Вопрос: Указ президента РФ № 250 и типовые положения о ЗГД по ИБ и структурном подразделении по ИБ (1272-ПП):  может ли ЗГД по ИБ быть уполномоченным лицом в части исполнения 187-ФЗ и (или) лицом, ответственным за обеспечение безопасности объектов КИИ?
Ответ: Ответ: в части уполномоченного лица – да, заместитель руководителя, ответственный за обеспечение информационной безопасности (ЗГД по ИБ) может быть уполномоченным лицом в части деятельности по исполнению Федерального закона от 26.07.2017 № 187-ФЗ (187-ФЗ) , более того, это крайне желательно. Чтобы быть уполномоченным лицом по исполнению требований 187-ФЗ достаточно наличие доверенности на осуществление соответствующей деятельности от имени субъекта КИИ. При этом подпунктом «а» пункта 1 Указа президента РФ от 01.05.2022 № 250 (250-УП) требуется «возложить на заместителя руководителя органа (организации) полномочия по обеспечению информационной безопасности органа (организации), в том числе по обнаружению, предупреждению и ликвидации последствий компьютерных атак и реагированию на компьютерные инциденты», что подразумевает выпуск общей доверенности по информационной безопасности.
  
  	 В части назначения ЗГД по ИБ ответственным за обеспечение безопасности значимых объектов критической информационной инфраструктуры (КИИ) – да, это возможно. ЗГД по ИБ может быть ответственным за безопасность значимых объектов КИИ. Функции ЗГД по ИБ и требования к его образованию, установленные в рамках Типового положения ЗГД по ИБ, утв. постановлением Правительства от 15.07.2022 № 1272 (1272-ПП), не противоречат приказу ФСТЭК России от 25.12.2017 № 235, однако в должностную инструкцию помимо, требований Типового положения, необходимо добавить дополнительные задачи, функции, обязанности, связанные с исполнением соответствующей роли. Также необходимо учесть, что подпунктом «б» пункта 1 250-УП требуется наличие «структурного подразделения, осуществляющего функции по обеспечению информационной безопасности органа (организации), в том числе по обнаружению, предупреждению и ликвидации последствий компьютерных атак и реагированию на компьютерные инциденты», которым может быть группа/бюро/отдел информационных технологий (в случае отсутствия профильного подразделения и (или) ресурсов на его создание).
  
  	 Подход по назначению ЗГД по ИБ ответственным за обеспечение безопасности значимых объектов КИИ рекомендуем только для небольших организаций.
Цитаты из НПА: {"26.07.2017 № 187": ["В целях обеспечения безопасности значимого объекта критической информационной инфраструктуры субъект критической информационной инфраструктуры в соответствии с требованиями к созданию систем безопасности таких объектов и обеспечению их функционирования, утвержденными федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, создает систему безопасности такого объекта и обеспечивает ее функционирование.", "Средствами, предназначенными для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты, являются технические, программные, программно-аппаратные и иные средства для обнаружения (в том числе для поиска признаков компьютерных атак в сетях электросвязи, используемых для организации взаимодействия объектов критической информационной инфраструктуры), предупреждения, ликвидации последствий компьютерных атак и (или) обмена информацией, необходимой субъектам критической информационной инфраструктуры при обнаружении, предупреждении и (или) ликвидации последствий компьютерных атак, а также криптографические средства защиты такой информации.", "Оценка безопасности критической информационной инфраструктуры осуществляется федеральным органом исполнительной власти, уполномоченным в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, в целях прогнозирования возникновения возможных угроз безопасности критической информационной инфраструктуры и выработки мер по повышению устойчивости ее функционирования при проведении в отношении ее компьютерных атак.", "Требования по обеспечению безопасности значимых объектов критической информационной инфраструктуры, устанавливаемые федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, дифференцируются в зависимости от категории значимости объектов критической информационной инфраструктуры и этими требованиями предусматриваются: 1) планирование, разработка, совершенствование и осуществление внедрения мероприятий по обеспечению безопасности значимых объектов критической информационной инфраструктуры; 2) принятие организационных и технических мер для обеспечения безопасности значимых объектов критической информационной инфраструктуры; 3) установление параметров и характеристик программных и программно-аппаратных средств, применяемых для обеспечения безопасности значимых объектов критической информационной инфраструктуры.", "Национальный координационный центр по компьютерным инцидентам осуществляет свою деятельность в соответствии с положением, утверждаемым федеральным органом исполнительной власти, уполномоченным в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации."], "01.05.2022 № 250": ["а) возложить на заместителя руководителя органа (организации) полномочия по обеспечению информационной безопасности органа (организации), в том числе по обнаружению, предупреждению и ликвидации последствий компьютерных атак и реагированию на компьютерные инциденты;"], "15.07.2022 № 1272": ["Ответственное лицо с использованием нормативных правовых документов и методических материалов Федеральной службы безопасности Российской Федерации организует обнаружение, предупреждение и ликвидацию последствий компьютерных атак, реагирование на компьютерные инциденты с информационными ресурсами органа (организации), а также взаимодействие с Национальным координационным центром по компьютерным инцидентам одним (или несколькими) из следующих способов: а) силами структурного подразделения, ответственного за обеспечение информационной безопасности, с заключением соглашения (издания совместного акта) о взаимодействии с Федеральной службой безопасности Российской Федерации (Национальным координационным центром по компьютерным инцидентам), включающего в том числе права и обязанности сторон, порядок проведения совместных мероприятий, регламент информационного обмена, порядок и сроки представления отчетности, порядок и формы контроля; б) силами структурного подразделения, ответственного за обеспечение информационной безопасности, с его аккредитацией как центра государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации.", "Типовое положение о заместителе руководителя органа (организации), ответственном за обеспечение информационной безопасности в органе (организации)", "Ответственное лицо имеет право: а) давать указания и поручения работникам органа (организации) в части обеспечения информационной безопасности; б) запрашивать от работников органа (организации) информацию и материалы, необходимые для реализации возложенных на ответственное лицо прав и обязанностей; в) участвовать в заседаниях (совещаниях) коллегиальных органов органа (организации), принятии решений по вопросам деятельности органа (организации), а также по внесению предложений по совершенствованию деятельности органа (организации); г) участвовать в разработке политики, выносить политику на обсуждение, утверждение коллегиальному органу органа (организации); д) представлять результаты реализации политики коллегиальному органу (органа) организации; е) принимать решения по вопросам обеспечения информационной безопасности органа (организации); ж) взаимодействовать с Федеральной службой безопасности Российской Федерации, Федеральной службой по техническому и экспортному контролю и иными федеральными органами исполнительной власти по вопросам обеспечения информационной безопасности, в том числе по вопросам совершенствования законодательства Российской Федерации в области обеспечения информационной безопасности; з) вносить предложения о привлечении организаций, имеющих соответствующие лицензии на деятельность в области защиты информации, в соответствии с законодательством Российской Федерации к проведению работ по обеспечению информационной безопасности; и) инициировать проверки уровня (состояния) обеспечения информационной безопасности в органе (организации), ее подведомственных и дочерних организациях; к) организовывать на объектах органа (организации) мероприятия по информационной безопасности, разработку и представление руководителю органа (организации) предложений по внесению изменений в процессы функционирования, принятию других мер, направленных на недопущение реализации негативных последствий; л) получать доступ в установленном порядке к сведениям, составляющим государственную тайну, если исполнение обязанностей ответственного лица связано с использованием таких сведений и наличием необходимых прав и полномочий; м) получать доступ в установленном порядке в связи с исполнением своих обязанностей в государственные органы, органы местного самоуправления, общественные объединения и другие организации; н) обеспечивать надлежащие организационно-технические условия, необходимые для исполнения обязанностей ответственного лица."]}
