Разработка ОРД по безопасности объектов КИИ
Готовим комплект организационно-распорядительной документации по безопасности значимых объектов КИИ по приказам ФСТЭК № 235 и № 239: приказы, политику, регламенты, план мероприятий, журналы, а по каждому объекту — ведомость мер защиты и модель угроз. Работаем дистанционно.
Актуально на 28 октября 2026
Кому нужна разработка ОРД по КИИ
После присвоения категории система безопасности должна работать по утверждённым ОРД (пп. 5, 23 приказа ФСТЭК № 235). Начать лучше сразу после направления сведений во ФСТЭК.
Изменились категория, состав систем, правила категорирования или требования ФСТЭК; с 1 марта 2027 года добавится расчёт показателя защищённости.
ОРД утверждают и по значимым объектам филиалов, а документы дочерних обществ не должны противоречить ОРД основного (пп. 23–24).
При государственном контроле проверяют, как выполняются требования к системе безопасности, — первыми смотрят утверждённые документы.
Какие ОРД требует приказ ФСТЭК № 235
Система безопасности значимого объекта КИИ работает по организационно-распорядительным документам, которые субъект разрабатывает и утверждает сам (пп. 5, 23 приказа ФСТЭК № 235). Состав и формы документов организация определяет сама, но содержание задано пунктом 25 — ОРД должны определять:
- цели и задачи обеспечения безопасности, основные угрозы и категории нарушителей, организационные и технические мероприятия, состав и структуру системы безопасности, функции её участников, порядок оценки соответствия значимых объектов и средств защиты;
- планы мероприятий, модели угроз, порядок реализации отдельных мер, порядок испытаний или приёмки средств защиты, порядок реагирования на компьютерные инциденты, информирования и обучения работников, взаимодействия подразделений и взаимодействия с ГосСОПКА;
- правила безопасной работы работников на значимом объекте и их действия при инцидентах и нештатных ситуациях.
Кроме того, приказ требует ежегодный план мероприятий с отчётом о его выполнении (пп. 29–32), внутренний контроль не реже раза в 3 года с оформлением акта (пп. 35–36) и должностные обязанности по безопасности (пп. 13–14). ОРД утверждает руководитель и доводит до подразделений и работников в части, которая их касается (пп. 26–27).
| Раздел | Что входит |
|---|---|
| Организация обеспечения безопасности | Приказ о заместителе руководителя, ответственном за информационную безопасность (Указ № 250), положение о нём; приказ и положение о подразделении или ответственных работниках |
| Система безопасности значимых объектов | Приказ о создании системы и положение о ней, инструкции ответственных, комиссия по контролю защищённости, план мероприятий и отчёт, обучение персонала, порядок испытаний и оценки соответствия средств защиты — по приказу ФСТЭК № 235 |
| Меры защиты информации | Политика безопасности и регламенты по приказу ФСТЭК № 239: доступ, антивирусная защита, обновления, регистрация событий, носители, целостность, резервное копирование, контроль защищённости, нештатные ситуации |
| Взаимодействие с ГосСОПКА | Порядок взаимодействия с НКЦКИ, регламент управления компьютерными инцидентами, план реагирования на инциденты |
| Перечни | Лица с доступом к значимым объектам, средства защиты информации, помещения контролируемой зоны, привилегированные учётные записи |
| Журналы учёта | Восемь журналов: инциденты, носители, обучение, учётные записи, резервное копирование, обновления, антивирусные проверки, средства защиты |
| Акты | Контроль состояния защищённости, пересмотр прав доступа, приёмочные испытания средств защиты |
| Ведомость мер защиты | По каждому значимому объекту: решение, способ реализации и обоснование по каждой мере базового набора; для нереализованных — пункт плана или компенсирующие меры |
| Модель угроз | По каждому значимому объекту — по Методике ФСТЭК России 2021 года и банку данных угроз ФСТЭК, со связью угроз и мер |
| Сопроводительные материалы | Опись, руководство по введению комплекта в действие, замечания к исходным документам при расхождениях со сведениями о категорировании |
Стоимость разработки ОРД по КИИ
Цена зависит от числа значимых объектов и фиксируется в договоре.
