КИИ в здравоохранении: актуальные правила для больниц и частных клиник в 2026 году

Выполнять требования ФЗ 26.07.2017 №187-ФЗ обязаны все субъекты. Субъектами КИИ в здравоохранении признаются организации любой формы собственности, работающие в сфере охраны здоровья, если они используют информационные системы, автоматизированные системы управления или информационно-телекоммуникационные сети. К ним относятся:

• Органы управления системой здравоохранения — федеральные и региональные органы власти в сфере охраны здоровья, а также органы местного самоуправления, осуществляющие полномочия в этой области.

• Лечебные организации — больницы, родильные дома, госпитали, медико-санитарные части, дома сестринского ухода, хосписы, диспансеры, амбулатории, поликлиники, женские консультации, дома ребенка, молочные кухни, центры скорой медицинской помощи и переливания крови, санаторно-курортные организации.

• Медицинские организации особого типа — центры профилактики, медицины катастроф, судебно-медицинской экспертизы, бюро медико-социальной экспертизы, лаборатории (клинико-диагностические, бактериологические), медицинские воинские формирования.

• Организации по надзору в сфере защиты прав потребителей — центры гигиены и эпидемиологии, противочумные, дезинфекционные, государственного санитарно-эпидемиологического надзора.

• Фармацевтические организации, осуществляющие оптовую и розничную торговлю лекарственными средствами, их хранение, перевозку, отпуск и изготовление.

• Частные медицинские и фармацевтические организации — любые юрлица, осуществляющие деятельность в сфере охраны здоровья.

Согласно распоряжению Правительства от 26.02.2026 № 360-р, к типовым отраслевым объектам КИИ в здравоохранении отнесены все медицинские информационные системы — от локальных МИС конкретной клиники до региональных и федеральных государственных информационных систем.

Рассмотрим основные типы объектов:

• Федеральные государственные информационные системы в сфере здравоохранения (например, Единая государственная информационная система в сфере здравоохранения — ЕГИСЗ).

• Информационные системы ФОМС и территориальных фондов ОМС.

• Государственные информационные системы в сфере здравоохранения субъектов РФ.

• Медицинские информационные системы медицинских организаций (МИС МО) — интегрированные или комплексные информационные системы, предназначенные для автоматизации лечебно-диагностического процесса и сопутствующей медицинской деятельности.

• Информационные системы фармацевтических организаций.

• Автоматизированные системы управления — например, системы управления рентген-аппаратами с функцией формирования изображений пациента, системы числового программного управления, задействованные в диагностике и лечении.

Каждому объекту в перечне соответствует описание типового процесса или функции, а также виды деятельности субъекта КИИ с привязкой кодов ОКВЭД. Например, для систем управления рентген-аппаратами указаны коды ОКВЭД 86.1 (Деятельность больничных организаций), 86.2 (Медицинская и стоматологическая практика), 86.90 (Деятельность в области медицины прочая).

Важно! Мы разработали сервис «Мобиз» для бесплатной проверки контрагентов!

• Выгружайте отчеты.

• Добавляйте списки контрагентов.

• Проявляйте должную осмотрительность.

• Эти и другие возможности Мобиз доступны бесплатно!

Попробовать бесплатно

К защите информационных систем в здравоохранении предъявляются повышенные требования. Они регулируются тремя ключевыми документами:

1. Приказ ФСТЭК № 21 от 18.02.2013 определяет состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах. Меры включают:

• идентификацию и аутентификацию пользователей;

• разграничение прав доступа;

• регистрацию событий безопасности;

• антивирусную защиту;

• контроль целостности информации;

• обеспечение безопасного межсетевого взаимодействия.

2. Приказ Минздрава № 911н от 24.12.2018 устанавливает обязательный состав функций, которые должны обеспечивать информационные системы в медицинских организациях. Важной составляющей приказа являются требования к защите информации, содержащейся в информационных системах, и к программно-техническим средствам этих систем. В частности, МИС МО должна соответствовать требованиям по защите информации, установленным приказом Минздрава от 24.12.2018 №911н и рядом других законодательных актов.