full_text: {"26.07.2017 № 187": "Федеральный закон от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\"\nПринят Государственной Думой 12 июля 2017 года\nОдобрен Советом Федерации 19 июля 2017 года\nСтатья 1. Сфера действия настоящего Федерального закона\nНастоящий Федеральный закон регулирует отношения в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации (далее также - критическая информационная инфраструктура) в целях ее устойчивого функционирования при проведении в отношении ее компьютерных атак. Статья 2. Основные понятия, используемые в настоящем Федеральном законе\nДля целей настоящего Федерального закона используются следующие основные понятия:\n1) автоматизированная система управления - комплекс программных и программно-аппаратных средств, предназначенных для контроля за технологическим и (или) производственным оборудованием (исполнительными устройствами) и производимыми ими процессами, а также для управления такими оборудованием и процессами;\n2) безопасность критической информационной инфраструктуры - состояние защищенности критической информационной инфраструктуры, обеспечивающее ее устойчивое функционирование при проведении в отношении ее компьютерных атак;\n3) значимый объект критической информационной инфраструктуры - объект критической информационной инфраструктуры, которому присвоена одна из категорий значимости и который включен в реестр значимых объектов критической информационной инфраструктуры;\n4) компьютерная атака - целенаправленное воздействие программных и (или) программно-аппаратных средств на объекты критической информационной инфраструктуры, сети электросвязи, используемые для организации взаимодействия таких объектов, в целях нарушения и (или) прекращения их функционирования и (или) создания угрозы безопасности обрабатываемой такими объектами информации;\n5) компьютерный инцидент - факт нарушения и (или) прекращения функционирования объекта критической информационной инфраструктуры, сети электросвязи, используемой для организации взаимодействия таких объектов, и (или) нарушения безопасности обрабатываемой таким объектом информации, в том числе произошедший в результате компьютерной атаки;\n6) критическая информационная инфраструктура - объекты критической информационной инфраструктуры, а также сети электросвязи, используемые для организации взаимодействия таких объектов;\n7) объекты критической информационной инфраструктуры - информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления субъектов критической информационной инфраструктуры;\n8) субъекты критической информационной инфраструктуры - государственные органы, государственные учреждения, российские юридические лица и (или) индивидуальные предприниматели, которым на праве собственности, аренды или на ином законном основании принадлежат информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления, функционирующие в сфере здравоохранения, науки, транспорта, связи, энергетики, государственной регистрации прав на недвижимое имущество и сделок с ним, банковской сфере и иных сферах финансового рынка, топливно-энергетического комплекса, в области атомной энергии, оборонной, ракетно-космической, горнодобывающей, металлургической и химической промышленности, российские юридические лица и (или) индивидуальные предприниматели, которые обеспечивают взаимодействие указанных систем или сетей. Статья 3. Правовое регулирование отношений в области обеспечения безопасности критической информационной инфраструктуры\n1. Отношения в области обеспечения безопасности критической информационной инфраструктуры регулируются в соответствии с Конституцией Российской Федерации, общепризнанными принципами и нормами международного права, настоящим Федеральным законом, другими федеральными законами и принимаемыми в соответствии с ними иными нормативными правовыми актами. 2. Особенности применения настоящего Федерального закона к сетям связи общего пользования определяются Федеральным законом от 7 июля 2003 года N 126-ФЗ \"О связи\" и принимаемыми в соответствии с ним нормативными правовыми актами Российской Федерации. Статья 4. Принципы обеспечения безопасности критической информационной инфраструктуры\nПринципами обеспечения безопасности критической информационной инфраструктуры являются:\n1) законность;\n2) непрерывность и комплексность обеспечения безопасности критической информационной инфраструктуры, достигаемые в том числе за счет взаимодействия уполномоченных федеральных органов исполнительной власти и субъектов критической информационной инфраструктуры;\n3) приоритет предотвращения компьютерных атак. Статья 5. Государственная система обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации\n1. Государственная система обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации представляет собой единый территориально распределенный комплекс, включающий силы и средства, предназначенные для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты. В целях настоящей статьи под информационными ресурсами Российской Федерации понимаются информационные системы, информационно-телекоммуникационные сети и автоматизированные системы управления, находящиеся на территории Российской Федерации, в дипломатических представительствах и (или) консульских учреждениях Российской Федерации. 2. К силам, предназначенным для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты, относятся:\n1) подразделения и должностные лица федерального органа исполнительной власти, уполномоченного в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации;\n2) организация, создаваемая федеральным органом исполнительной власти, уполномоченным в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, для обеспечения координации деятельности субъектов критической информационной инфраструктуры по вопросам обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты (далее - национальный координационный центр по компьютерным инцидентам);\n3) подразделения и должностные лица субъектов критической информационной инфраструктуры, которые принимают участие в обнаружении, предупреждении и ликвидации последствий компьютерных атак и в реагировании на компьютерные инциденты. 3. Средствами, предназначенными для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты, являются технические, программные, программно-аппаратные и иные средства для обнаружения (в том числе для поиска признаков компьютерных атак в сетях электросвязи, используемых для организации взаимодействия объектов критической информационной инфраструктуры), предупреждения, ликвидации последствий компьютерных атак и (или) обмена информацией, необходимой субъектам критической информационной инфраструктуры при обнаружении, предупреждении и (или) ликвидации последствий компьютерных атак, а также криптографические средства защиты такой информации. 4. Национальный координационный центр по компьютерным инцидентам осуществляет свою деятельность в соответствии с положением, утверждаемым федеральным органом исполнительной власти, уполномоченным в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации. 5. В государственной системе обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации осуществляются сбор, накопление, систематизация и анализ информации, которая поступает в данную систему через средства, предназначенные для обнаружения, предупреждения и ликвидации последствий компьютерных атак, информации, которая представляется субъектами критической информационной инфраструктуры и федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, в соответствии с перечнем информации и в порядке, определяемыми федеральным органом исполнительной власти, уполномоченным в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, а также информации, которая может представляться иными не являющимися субъектами критической информационной инфраструктуры органами и организациями, в том числе иностранными и международными. 6. Федеральный орган исполнительной власти, уполномоченный в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, организует в установленном им порядке обмен информацией о компьютерных инцидентах между субъектами критической информационной инфраструктуры, а также между субъектами критической информационной инфраструктуры и уполномоченными органами иностранных государств, международными, международными неправительственными организациями и иностранными организациями, осуществляющими деятельность в области реагирования на компьютерные инциденты. 7. Предоставление из государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации сведений, составляющих государственную либо иную охраняемую законом тайну, осуществляется в соответствии с законодательством Российской Федерации. Статья 6. Полномочия Президента Российской Федерации и органов государственной власти Российской Федерации в области обеспечения безопасности критической информационной инфраструктуры\n1. Президент Российской Федерации определяет:\n1) основные направления государственной политики в области обеспечения безопасности критической информационной инфраструктуры;\n2) федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации;\n3) федеральный орган исполнительной власти, уполномоченный в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации;\n4) порядок создания и задачи государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации. 2. Правительство Российской Федерации устанавливает:\n1) показатели критериев значимости объектов критической информационной инфраструктуры и их значения, а также порядок и сроки осуществления их категорирования;\n2) порядок осуществления государственного контроля в области обеспечения безопасности значимых объектов критической информационной инфраструктуры;\n3) порядок подготовки и использования ресурсов единой сети электросвязи Российской Федерации для обеспечения функционирования значимых объектов критической информационной инфраструктуры. 3. Федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации:\n1) вносит предложения о совершенствовании нормативно-правового регулирования в области обеспечения безопасности критической информационной инфраструктуры Президенту Российской Федерации и (или) в Правительство Российской Федерации;\n2) утверждает порядок ведения реестра значимых объектов критической информационной инфраструктуры и ведет данный реестр;\n3) утверждает форму направления сведений о результатах присвоения объекту критической информационной инфраструктуры одной из категорий значимости либо об отсутствии необходимости присвоения ему одной из таких категорий;\n4) устанавливает требования по обеспечению безопасности значимых объектов критической информационной инфраструктуры (требования по обеспечению безопасности информационно-телекоммуникационных сетей, которым присвоена одна из категорий значимости и которые включены в реестр значимых объектов критической информационной инфраструктуры, устанавливаются по согласованию с федеральным органом исполнительной власти, осуществляющим функции по выработке и реализации государственной политики и нормативно-правовому регулированию в области связи), а также требования к созданию систем безопасности таких объектов и обеспечению их функционирования (в банковской сфере и в иных сферах финансового рынка устанавливает указанные требования по согласованию с Центральным банком Российской Федерации);\n5) осуществляет государственный контроль в области обеспечения безопасности значимых объектов критической информационной инфраструктуры, а также утверждает форму акта проверки, составляемого по итогам проведения указанного контроля. 