Нужен ли штатный специалист по безопасности для категорирования КИИ?

Согласно Федеральному закону от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации», наличие штатного специалиста по защите информации не является обязательным условием для проведения категорирования. Организация может привлекать сторонних аккредитованных организаций для выполнения этих работ. Однако после определения категории значимости объекта КИИ (если он будет отнесён ко 2 или 3 категории) на владельца объекта возлагаются обязанности по обеспечению безопасности, включая создание системы защиты. Для выполнения этих функций может потребоваться назначение ответственных лиц или создание структурного подразделения. Ответственность IT специалиста, входящего в комиссию по категорированию, наступает с момента его включения в состав комиссии внутренним распоряжением. Он несёт ответственность за добросовестное выполнение возложенных обязанностей в рамках комиссии. За инциденты информационной безопасности, произошедшие после ввода объекта КИИ в эксплуатацию, ответственность определяется в зависимости от должностных инструкций, трудового договора и распределения обязанностей. Если IT специалист является ответственным за обеспечение безопасности информации в рамках своих трудовых функций, он может быть привлечён к дисциплинарной, а в случае нарушений, повлёкших ущерб, — к материальной или административной ответственности по статьям 13.12, 13.13 КоАП РФ. Уголовная ответственность (ст. 274 УК РФ) возможна при грубых нарушениях, повлёкших тяжкие последствия.