3. Приказ ФСТЭК № 117 от 11.04.2025 (вступил в силу с 1 марта 2026 года) заменил действовавший ранее приказ № 17 и закрепил риск-ориентированный подход к защите информации в государственных информационных системах. Теперь вы не можете просто внедрить формальный набор мер — необходимо обосновать их выбор с учетом актуальных угроз и архитектуры конкретной системы.

Таким образом, медицинская организация должна:

1. Провести классификацию информационных систем по уровню защищенности в соответствии с постановлением Правительства № 1119.

2. Разработать модель угроз безопасности персональных данных.

3. Внедрить сертифицированные средства защиты информации.

4. Обеспечить резервное копирование и восстановление данных.

5. Назначить ответственного за организацию обработки ПДн.

6. Обучить персонал правилам работы с конфиденциальной информацией.

Проверьте готовность вашей инфраструктуры к требованиям по КИИ

Проведем аудит объектов КИИ, оценим соответствие требованиям ФСТЭК и поможем подготовиться к проверкам и категорированию

Проверить

Категорирование объектов КИИ в здравоохранении — это процедура, которая позволяет определить значимость каждого объекта критической информационной инфраструктуры и присвоить ему одну из трех категорий: I (высшая), II (средняя) или III (базовая). Если ни один критерий значимости не достигает порогового значения, фиксируется отсутствие необходимости присвоения категории.

Категорирование проводит специально созданная комиссия. Ее возглавляет руководитель медицинской организации или уполномоченное им лицо. В состав комиссии включаются:

• наиболее квалифицированные работники организации — специалисты в области осуществляемых видов деятельности, информационных технологий и связи;

• специалисты по эксплуатации основного технологического оборудования;

• работники, на которых возложены функции обеспечения информационной безопасности;

• работники подразделения по защите государственной тайны (если объект КИИ обрабатывает такую информацию);

• работники структурного подразделения по гражданской обороне и защите от чрезвычайных ситуаций, а также юристы.

Если у вас нет подходящих специалистов, вы можете привлечь сторонних экспертов, но все документы в любом случае подписывает руководитель. 

Комиссия составляет полный перечень бизнес-процессов медицинской организации: от приема пациента и ведения медицинской документации до управления кадровым составом и финансового учета. Каждый процесс подробно описывается с указанием его роли в деятельности учреждения.

Все выявленные бизнес-процессы вносятся в Реестр бизнес-процессов организации сферы здравоохранения. В нем фиксируется описательная часть каждого процесса и результаты последующей оценки его критичности.

На этом этапе комиссия оценивает, какие бизнес-процессы являются критическими. Например, если процесс оказывает влияние хотя бы по одному из критериев значимости, определенных постановлением Правительства от 08.02.2018 № 127, он относится к критическим:

• Социальная значимость — способность причинить ущерб жизни или здоровью людей, нарушить оказание государственных услуг. Например, процесс задействован в управлении оборудованием, остановка которого способна привести к авариям, заражению или отключению приборов жизнеобеспечения.

• Политическая значимость — влияние на функционирование органов государственной власти. Бизнес-процесс признается значимым, если он участвует в аналитической, экспертной или учетной деятельности, необходимой для принятия управленческих решений.

• Экономическая значимость — возможность причинения прямого или косвенного ущерба субъекту КИИ. Оценивается для государственных унитарных предприятий; для организаций иных форм этот критерий, как правило, не применяется в силу отраслевой специфики.

• Экологическая значимость — способность нанести вред окружающей среде. Этот критерий особенно актуален для медицинских организаций, использующих источники ионизирующего излучения (рентген-аппараты, радиоизотопные лаборатории), поскольку их относят к опасным производственным объектам.

• Значимость для обеспечения обороны страны, безопасности государства и правопорядка. Бизнес-процесс оценивается по этому критерию, если он задействован в управлении или обеспечении функционирования пунктов управления государственных органов, а также информационных систем в области обороны и безопасности.

Для каждого процесса, признанного критическим по итогам оценки, комиссия в дальнейшем рассчитает количественные значения показателей, которые и определят итоговую категорию значимости объекта КИИ (I, II или III).