4. Федеральный орган исполнительной власти, уполномоченный в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации:\n1) вносит предложения о совершенствовании нормативно-правового регулирования в области обеспечения безопасности критической информационной инфраструктуры Президенту Российской Федерации и (или) в Правительство Российской Федерации;\n2) создает национальный координационный центр по компьютерным инцидентам и утверждает положение о нем;\n3) координирует деятельность субъектов критической информационной инфраструктуры по вопросам обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты;\n4) организует и проводит оценку безопасности критической информационной инфраструктуры;\n5) определяет перечень информации, представляемой в государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, и порядок ее представления;\n6) утверждает порядок информирования федерального органа исполнительной власти, уполномоченного в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, о компьютерных инцидентах, реагирования на них, принятия мер по ликвидации последствий компьютерных атак, проведенных в отношении значимых объектов критической информационной инфраструктуры (в банковской сфере и в иных сферах финансового рынка утверждает указанный порядок по согласованию с Центральным банком Российской Федерации);\n7) утверждает порядок обмена информацией о компьютерных инцидентах между субъектами критической информационной инфраструктуры, между субъектами критической информационной инфраструктуры и уполномоченными органами иностранных государств, международными, международными неправительственными организациями и иностранными организациями, осуществляющими деятельность в области реагирования на компьютерные инциденты, а также порядок получения субъектами критической информационной инфраструктуры информации о средствах и способах проведения компьютерных атак и о методах их предупреждения и обнаружения;\n8) организует установку на значимых объектах критической информационной инфраструктуры и в сетях электросвязи, используемых для организации взаимодействия объектов критической информационной инфраструктуры, средств, предназначенных для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты;\n9) устанавливает требования к средствам, предназначенным для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты;\n10) утверждает порядок, технические условия установки и эксплуатации средств, предназначенных для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты, за исключением средств, предназначенных для поиска признаков компьютерных атак в сетях электросвязи, используемых для организации взаимодействия объектов критической информационной инфраструктуры (в банковской сфере и в иных сферах финансового рынка утверждает указанные порядок и технические условия по согласованию с Центральным банком Российской Федерации). 5. Федеральный орган исполнительной власти, осуществляющий функции по выработке и реализации государственной политики и нормативно-правовому регулированию в области связи, утверждает по согласованию с федеральным органом исполнительной власти, уполномоченным в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, порядок, технические условия установки и эксплуатации средств, предназначенных для поиска признаков компьютерных атак в сетях электросвязи, используемых для организации взаимодействия объектов критической информационной инфраструктуры. Статья 7. Категорирование объектов критической информационной инфраструктуры\n1. Категорирование объекта критической информационной инфраструктуры представляет собой установление соответствия объекта критической информационной инфраструктуры критериям значимости и показателям их значений, присвоение ему одной из категорий значимости, проверку сведений о результатах ее присвоения. 2. Категорирование осуществляется исходя из:\n1) социальной значимости, выражающейся в оценке возможного ущерба, причиняемого жизни или здоровью людей, возможности прекращения или нарушения функционирования объектов обеспечения жизнедеятельности населения, транспортной инфраструктуры, сетей связи, а также максимальном времени отсутствия доступа к государственной услуге для получателей такой услуги;\n2) политической значимости, выражающейся в оценке возможного причинения ущерба интересам Российской Федерации в вопросах внутренней и внешней политики;\n3) экономической значимости, выражающейся в оценке возможного причинения прямого и косвенного ущерба субъектам критической информационной инфраструктуры и (или) бюджетам Российской Федерации;\n4) экологической значимости, выражающейся в оценке уровня воздействия на окружающую среду;\n5) значимости объекта критической информационной инфраструктуры для обеспечения обороны страны, безопасности государства и правопорядка. 3. Устанавливаются три категории значимости объектов критической информационной инфраструктуры - первая, вторая и третья. 4. Субъекты критической информационной инфраструктуры в соответствии с критериями значимости и показателями их значений, а также порядком осуществления категорирования присваивают одну из категорий значимости принадлежащим им на праве собственности, аренды или ином законном основании объектам критической информационной инфраструктуры. Если объект критической информационной инфраструктуры не соответствует критериям значимости, показателям этих критериев и их значениям, ему не присваивается ни одна из таких категорий. 5. Сведения о результатах присвоения объекту критической информационной инфраструктуры одной из категорий значимости либо об отсутствии необходимости присвоения ему одной из таких категорий субъекты критической информационной инфраструктуры в письменном виде в десятидневный срок со дня принятия ими соответствующего решения направляют в федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, по утвержденной им форме. 6. Федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, в тридцатидневный срок со дня получения сведений, указанных в части 5 настоящей статьи, проверяет соблюдение порядка осуществления категорирования и правильность присвоения объекту критической информационной инфраструктуры одной из категорий значимости либо неприсвоения ему ни одной из таких категорий. 7. В случае, если субъектом критической информационной инфраструктуры соблюден порядок осуществления категорирования и принадлежащему ему на праве собственности, аренды или ином законном основании объекту критической информационной инфраструктуры правильно присвоена одна из категорий значимости, федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, вносит сведения о таком объекте критической информационной инфраструктуры в реестр значимых объектов критической информационной инфраструктуры, о чем в десятидневный срок уведомляется субъект критической информационной инфраструктуры. 8. В случае, если федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, выявлены нарушения порядка осуществления категорирования и (или) объекту критической информационной инфраструктуры, принадлежащему на праве собственности, аренды или ином законном основании субъекту критической информационной инфраструктуры, неправильно присвоена одна из категорий значимости и (или) необоснованно не присвоена ни одна из таких категорий и (или) субъектом критической информационной инфраструктуры представлены неполные и (или) недостоверные сведения о результатах присвоения такому объекту критической информационной инфраструктуры одной из категорий значимости либо об отсутствии необходимости присвоения ему одной из таких категорий, федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, в десятидневный срок со дня поступления представленных сведений возвращает их в письменном виде субъекту критической информационной инфраструктуры с мотивированным обоснованием причин возврата. 9. Субъект критической информационной инфраструктуры после получения мотивированного обоснования причин возврата сведений, указанных в части 5 настоящей статьи, не более чем в десятидневный срок устраняет отмеченные недостатки и повторно направляет такие сведения в федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации. 10. Сведения об отсутствии необходимости присвоения объекту критической информационной инфраструктуры одной из категорий значимости после их проверки направляются федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, в государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, о чем в десятидневный срок уведомляется субъект критической информационной инфраструктуры. 11. В случае непредставления субъектом критической информационной инфраструктуры сведений, указанных в части 5 настоящей статьи, федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, направляет в адрес указанного субъекта требование о необходимости соблюдения положений настоящей статьи. 12. Категория значимости, к которой отнесен значимый объект критической информационной инфраструктуры, может быть изменена в порядке, предусмотренном для категорирования, в следующих случаях:\n1) по мотивированному решению федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, принятому по результатам проверки, проведенной в рамках осуществления государственного контроля в области обеспечения безопасности значимых объектов критической информационной инфраструктуры;\n2) в случае изменения значимого объекта критической информационной инфраструктуры, в результате которого такой объект перестал соответствовать критериям значимости и показателям их значений, на основании которых ему была присвоена определенная категория значимости;\n3) в связи с ликвидацией, реорганизацией субъекта критической информационной инфраструктуры и (или) изменением его организационно-правовой формы, в результате которых были изменены либо утрачены признаки субъекта критической информационной инфраструктуры. Статья 8. Реестр значимых объектов критической информационной инфраструктуры\n1. В целях учета значимых объектов критической информационной инфраструктуры федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, ведет реестр значимых объектов критической информационной инфраструктуры в установленном им порядке. В данный реестр вносятся следующие сведения:\n1) наименование значимого объекта критической информационной инфраструктуры;\n2) наименование субъекта критической информационной инфраструктуры;\n3) сведения о взаимодействии значимого объекта критической информационной инфраструктуры и сетей электросвязи;\n4) сведения о лице, эксплуатирующем значимый объект критической информационной инфраструктуры;\n5) категория значимости, которая присвоена значимому объекту критической информационной инфраструктуры;\n6) сведения о программных и программно-аппаратных средствах, используемых на значимом объекте критической информационной инфраструктуры;\n7) меры, применяемые для обеспечения безопасности значимого объекта критической информационной инфраструктуры. 