не формальность, а полноценный режим:

• обязательные меры защиты информации;
• закупка средств информационной безопасности;
• постоянный мониторинг угроз;
• регулярные проверки со стороны регуляторов;
• по сути — выстраивание полноценной функции информационной безопасности внутри клиники.

Главный триггер для многих клиник — экономика

Да, штрафы за отсутствие категорирования уже действуют. Но для большинства медицинских учреждений ключевым стимулом становятся реальные расходы и операционная нагрузка, которые возникают при получении третьей категории.

Простая логика:

пройти процедуру раньше = больше шансов остаться без категории или с минимальными требованиями = сэкономить миллионы на внедрении ИБ.

Что делать прямо сейчас?

Не гадать, попадаете ли вы под требования, а проверить.

Мы подготовили короткий квиз из 4 вопросов. Он поможет понять:

• нужно ли вашей клинике категорирование КИИ;
• с какой категорией вы, скорее всего, столкнётесь;
• сколько времени у вас есть, чтобы действовать без спешки.