Комиссия формирует перечень объектов КИИ медицинской организации. Что нужно сделать:

• ревизию и составление перечня всех информационных систем, информационно-телекоммуникационных сетей и автоматизированных систем управления, имеющихся в организации;

• оценку задействованности каждой системы в критических бизнес-процессах;

• формирование перечня потенциально значимых объектов КИИ, подлежащих категорированию.

Для составления перечня систем используются следующие источники:

• сведения из федеральной информационной системы учета информационных систем;

• договоры на разработку и внедрение систем;

• локальные нормативные акты о порядке использования систем и их вводе в эксплуатацию;

• данные бухгалтерского учета по разделам «основные средства» и «нематериальные активы»;

• проектная документация на системы;

• данные управленческого учета IT-подразделения.

Результаты ревизии фиксируются в Реестре ИС, ИТКС, АСУ и утверждаются руководителем организации.

Для каждой системы, вошедшей в реестр, комиссия оценивает, задействована ли она в реализации критического бизнес-процесса и оказывает ли существенное влияние на его нарушение.

Система считается потенциально значимым объектом КИИ, если она одновременно задействована в реализации критического бизнес-процесса и оказывает существенное влияние на его нарушение.

Если система задействована в критическом бизнес-процессе, но не оказывает существенного влияния — она является объектом КИИ без присвоения категории значимости. Если система не задействована ни в одном критическом процессе — она не является объектом КИИ.

На этом этапе нужно рассчитать показатели критериев значимости для каждого объекта КИИ. Расчеты проводятся в соответствии с отраслевыми методическими рекомендациями и фиксируются в Протоколе расчетов значений критериев значимости. 

По результатам расчетов объекту присваивается одна из категорий значимости либо принимается решение об отсутствии необходимости ее присвоения. Если объект может пострадать от нескольких видов компьютерных атак, среди определенных категорий выбирается наивысшая.

Решение комиссии о присвоении объектам КИИ категорий значимости оформляется актом. Он подписывается председателем комиссии, всеми присутствующими членами и утверждается руководителем медицинской организации. Если в организации несколько объектов КИИ, можно оформить один акт на все.

В течение 10 рабочих дней со дня утверждения акта направляются во ФСТЭК сведения о результатах присвоения объекту КИИ одной из категорий или уведомление об отсутствии необходимости присвоения ему одной из таких категорий.

1. Подтвердите статус субъекта КИИ. Сверьте свою организацию с перечнем из пункта 1 статьи 2 закона № 187-ФЗ и сопоставьте ваши информационные системы с типовыми отраслевыми объектами КИИ (распоряжение Правительства № 360-р).

2. Создайте комиссию по категорированию. Назначьте приказом председателя и включите в состав IT-специалистов, специалистов по ИБ, технологов и юристов.

3. Составьте реестр бизнес-процессов. Опишите все процессы организации и оцените их критичность по социальной, экономической, экологической и политической значимости, а также по значимости для обороны страны, безопасности государства и правопорядка.

4. Проведите ревизию систем. Составьте полный перечень МИС, ИТКС и АСУ, используя данные бухгалтерского учета, договоры на внедрение и локальные акты.

5. Оцените задействованность систем в критических бизнес-процессах. Проверьте, выполняет ли каждая система функции управления, контроля, мониторинга или диагностики.

6. Составьте перечень объектов КИИ. Включите в него все системы, которые одновременно задействованы в критических бизнес-процессах и оказывают на них существенное влияние.

7. Проведите расчет критериев значимости и присвойте объектам категории (I, II или III). Оформите Акт категорирования и направьте сведения во ФСТЭК.

8. Внедрите меры защиты. Для значимых объектов обеспечьте подключение к ГосСОПКА, используйте сертифицированные средства защиты и отечественное ПО.

9. Запланируйте пересмотр. Категорирование пересматривается не реже одного раза в 5 лет либо при модернизации систем.

Проверьте готовность вашей инфраструктуры к требованиям по КИИ

Проведем аудит объектов КИИ, оценим соответствие требованиям ФСТЭК и поможем подготовиться к проверкам и категорированию

Проверить

Реклама: АО «Консалтинг онлайн», ИНН: 2310203967, erid: 2W5zFHnVAM7