2. Сведения из реестра значимых объектов критической информационной инфраструктуры направляются в государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации. 3. В случае утраты значимым объектом критической информационной инфраструктуры категории значимости он исключается федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, из реестра значимых объектов критической информационной инфраструктуры. Статья 9. Права и обязанности субъектов критической информационной инфраструктуры\n1. Субъекты критической информационной инфраструктуры имеют право:\n1) получать от федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, информацию, необходимую для обеспечения безопасности значимых объектов критической информационной инфраструктуры, принадлежащих им на праве собственности, аренды или ином законном основании, в том числе об угрозах безопасности обрабатываемой такими объектами информации и уязвимости программного обеспечения, оборудования и технологий, используемых на таких объектах;\n2) в порядке, установленном федеральным органом исполнительной власти, уполномоченным в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, получать от указанного органа информацию о средствах и способах проведения компьютерных атак, а также о методах их предупреждения и обнаружения;\n3) при наличии согласия федерального органа исполнительной власти, уполномоченным в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, за свой счет приобретать, арендовать, устанавливать и обслуживать средства, предназначенные для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты;\n4) разрабатывать и осуществлять мероприятия по обеспечению безопасности значимого объекта критической информационной инфраструктуры. 2. Субъекты критической информационной инфраструктуры обязаны:\n1) незамедлительно информировать о компьютерных инцидентах федеральный орган исполнительной власти, уполномоченный в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, а также Центральный банк Российской Федерации (в случае, если субъект критической информационной инфраструктуры осуществляет деятельность в банковской сфере и в иных сферах финансового рынка) в установленном указанным федеральным органом исполнительной власти порядке (в банковской сфере и в иных сферах финансового рынка указанный порядок устанавливается по согласованию с Центральным банком Российской Федерации);\n2) оказывать содействие должностным лицам федерального органа исполнительной власти, уполномоченного в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, в обнаружении, предупреждении и ликвидации последствий компьютерных атак, установлении причин и условий возникновения компьютерных инцидентов;\n3) в случае установки на объектах критической информационной инфраструктуры средств, предназначенных для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты, обеспечивать выполнение порядка, технических условий установки и эксплуатации таких средств, их сохранность. 3. Субъекты критической информационной инфраструктуры, которым на праве собственности, аренды или ином законном основании принадлежат значимые объекты критической информационной инфраструктуры, наряду с выполнением обязанностей, предусмотренных частью 2 настоящей статьи, также обязаны:\n1) соблюдать требования по обеспечению безопасности значимых объектов критической информационной инфраструктуры, установленные федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации;\n2) выполнять предписания должностных лиц федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, об устранении нарушений в части соблюдения требований по обеспечению безопасности значимого объекта критической информационной инфраструктуры, выданные этими лицами в соответствии со своей компетенцией;\n3) реагировать на компьютерные инциденты в порядке, утвержденном федеральным органом исполнительной власти, уполномоченным в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, принимать меры по ликвидации последствий компьютерных атак, проведенных в отношении значимых объектов критической информационной инфраструктуры;\n4) обеспечивать беспрепятственный доступ должностным лицам федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, к значимым объектам критической информационной инфраструктуры при реализации этими лицами полномочий, предусмотренных статьей 13 настоящего Федерального закона. Статья 10. Система безопасности значимого объекта критической информационной инфраструктуры\n1. В целях обеспечения безопасности значимого объекта критической информационной инфраструктуры субъект критической информационной инфраструктуры в соответствии с требованиями к созданию систем безопасности таких объектов и обеспечению их функционирования, утвержденными федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, создает систему безопасности такого объекта и обеспечивает ее функционирование. 2. Основными задачами системы безопасности значимого объекта критической информационной инфраструктуры являются:\n1) предотвращение неправомерного доступа к информации, обрабатываемой значимым объектом критической информационной инфраструктуры, уничтожения такой информации, ее модифицирования, блокирования, копирования, предоставления и распространения, а также иных неправомерных действий в отношении такой информации;\n2) недопущение воздействия на технические средства обработки информации, в результате которого может быть нарушено и (или) прекращено функционирование значимого объекта критической информационной инфраструктуры;\n3) восстановление функционирования значимого объекта критической информационной инфраструктуры, обеспечиваемого в том числе за счет создания и хранения резервных копий необходимой для этого информации;\n4) непрерывное взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации. Статья 11. Требования по обеспечению безопасности значимых объектов критической информационной инфраструктуры\n1. Требования по обеспечению безопасности значимых объектов критической информационной инфраструктуры, устанавливаемые федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, дифференцируются в зависимости от категории значимости объектов критической информационной инфраструктуры и этими требованиями предусматриваются:\n1) планирование, разработка, совершенствование и осуществление внедрения мероприятий по обеспечению безопасности значимых объектов критической информационной инфраструктуры;\n2) принятие организационных и технических мер для обеспечения безопасности значимых объектов критической информационной инфраструктуры;\n3) установление параметров и характеристик программных и программно-аппаратных средств, применяемых для обеспечения безопасности значимых объектов критической информационной инфраструктуры. 2. Государственные органы и российские юридические лица, выполняющие функции по разработке, проведению или реализации государственной политики и (или) нормативно-правовому регулированию в установленной сфере деятельности, по согласованию с федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, могут устанавливать дополнительные требования по обеспечению безопасности значимых объектов критической информационной инфраструктуры, содержащие особенности функционирования таких объектов в установленной сфере деятельности. Статья 12. Оценка безопасности критической информационной инфраструктуры\n1. Оценка безопасности критической информационной инфраструктуры осуществляется федеральным органом исполнительной власти, уполномоченным в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, в целях прогнозирования возникновения возможных угроз безопасности критической информационной инфраструктуры и выработки мер по повышению устойчивости ее функционирования при проведении в отношении ее компьютерных атак. 2. При осуществлении оценки безопасности критической информационной инфраструктуры проводится анализ:\n1) данных, получаемых при использовании средств, предназначенных для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты, в том числе информации о наличии в сетях электросвязи, используемых для организации взаимодействия объектов критической информационной инфраструктуры, признаков компьютерных атак;\n2) информации, представляемой субъектами критической информационной инфраструктуры и федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, в соответствии с перечнем информации и в порядке, определяемыми федеральным органом исполнительной власти, уполномоченным в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, а также иными не являющимися субъектами критической информационной инфраструктуры органами и организациями, в том числе иностранными и международными;\n3) сведений, представляемых в государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации по итогам проведения государственного контроля в области обеспечения безопасности значимых объектов критической информационной инфраструктуры, о нарушении требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры, в результате которого создаются предпосылки возникновения компьютерных инцидентов;\n4) иной информации, получаемой федеральным органом исполнительной власти, уполномоченным в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, в соответствии с законодательством Российской Федерации. 3. Для реализации положений, предусмотренных частями 1 и 2 настоящей статьи, федеральный орган исполнительной власти, уполномоченный в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, организует установку в сетях электросвязи, используемых для организации взаимодействия объектов критической информационной инфраструктуры, средств, предназначенных для поиска признаков компьютерных атак в таких сетях электросвязи. 4. В целях разработки мер по совершенствованию безопасности критической информационной инфраструктуры федеральный орган исполнительной власти, уполномоченный в области обеспечения функционирования государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, направляет в федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, результаты осуществления оценки безопасности критической информационной инфраструктуры. Статья 13. Государственный контроль в области обеспечения безопасности значимых объектов критической информационной инфраструктуры\n1. Государственный контроль в области обеспечения безопасности значимых объектов критической информационной инфраструктуры проводится в целях проверки соблюдения субъектами критической информационной инфраструктуры, которым на праве собственности, аренды или ином законном основании принадлежат значимые объекты критической информационной инфраструктуры, требований, установленных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами. Указанный государственный контроль проводится путем осуществления федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, плановых или внеплановых проверок. 2. Основанием для осуществления плановой проверки является истечение трех лет со дня:\n1) внесения сведений об объекте критической информационной инфраструктуры в реестр значимых объектов критической информационной инфраструктуры;\n2) окончания осуществления последней плановой проверки в отношении значимого объекта критической информационной инфраструктуры. 