Как составляется Критическая инфраструктура?
Вероятно вам сверху пришло распоряжение. Если это так. То разумным образом подобная задача не решается.
Путь решения примерно следующий.
Берём ведомственные инструкции и законы, строим "смысловой граф" по "критическая инфраструктура", накладываем его на ведомственные инструкции относящиеся к вашему учреждению и на ваши внутренние положения. Распутываем этот адский клубок. После чего у вас будет, что и по каким законам вы кому должны и что относится к "критической" инфраструктуре.
Люди годами практикуются в подобно крючкотворчестве, с наскоку данная задача, да ещё так, чтобы оказалось, что денег не надо и никого не подставили, не решается.
Начинаем с чтения законодательства, относящегося к КИИ - там не так уж и много. Ищем всякие вторичные документы, если не ошибаюсь, там было что-то о том, как классифицируется КИИ.

Вот небольшой перечень:
ФЗ-187
Постановление Правительства Российской Федерации №127 от 8 февраля 2018 года Об утверждении правил категорирования обьектов критической информационной инфраструктуры
Приказ ФСТЭК № 239 с изменениями от 20 февраля 2020 года Об утверждении Требований по обеспечению безопасности значимых обьектов критической информационной инфраструктуры
Информационное письмо ФСТЭК от 17 апреля 2020 года "По вопросам предоставления перечней обьектов критической информационной инфраструктуры, подлежащей категорированию"
Указ Президента Российской Федерации от 30.03.22 №166