- Организация обеспечения безопасности: приказы и положения по Указу № 250
- Система безопасности по приказу ФСТЭК № 235: приказы, положения, план мероприятий, инструкции
- Политика и регламенты мер защиты по приказу ФСТЭК № 239
- Взаимодействие с ГосСОПКА: порядок, регламент управления инцидентами, план реагирования
- Перечни: доступ, средства защиты, контролируемая зона, привилегированные учётные записи
- Восемь журналов учёта
- Акты контроля защищённости, пересмотра прав доступа, приёмочных испытаний
- Ведомость применимых мер защиты по каждому значимому объекту
- Модель угроз по Методике ФСТЭК России 2021 года по каждому значимому объекту
- Опись и руководство по введению комплекта в действие
| число значимых объектов КИИ | Цена за комплект |
|---|---|
| 1 объект | 120 000 ₽ |
| до 5 объектов | 180 000 ₽ |
| до 10 объектов | 240 000 ₽ |
| до 15 объектов | 300 000 ₽ |
Как мы разрабатываем ОРД
Фиксируем состав комплекта, цену и срок, вы вносите предоплату.
Мы заполняем профиль по результатам категорирования, вы дополняете организационные и технические сведения и утверждаете его. Все факты в документах берутся только из утверждённого профиля.
Готовим документы под категорию значимых объектов, структуру подразделений и меры защиты, которые у вас реально применяются, — не типовые формулировки.
Вносим правки по замечаниям подразделений и передаём комплект в редактируемом формате с описью и руководством по введению в действие.
Руководитель утверждает документы, их доводят до подразделений и работников в части, которая их касается (п. 27 приказа № 235).
Что входит в услугу и что нет
Мы готовим комплект документов: до 56 общих документов в зависимости от ваших условий и по два документа на каждый значимый объект — ведомость применимых мер защиты и модель угроз. Комплект передаём в редактируемом формате .docx, оформленным по ГОСТ Р 7.0.97-2025. Работаем дистанционно: исходные данные собираем через профиль предприятия, который вы утверждаете.
Документы описывают меры и средства защиты, которые организация применяет на самом деле. Если технологический контур изолирован от общей сети, это учитываем в модели угроз и выборе мер, а обоснование компенсирующих мер включаем в ОРД.
Функции подразделения по безопасности, внедрение и настройка средств защиты информации в услугу не входят: эти работы выполняет сам субъект КИИ или организация с лицензией ФСТЭК (п. 11 приказа № 235).
Что нужно от вас
Архитектура, программное обеспечение, средства защиты
Если есть
Если были
Нормативная база ОРД по КИИ
Закон, 26 июля 2017. Обязанности субъекта КИИ по обеспечению безопасности значимых объектов (ст. 9).
Приказ, 21 декабря 2017. Требования к системе безопасности и её ОРД: пп. 23–27 — документы, пп. 29–36 — план мероприятий и внутренний контроль.
Приказ, 25 декабря 2017. Требования к обеспечению безопасности значимого объекта: модель угроз, организационные и технические меры.
Закон, 30 декабря 2001. Ст. 13.12.1 — ответственность за нарушение требований к системам безопасности значимых объектов.
Кто ведёт направление
Вопросы о разработке ОРД по КИИ
Обязательны ли ОРД для значимых объектов КИИ?
Нужны ли ОРД, если категория объекту не присвоена?
Сколько документов в комплекте?
Входит ли модель угроз?
Сколько времени занимает разработка?
Можно ли взять типовой шаблон ОРД?
Входит ли в услугу внедрение средств защиты?
Готовите ли вы ОРД для категорирования?
Сначала — категорирование
Рассчитаем стоимость ОРД
Опишите значимые объекты и структуру — ответим с составом комплекта, сроком и ценой.
Заявка принята. Перезвоним в рабочее время.
Позвоните: 8 800 70 70 144