3. Основанием для осуществления внеплановой проверки является:\n1) истечение срока выполнения субъектом критической информационной инфраструктуры выданного федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, предписания об устранении выявленного нарушения требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры;\n2) возникновение компьютерного инцидента, повлекшего негативные последствия, на значимом объекте критической информационной инфраструктуры;\n3) приказ (распоряжение) руководителя федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, изданный в соответствии с поручением Президента Российской Федерации или Правительства Российской Федерации либо на основании требования прокурора об осуществлении внеплановой проверки в рамках проведения надзора за исполнением законов по поступившим в органы прокуратуры материалам и обращениям. 4. По итогам плановой или внеплановой проверки федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, составляется акт проверки по утвержденной указанным органом форме. 5. На основании акта проверки в случае выявления нарушения требований настоящего Федерального закона и принятых в соответствии с ним нормативных правовых актов по обеспечению безопасности значимых объектов критической информационной инфраструктуры федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, выдает субъекту критической информационной инфраструктуры предписание об устранении выявленного нарушения с указанием сроков его устранения. Статья 14. Ответственность за нарушение требований настоящего Федерального закона и принятых в соответствии с ним иных нормативных правовых актов\nНарушение требований настоящего Федерального закона и принятых в соответствии с ним иных нормативных правовых актов влечет за собой ответственность в соответствии с законодательством Российской Федерации. Статья 15. Вступление в силу настоящего Федерального закона\nНастоящий Федеральный закон вступает в силу с 1 января 2018 года. Москва, Кремль\n26 июля 2017 года\nN 187-ФЗ", "01.05.2022 № 250": "Указ Президента РФ от 1 мая 2022 г. N 250 \"О дополнительных мерах по обеспечению информационной безопасности Российской Федерации\"\nВ целях повышения устойчивости и безопасности функционирования информационных ресурсов Российской Федерации постановляю:\n1. Руководителям федеральных органов исполнительной власти, высших исполнительных органов государственной власти субъектов Российской Федерации, государственных фондов, государственных корпораций (компаний) и иных организаций, созданных на основании федеральных законов, стратегических предприятий, стратегических акционерных обществ и системообразующих организаций российской экономики, юридических лиц, являющихся субъектами критической информационной инфраструктуры Российской Федерации (далее - органы (организации):\nа) возложить на заместителя руководителя органа (организации) полномочия по обеспечению информационной безопасности органа (организации), в том числе по обнаружению, предупреждению и ликвидации последствий компьютерных атак и реагированию на компьютерные инциденты;\nб) создать в органе (организации) структурное подразделение, осуществляющее функции по обеспечению информационной безопасности органа (организации), в том числе по обнаружению, предупреждению и ликвидации последствий компьютерных атак и реагированию на компьютерные инциденты, либо возложить данные функции на существующее структурное подразделение;\nв) принимать в случае необходимости решения о привлечении организаций к осуществлению мероприятий по обеспечению информационной безопасности органа (организации). При этом могут привлекаться исключительно организации, имеющие лицензии на осуществление деятельности по технической защите конфиденциальной информации;\nг) принимать в случае необходимости решения о привлечении организаций к осуществлению мероприятий по обнаружению, предупреждению и ликвидации последствий компьютерных атак и реагированию на компьютерные инциденты. При этом могут привлекаться исключительно организации, являющиеся аккредитованными центрами государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации (далее - аккредитованные центры), за исключением случая, предусмотренного подпунктом \"б\" пункта 5 настоящего Указа;\nд) обеспечивать должностным лицам органов федеральной службы безопасности беспрепятственный доступ (в том числе удаленный) к принадлежащим органам (организациям) либо используемым ими информационным ресурсам, доступ к которым обеспечивается посредством использования информационно-телекоммуникационной сети \"Интернет\", в целях осуществления мониторинга, предусмотренного подпунктом \"в\" пункта 5 настоящего Указа, а также обеспечивать исполнение указаний, данных органами федеральной службы безопасности по результатам такого мониторинга;\nе) обеспечивать незамедлительную реализацию организационных и технических мер, решения о необходимости осуществления которых принимаются Федеральной службой безопасности Российской Федерации и Федеральной службой по техническому и экспортному контролю в пределах их компетенции и направляются в органы (организации) с учетом меняющихся угроз в информационной сфере. 2. Возложить на руководителей органов (организаций) персональную ответственность за обеспечение информационной безопасности соответствующих органов (организаций). 3. Правительству Российской Федерации в месячный срок:\nа) утвердить:\nтиповое положение о заместителе руководителя органа (организации), ответственного за обеспечение информационной безопасности органа (организации);\nтиповое положение о структурном подразделении органа (организации), обеспечивающем информационную безопасность органа (организации);\nб) определить перечень ключевых органов (организаций), которым необходимо осуществить мероприятия по оценке уровня защищенности своих информационных систем с привлечением организаций, имеющих соответствующие лицензии Федеральной службы безопасности Российской Федерации и Федеральной службы по техническому и экспортному контролю. 4. Органам (организациям), включенным в перечень, определенный в соответствии с подпунктом \"б\" пункта 3 настоящего Указа, осуществить мероприятия по оценке уровня защищенности своих информационных систем и до 1 июля 2022 г. представить доклад в Правительство Российской Федерации. 5. Федеральной службе безопасности Российской Федерации:\nа) организовать аккредитацию центров государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, установить требования к таким центрам, определить порядок их аккредитации, в том числе порядок приостановления процедуры аккредитации, приостановления действия аккредитации и отзыва аккредитации, а также установить требования к аккредитованным центрам;\nб) определить переходный период, в течение которого допускается осуществлять мероприятия по обнаружению, предупреждению и ликвидации последствий компьютерных атак и реагированию на компьютерные инциденты в интересах органов (организаций) на основании заключенных с Федеральной службой безопасности Российской Федерации (Национальным координационным центром по компьютерным инцидентам) соглашений о сотрудничестве (взаимодействии) в области обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты;\nв) определить порядок осуществления мониторинга защищенности информационных ресурсов, принадлежащих органам (организациям) либо используемых ими, и осуществлять такой мониторинг;\nг) осуществлять контроль за деятельностью аккредитованных центров. 6. Установить, что с 1 января 2025 г. органам (организациям) запрещается использовать средства защиты информации, странами происхождения которых являются иностранные государства, совершающие в отношении Российской Федерации, российских юридических лиц и физических лиц недружественные действия, либо производителями которых являются организации, находящиеся под юрисдикцией таких иностранных государств, прямо или косвенно подконтрольные им либо аффилированные с ними, а также пользоваться сервисами (работами, услугами) по обеспечению информационной безопасности, предоставляемыми (выполняемыми, оказываемыми) этими организациями. 7. Настоящий Указ вступает в силу со дня его официального опубликования. Москва, Кремль\n1 мая 2022 года\nN 250", "15.07.2022 № 1272": "Постановление Правительства РФ от 15 июля 2022 г. N 1272 \"Об утверждении типового положения о заместителе руководителя органа (организации), ответственном за обеспечение информационной безопасности в органе (организации), и типового положения о структурном подразделении в органе (организации), обеспечивающем информационную безопасность органа (организации)\"\nВ соответствии с подпунктом \"а\" пункта 3 Указа Президента Российской\nФедерации от 1 мая 2022 г. N 250 \"О дополнительных мерах по\nобеспечению информационной безопасности Российской Федерации\"\nПравительство Российской Федерации постановляет:\nУтвердить прилагаемые:\nтиповое положение о заместителе руководителя органа (организации),\nответственном за обеспечение информационной безопасности в органе\n(организации);\nтиповое положение о структурном подразделении в органе (организации),\nобеспечивающем информационную безопасность органа (организации). +---------------------------------------------------+---------------+\n|   Председатель Правительства Российской Федерации |   М. Мишустин |\n+---------------------------------------------------+---------------+\nУТВЕРЖДЕНО постановлением Правительства Российской Федерации от 15\nиюля 2022 г. N 1272\nТиповое положение о заместителе руководителя органа (организации), ответственном за обеспечение информационной безопасности в органе (организации)\nI. Общие положения\n1. Настоящее типовое положение определяет полномочия, права и\nобязанности заместителя руководителя федерального органа\nисполнительной власти, высшего исполнительного органа субъекта\nРоссийской Федерации, государственного фонда, государственной\nкорпорации (компании) и иной организации, созданной на основании\nфедерального закона, стратегического предприятия, стратегического\nакционерного общества и системообразующей организации российской\nэкономики, юридического лица, являющегося субъектом критической\nинформационной инфраструктуры Российской Федерации (далее - орган\n(организация), ответственного за обеспечение информационной\nбезопасности в органе (организации), в том числе за обнаружение,\nпредупреждение и ликвидацию последствий компьютерных атак, и\nреагирование на компьютерные инциденты (далее - ответственное лицо). 2. Ответственное лицо определяется руководителем органа (организации). 3. Ответственное лицо осуществляет свою деятельность на основе\nдолжностных регламентов (инструкций) федеральных государственных\nгражданских служащих и государственных гражданских служащих субъекта\nРоссийской Федерации, должностных инструкций работников организаций\nвсех форм собственности с учетом особенностей деятельности органа\n(организации) (далее - работники органа (организации) и подчиняется\nнепосредственно руководителю органа (организации) либо должностному\nлицу, его замещающему. 4. Ответственное лицо входит в состав коллегиальных органов органа\n(организации). 5. Указания и поручения ответственного лица в части обеспечения\nинформационной безопасности являются обязательными для исполнения\nвсеми государственными служащими, муниципальными служащими и\nработниками органа (организации). II. Квалификационные требования к ответственному лицу\n6. Ответственное лицо должно иметь высшее образование (не ниже уровня\nспециалитета, магистратуры) по направлению обеспечения информационной\nбезопасности. Если ответственное лицо имеет высшее образование по\nдругому направлению подготовки (специальности), он должен пройти\nобучение по программе профессиональной переподготовки по направлению\n\"Информационная безопасность\". 7. Для ответственного лица требуются наличие следующих знаний, умений\nи профессиональных компетенций:\nа) основные (в том числе производственные, бизнес и управленческие)\nпроцессы органа (организации) и специфика обеспечения информационной\nбезопасности органа (организации);\nб) влияние информационных технологий на деятельность органа\n(организации), в том числе:\nроль и место информационных технологий (в том числе степень интеграции\nинформационных технологий) в процессах функционирования органа\n(организации);\nзависимость основных процессов функционирования органа (организации)\nот информационных технологий;\nв) информационно-телекоммуникационные технологии, в том числе:\nсовременные информационно-телекоммуникационные технологии,\nиспользуемые в органе (организации);\nспособы построения информационных систем,\nинформационно-телекоммуникационных сетей, автоматизированных систем\nуправления формирования информационных ресурсов (далее - системы и\nсети), в том числе ограниченного доступа;\nтиповые архитектуры систем и сетей, требования к их оснащенности\nпрограммными (программно-техническими) средствами;\nпринципы построения и функционирования современных операционных\nсистем, систем управления базами данных, систем и сетей, основных\nпротоколов систем и сетей;\nг) обеспечение информационной безопасности, в том числе:\nцели, задачи, основы организации, ключевые элементы, основные способы\nи средства обеспечения информационной безопасности;\nцели обеспечения информационной безопасности применительно к основным\nпроцессам функционирования органа (организации), реализации и контроля\nих достижения;\nпринципы и направления стратегического развития информационной\nбезопасности в органе (организации);\nправила разработки, утверждения и отмены\nорганизационно-распорядительных документов по вопросам обеспечения\nинформационной безопасности в органе (организации), состав и\nсодержание таких документов;\nпорядок организации работ по обеспечению информационной безопасности в\nоргане (организации);\nосновные негативные последствия, наступление которых возможно в\nрезультате реализации угроз безопасности информации, способы и методы\nобеспечения и поддержания необходимого уровня (состояния)\nинформационной безопасности органа (организации) для исключения\n(невозможности реализации) негативных последствий, а также порядок\nпроведения практических проверок и контроля результативности\nприменяемых способов и методов обеспечения информационной безопасности\nоргана (организации);\nосновные угрозы безопасности информации, предпосылки их возникновения\nи возможные пути их реализации, а также порядок оценки таких угроз;\nвозможности и назначения типовых программных, программно-аппаратных\n(технических) средств обеспечения информационной безопасности;\nспособы и средства проведения компьютерных атак, актуальные тактики и\nтехники нарушителей;\nпорядок организации взаимодействия структурных подразделений органа\n(организации) при решении вопросов обеспечения информационной\nбезопасности;\nуправление проектами по информационной безопасности;\nантикризисное управление и принятие управленческих решений при\nреагировании на кризисы и компьютерные инциденты;\nпланирование деятельности по обеспечению информационной безопасности в\nоргане (организации), подведомственных организациях (филиалах,\nпредставительствах);\nформулирование измеримых и практических результатов деятельности по\nобеспечению информационной безопасности органа (организации),\nподведомственных организаций (филиалов, представительств);\nорганизация разработки политики (правил, процедур), регламентирующей\nвопросы информационной безопасности в органе (организации), в\nподведомственных организациях (филиалах, представительствах) (далее -\nполитика);\nвнедрение политики;\nорганизация контроля и анализа применения политики;\nорганизация мероприятий по разработке единых инструментов и механизмов\nконтроля деятельности по обеспечению информационной безопасности в\nоргане (организации), подведомственных организациях (филиалах,\nпредставительствах);\nподдержка и совершенствование деятельности по обеспечению\nинформационной безопасности в органе (организации), подведомственных\nорганизациях (филиалах, представительствах);\nорганизация мероприятий по определению угроз безопасности информации\nсистем и сетей, а также по формированию требований к обеспечению\nинформационной безопасности в органе (организации);\nорганизация внедрения способов и средств для обеспечения\nинформационной безопасности в органе (организации), подведомственных\nорганизациях (филиалах, представительствах);\nорганизация мероприятий по анализу и контролю состояния информационной\nбезопасности органа (организации) и модернизации (трансформации)\nпроцессов функционирования органа (организации) в целях обеспечения\nинформационной безопасности в органе (организации);\nобеспечение информационной безопасности в ходе эксплуатации систем и\nсетей, а также при выводе их из эксплуатации;\nорганизация мероприятий по обнаружению, предупреждению и ликвидации\nпоследствий компьютерных атак на информационные ресурсы органа\n(организации) и реагированию на компьютерные инциденты;\nорганизация мероприятий по отслеживанию и контролю достижения целей\nинформационной безопасности (фактически достигнутый эффект и\nрезультат) в органе (организации), подведомственных организациях\n(филиалах, представительствах). 8. С учетом области и вида деятельности органа (организации) от\nответственного лица требуется знание нормативных правовых актов\nРоссийской Федерации, методических документов, международных и\nнациональных стандартов в области:\nа) защиты государственной тайны;\nб) защиты информации ограниченного доступа, не содержащей сведений,\nсоставляющих государственную тайну, в том числе персональных данных;\nв) обеспечения безопасности критической информационной инфраструктуры\nРоссийской Федерации;\nг) обнаружения, предупреждения и ликвидации последствий компьютерных\nатак и реагирования на компьютерные инциденты;\nд) создания и обеспечения безопасного функционирования государственных\nинформационных систем и информационных систем в защищенном исполнении;\nе) создания, обеспечения технических условий установки и эксплуатации\nсредств защиты информации;\nж) иных нормативных правовых актов и стандартов в области\nинформационной безопасности. III. Трудовые (должностные) обязанности ответственного лица\n9. Ответственное лицо принимает участие в формировании политики органа\n(организации), отвечает за согласование стратегии развития органа\n(организации) в части вопросов обеспечения информационной\nбезопасности. 10. Ответственное лицо:\nа) организует разработку политики, направленной в том числе на\nобеспечение и поддержание стабильной деятельности органа (организации)\nи его (ее) процессов функционирования в случае проведения компьютерных\nатак, отвечает за согласование и утверждение политики в органе\n(организации), реализацию мероприятий, предусмотренных политикой,\nотслеживает и контролирует результаты реализации политики;\nб) организует работу по обеспечению информационной безопасности органа\n(организации), в том числе по обнаружению, предупреждению и ликвидации\nпоследствий компьютерных атак и реагированию на компьютерные\nинциденты, формулированию перечня негативных последствий, проведению\nмероприятий по их недопущению, отслеживанию и контролю эффективности\n(результативности) таких мероприятий, а также по необходимому\nинформационному обмену;\nв) организует реализацию и контроль проведения в органе (организации)\nорганизационных и технических мер, решения о необходимости\nосуществления которых принимаются Федеральной службой безопасности\nРоссийской Федерации и Федеральной службой по техническому и\nэкспортному контролю с учетом меняющихся угроз в информационной сфере,\nа также самостоятельно ответственным лицом в результате своей\nдеятельности;\nг) организует беспрепятственный доступ (в том числе удаленный)\nдолжностным лицам Федеральной службы безопасности Российской Федерации\nи ее территориальных органов к информационным ресурсам, принадлежащим\nоргану (организации) либо используемым органом (организациями), доступ\nк которым обеспечивается посредством использования\nинформационно-телекоммуникационной сети \"Интернет\", в целях\nосуществления мониторинга их защищенности, а также работникам\nструктурного подразделения, осуществляющего функции по обеспечению\nинформационной безопасности;\nд) организует взаимодействие с должностными лицами Федеральной службы\nбезопасности Российской Федерации и ее территориальных органов, в том\nчисле контроль исполнения указаний, данных Федеральной службой\nбезопасности Российской Федерации и ее территориальными органами по\nрезультатам мониторинга защищенности информационных ресурсов,\nпринадлежащих органу (организации) либо используемых органом\n(организациями), доступ к которым обеспечивается посредством\nиспользования информационно-телекоммуникационной сети \"Интернет\";\nе) организует контроль за выполнением требований нормативных правовых\nактов, нормативно-технической документации, за соблюдением\nустановленного порядка выполнения работ при решении вопросов,\nкасающихся защиты информации;\nж) организует развитие информационной безопасности, формирование и\nразвитие навыков работников органа (организации) в сфере\nинформационной безопасности;\nз) организует разработку и реализацию мероприятий по обеспечению\nинформационной безопасности в органе (организации) в соответствии с\nтребованиями к обеспечению информационной безопасности, установленными\nфедеральными законами и принятыми в соответствии с ними иными\nнормативными правовыми актами Российской Федерации;\nи) организует контроль пользователей информационных ресурсов органа\n(организации) в части соблюдения ими режима конфиденциальности\nинформации, правил работы со съемными машинными носителями информации,\nвыполнения организационных и технических мер по защите информации;\nк) организует планирование мероприятий по обеспечению информационной\nбезопасности в органе (организации), подведомственных организациях\n(филиалах, представительствах);\nл) организует подготовку правовых актов, иных\nорганизационно-распорядительных документов по вопросам обеспечения\nинформационной безопасности в органе (организации), осуществляет\nсогласование иных документов органа (организации) в части обеспечения\nинформационной безопасности;\nм) организует проведение научно-исследовательских и\nопытно-конструкторских работ по вопросам обеспечения информационной\nбезопасности в органе (организации), подведомственных организациях\n(филиалах, представительствах);\nн) организует проведение контроля за состоянием обеспечения\nинформационной безопасности в органе (организации), подведомственных\nорганизациях (филиалах, представительствах), включая оценку\nзащищенности систем и сетей, оператором которых является орган\n(организация), подведомственные организации (филиалы,\nпредставительства). 11. Ответственное лицо:\nа) осуществляет регулярный контроль текущего уровня (состояния)\nинформационной безопасности в органе (организации), а также отвечает\nза реализацию мероприятий, направленных на поддержание и развитие\nуровня (состояния) информационной безопасности в органе (организации),\nв том числе с учетом появления новых угроз безопасности информации и\nсовременных способов и методов проведения компьютерных атак;\nб) осуществляет регулярное и своевременное информирование руководства\nоргана (организации) о компьютерных инцидентах, текущем уровне\n(состоянии) информационной безопасности в органе (организации) и\nрезультатах практических учений по противодействию компьютерным\nатакам;\nв) осуществляет контроль за ведением организационно-распорядительной\nдокументации, статистического учета и отчетности по курируемым\nразделам работы;\nг) осуществляет согласование требований к системам и сетям, оператором\nкоторых является орган (организация), подведомственные организации\n(филиалы, представительства), в части обеспечения информационной\nбезопасности;\nд) осуществляет руководство структурным подразделением органа\n(организации), обеспечивающим информационную безопасность органа\n(организации). 12. Ответственное лицо:\nа) организует и контролирует проведение мероприятий по анализу и\nоценке состояния информационной безопасности органа (организации) и\nконтролирует их результаты;\nб) организует и контролирует функционирование системы обеспечения\nинформационной безопасности в органе (организации), координирует\nфункционирование систем обеспечения информационной безопасности в\nподведомственных организациях (филиалах, представительствах);\nв) координирует деятельность иных структурных подразделений органа\n(организации), подведомственных организаций (филиалов,\nпредставительств) по вопросам обеспечения информационной безопасности. 13. Ответственное лицо согласовывает политику, технические задания и\nиную основополагающую документацию в сфере информационных технологий,\nцифровизации и цифровой трансформации органа (организации). 14. Ответственное лицо с использованием нормативных правовых\nдокументов и методических материалов Федеральной службы безопасности\nРоссийской Федерации организует обнаружение, предупреждение и\nликвидацию последствий компьютерных атак, реагирование на компьютерные\nинциденты с информационными ресурсами органа (организации), а также\nвзаимодействие с Национальным координационным центром по компьютерным\nинцидентам одним (или несколькими) из следующих способов:\nа) силами структурного подразделения, ответственного за обеспечение\nинформационной безопасности, с заключением соглашения (издания\nсовместного акта) о взаимодействии с Федеральной службой безопасности\nРоссийской Федерации (Национальным координационным центром по\nкомпьютерным инцидентам), включающего в том числе права и обязанности\nсторон, порядок проведения совместных мероприятий, регламент\nинформационного обмена, порядок и сроки представления отчетности,\nпорядок и формы контроля;\nб) силами структурного подразделения, ответственного за обеспечение\nинформационной безопасности, с его аккредитацией как центра\nгосударственной системы обнаружения, предупреждения и ликвидации\nпоследствий компьютерных атак на информационные ресурсы Российской\nФедерации;\nв) силами организаций, являющихся аккредитованными центрами\nгосударственной системы обнаружения, предупреждения и ликвидации\nпоследствий компьютерных атак на информационные ресурсы Российской\nФедерации. 15. Ответственное лицо обеспечивает планирование и реализацию\nмероприятий по переводу систем и сетей на отечественные средства\nзащиты информации, а также контроль за соблюдением запрета на\nиспользование средств защиты информации, странами происхождения\nкоторых являются иностранные государства в соответствии с пунктом 6\nУказа Президента Российской Федерации \"О дополнительных мерах по\nобеспечению информационной безопасности Российской Федерации\". 16. Ответственное лицо сопровождает мероприятия по разработке\n(модернизации) систем и сетей в части информационной безопасности, а\nтакже требований нормативных правовых актов, нормативно-технических и\nметодических документов по защите информации и выполнения этих\nтребований. 17. Ответственное лицо проводит работу по унификации способов и\nсредств по обеспечению информационной безопасности, иных технических\nрешений в органе (организации), подведомственных организациях\n(филиалах, представительствах). 18. Ответственное лицо принимает меры по совершенствованию обеспечения\nинформационной безопасности в органе (организации), подведомственных\nорганизациях (филиалах, представительствах). 19. Ответственное лицо повышает на постоянной основе профессиональную\nкомпетенцию, знания и навыки в области обеспечения информационной\nбезопасности. 20. Ответственное лицо выполняет иные обязанности, исходя из\nвозложенных полномочий и поставленных руководством органа\n(организации) задач в рамках обеспечения информационной безопасности\nоргана (организации), подведомственных организаций (филиалов,\nпредставительств). 21. Ответственное лицо:\nа) соблюдает и обеспечивает выполнение законодательства Российской\nФедерации;\nб) в случаях, установленных законодательством Российской Федерации,\nсогласовывает политику с Федеральной службой безопасности Российской\nФедерации и Федеральной службой по техническому и экспортному\nконтролю;\nв) представляет по запросам Федеральной службы безопасности Российской\nФедерации и Федеральной службы по техническому и экспортному контролю\nдостоверные сведения о результатах реализации политики (фактически\nдостигнутом эффекте и результате) и текущем уровне (состоянии)\nинформационной безопасности в органе (организации);\nг) поддерживает уровень квалификации и постоянно развивает свои навыки\nв области информационной безопасности, необходимые для обеспечения\nинформационной безопасности в органе (организации);\nд) организовывает при необходимости проведение и участвует в пределах\nсвоей компетенции в отраслевых, межотраслевых, межрегиональных и\nмеждународных выставках, семинарах, конференциях, работе\nмежведомственных рабочих групп, отраслевых экспертных сообществ,\nмеждународных органов и организаций;\nе) участвует в пределах компетенции в осуществлении закупок товаров,\nработ, услуг для обеспечения нужд в сфере информационной безопасности. IV. Права ответственного лица\n22. Ответственное лицо имеет право:\nа) давать указания и поручения работникам органа (организации) в части\nобеспечения информационной безопасности;\nб) запрашивать от работников органа (организации) информацию и\nматериалы, необходимые для реализации возложенных на ответственное\nлицо прав и обязанностей;\nв) участвовать в заседаниях (совещаниях) коллегиальных органов органа\n(организации), принятии решений по вопросам деятельности органа\n(организации), а также по внесению предложений по совершенствованию\nдеятельности органа (организации);\nг) участвовать в разработке политики, выносить политику на обсуждение,\nутверждение коллегиальному органу органа (организации);\nд) представлять результаты реализации политики коллегиальному органу\n(органа) организации;\nе) принимать решения по вопросам обеспечения информационной\nбезопасности органа (организации);\nж) взаимодействовать с Федеральной службой безопасности Российской\nФедерации, Федеральной службой по техническому и экспортному контролю\nи иными федеральными органами исполнительной власти по вопросам\nобеспечения информационной безопасности, в том числе по вопросам\nсовершенствования законодательства Российской Федерации в области\nобеспечения информационной безопасности;\nз) вносить предложения о привлечении организаций, имеющих\nсоответствующие лицензии на деятельность в области защиты информации,\nв соответствии с законодательством Российской Федерации к проведению\nработ по обеспечению информационной безопасности;\nи) инициировать проверки уровня (состояния) обеспечения информационной\nбезопасности в органе (организации), ее подведомственных и дочерних\nорганизациях;\nк) организовывать на объектах органа (организации) мероприятия по\nинформационной безопасности, разработку и представление руководителю\nоргана (организации) предложений по внесению изменений в процессы\nфункционирования, принятию других мер, направленных на недопущение\nреализации негативных последствий;\nл) получать доступ в установленном порядке к сведениям, составляющим\nгосударственную тайну, если исполнение обязанностей ответственного\nлица связано с использованием таких сведений и наличием необходимых\nправ и полномочий;\nм) получать доступ в установленном порядке в связи с исполнением своих\nобязанностей в государственные органы, органы местного самоуправления,\nобщественные объединения и другие организации;\nн) обеспечивать надлежащие организационно-технические условия,\nнеобходимые для исполнения обязанностей ответственного лица. V. Ответственность ответственного лица\n23. Ответственное лицо в соответствии с законодательством Российской\nФедерации несет ответственность:\nа) за неисполнение или ненадлежащее исполнение своих обязанностей;\nб) за действия (бездействие), ведущие к нарушению прав и законных\nинтересов органа (организации);\nв) за разглашение государственной тайны и иных сведений, ставших ему\nизвестными в связи с исполнением своих обязанностей;\nг) за достижение целей обеспечения информационной безопасности;\nд) за поддержание и непрерывное развитие информационной безопасности\nоргана (организации) для исключения (невозможности реализации)\nнегативных последствий;\nе) за организацию мероприятий по разработке (модернизации) систем и\nсетей в части информационной безопасности органа (организации);\nж) за нарушения требований по обеспечению информационной безопасности;\nз) за нарушения в обеспечении защиты систем и сетей, повлекшие\nнегативные последствия. УТВЕРЖДЕНО постановлением Правительства Российской Федерации от 15\nиюля 2022 г. N 1272\nТиповое положение о структурном подразделении органа (организации), обеспечивающем информационную безопасность органа (организации)\nI. Общие положения\n1. Настоящее типовое положение определяет цели, задачи и функции\nструктурного подразделения федерального органа исполнительной власти,\nвысшего исполнительного органа субъекта Российской Федерации,\nгосударственного фонда, государственной корпорации (компании) и иной\nорганизации, созданной на основании федерального закона,\nстратегического предприятия, стратегического акционерного общества и\nсистемообразующей организации российской экономики, юридического лица,\nявляющегося субъектом критической информационной инфраструктуры\nРоссийской Федерации (далее - орган (организация), обеспечивающего\nинформационную безопасность органа (организации) (далее -\nподразделение). 2. Подразделение в своей деятельности руководствуется Конституцией\nРоссийской Федерации, федеральными конституционными законами,\nфедеральными законами, актами Президента Российской Федерации и актами\nПравительства Российской Федерации, международными договорами\nРоссийской Федерации, нормативными правовыми актами федеральных\nорганов исполнительной власти, уполномоченных в области обеспечения\nинформационной безопасности, другими нормативными правовыми\nдокументами в сфере обеспечения информационной безопасности,\nуказаниями руководителя органа (организации) и настоящим типовым\nположением. 3. Подразделение подчинено заместителю руководителя органа\n(организации), ответственному за обеспечение информационной\nбезопасности в органе (организации), либо иным лицам из состава\nруководства органа (организации) при условии осуществления курирования\nсо стороны руководителя органа (организации). 4. Контроль за деятельностью подразделения осуществляет руководитель\nоргана (организации). II. Цели и задачи деятельности подразделения\n5. Деятельность подразделения направлена:\nа) на исключение или существенное снижение негативных последствий\n(ущерба) в отношении органа (организации) вследствие нарушения\nфункционирования информационных систем,\nинформационно-телекоммуникационных сетей и автоматизированных систем\nуправления в результате реализации угроз безопасности информации;\nб) на обеспечение конфиденциальности информации, доступ к которой\nограничен в соответствии с законодательством Российской Федерации;\nв) на повышение защищенности органа (организации) от возможного\nнанесения ему (ей) материального, репутационного или иного ущерба\nпосредством случайного или преднамеренного несанкционированного\nвмешательства в процесс функционирования информационных систем органа\n(организации) или несанкционированного доступа к циркулирующей в них\nинформации и ее несанкционированного использования;\nг) на обеспечение надежности и эффективности функционирования и\nбезопасности информационных систем, производственных процессов и\nинформационно-технологической инфраструктуры органа (организации);\nд) на обеспечение выполнения требований по информационной безопасности\nпри создании и функционировании информационных систем и\nинформационно-телекоммуникационной инфраструктуры органа\n(организации). 6. Основными задачами деятельности подразделения являются:\nа) планирование, организация и координация работ по обеспечению\nинформационной безопасности и контроль за ее состоянием в органе\n(организации);\nб) выявление угроз безопасности информации и уязвимостей\nинформационных систем, программного обеспечения и\nпрограммно-аппаратных средств;\nв) предотвращение утечки информации по техническим каналам,\nнесанкционированного доступа к ней, специальных воздействий на\nинформацию (носители информации) в целях ее добывания, уничтожения,\nискажения и блокирования доступа к ней;\nг) поддержание стабильной деятельности органа (организации) и его (ее)\nпроизводственных процессов в случае проведения компьютерных атак;\nд) взаимодействие с Национальным координационным центром по\nкомпьютерным инцидентам;\nе) обеспечение нормативно-правового обеспечения использования\nинформационных ресурсов. III. Функции подразделения\n7. Подразделение выполняет следующие функции:\nа) разработка, координация, управление и контроль за реализацией плана\n(программы) работ по обеспечению информационной безопасности в органе\n(организации) и подведомственных органах (организациях);\nб) разработка предложений по совершенствованию\nорганизационно-распорядительных документов по обеспечению\nинформационной безопасности в органе (организации) и представление их\nруководителю органа (организации);\nв) выявление и проведение анализа угроз безопасности информации в\nотношении органа (организации), уязвимостей информационных систем,\nпрограммного обеспечения программно-аппаратных средств и принятие мер\nпо их устранению;\nг) обеспечение в соответствии с требованиями по информационной\nбезопасности, в том числе с целью исключения (невозможности\nреализации) негативных последствий, разработки и реализации\nорганизационных мер и применения средств обеспечения информационной\nбезопасности;\nд) обнаружение, предупреждение и ликвидация последствий компьютерных\nатак и реагирование на компьютерные инциденты;\nе) представление в Национальный координационный центр по компьютерным\nинцидентам информации о выявленных компьютерных инцидентах;\nж) исполнение указаний, данных Федеральной службой безопасности\nРоссийской Федерации и ее территориальными органами, Федеральной\nслужбой по техническому и экспортному контролю по результатам\nмониторинга защищенности информационных ресурсов, принадлежащих органу\n(организации) либо используемых органом (организацией), доступ к\nкоторым обеспечивается посредством использования\nинформационно-телекоммуникационной сети \"Интернет\";\nз) проведение анализа и контроля за состоянием защищенности систем и\nсетей и разработка предложений по модернизации (трансформации)\nосновных процессов органа (организации) в целях обеспечения\nинформационной безопасности в органе (организации);\nи) подготовка отчетов о состоянии работ по обеспечению информационной\nбезопасности в органе (организации);\nк) организация развития навыков безопасного поведения в органе\n(организации), в том числе проведение занятий с руководящим составом и\nспециалистами органа (организации) по вопросам обеспечения\nинформационной безопасности;\nл) выполнение иных функций, исходя из поставленных руководством органа\n(организации) целей и задач в рамках обеспечения информационной\nбезопасности в органе (организации), подведомственных органах\n(организациях). IV. Права подразделения\n8. С целью реализации функций подразделение имеет право:\nа) запрашивать и получать в установленном порядке доступ к работам и\nдокументам структурных подразделений органа (организации), необходимым\nдля принятия решений по всем вопросам, отнесенным к компетенции\nподразделения;\nб) готовить предложения о привлечении к проведению работ по\nобеспечению информационной безопасности организаций, имеющих лицензии\nна соответствующий вид деятельности;\nв) контролировать деятельность любого структурного подразделения\nоргана (организации) по выполнению требований к обеспечению\nинформационной безопасности;\nг) постоянно повышать профессиональные компетенции, знания и навыки\nработников в области обеспечения информационной безопасности;\nд) участвовать в пределах своей компетенции в отраслевых,\nмежотраслевых, межрегиональных и международных выставках, семинарах,\nконференциях, в работе межведомственных рабочих групп, отраслевых\nэкспертных сообществ, международных органов и организаций;\nе) участвовать в работе комиссий органа (организации) при рассмотрении\nвопросов обеспечения информационной безопасности;\nж) вносить предложения руководству органа (организации) о\nприостановлении работ в случае обнаружения факта нарушения\nинформационной безопасности;\nз) вносить представления руководству органа (организации) в отношении\nгосударственных служащих, муниципальных служащих и работников органа\n(организации) (далее - работники) при обнаружении фактов нарушения\nработниками установленных требований безопасности информации в органе\n(организации), в том числе ходатайствовать о привлечении указанных\nработников к административной или уголовной ответственности;\nи) вносить на рассмотрение руководству органа (организации)\nпредложения по вопросам деятельности подразделения. V. Взаимоотношения и связи подразделения\n9. Подразделение осуществляет свои полномочия во взаимодействии со\nструктурными подразделениями органа (организации) и подведомственными\nему органами (организациями), а также в пределах своей компетенции с\nиными органами (организациями) и гражданами в установленном порядке. 10. По указанию руководства осуществляет взаимодействие с Федеральной\nслужбой безопасности Российской Федерации, Федеральной службой по\nтехническому и экспортному контролю и Министерством цифрового\nразвития, связи и массовых коммуникаций Российской Федерации по\nвопросам информационной безопасности. VI. Показатели эффективности и результативности подразделения\n11. Эффективность и результативность деятельности подразделения\nопределяются по итогам выполнения органом (организацией), а также\nподведомственными ему органами (организациями) программы обеспечения\nинформационной безопасности с учетом приоритетных целей,\nпредусмотренных разделом II настоящего типового положения. 12. Работники подразделения несут ответственность за выполнение\nвозложенных на них обязанностей в соответствии с должностными\nрегламентами, утверждаемыми руководителем органа (организации) либо\nдолжностным лицом, наделенным руководителем органа (организации)\nсоответствующими полномочиями."}