Приказ ФСТЭК № 236: новые требования к подаче сведений о доменах и IP-адресах объектов КИИ

Одно из самых обсуждаемых в профессиональном ИБ-сообществе изменений реформы 2025–2026 годов касается не стратегии категорирования, а конкретного технического поля в форме отчётности. Речь о требовании указывать доменные имена и внешние сетевые адреса (IP) для объектов КИИ, взаимодействующих с сетями общего пользования, включая интернет. Для компаний с распределённой ИТ-инфраструктурой это требование оказалось неожиданно трудоёмким.

Правовая база: приказ № 236 в редакции приказа № 247

Форма направления сведений о результатах присвоения объекту КИИ категории значимости утверждена ещё приказом ФСТЭК России от 22.12.2017 № 236 «Об утверждении формы направления сведений о результатах присвоения объекту критической информационной инфраструктуры одной из категорий значимости либо об отсутствии необходимости присвоения ему одной из таких категорий» (зарегистрирован в Минюсте России 13.04.2018, № 50753). За прошедшие годы форма несколько раз корректировалась — в частности, приказом ФСТЭК России от 21.03.2019 № 59.

Ключевое для 2025–2026 годов изменение внёс приказ ФСТЭК России от 11.07.2025 № 247 «О внесении изменений в форму направления сведений о результатах присвоения объекту КИИ одной из категорий значимости... утверждённую приказом ФСТЭК России от 22.12.2017 № 236», официально опубликованный 21 августа 2025 года. Этим приказом в раздел 1 формы добавлены два новых обязательных пункта:

1. наименование типового отраслевого объекта КИИ, которому соответствует данный объект (в соответствии с перечнями, установленными Правительством РФ — прежде всего с единым перечнем, утверждённым распоряжением № 360-р);
2. доменное имя и внешний сетевой адрес информационных ресурсов, принадлежащих или используемых субъектом КИИ, при наличии у объекта подключения к сети электросвязи общего пользования.

Формально это закреплено в подпункте «к» пункта 17 Правил категорирования (в редакции ПП № 1762). Если объект КИИ не взаимодействует с сетями общего пользования, поле остаётся незаполненным — обязанность возникает именно при наличии внешнего сетевого подключения.

Зачем регулятору нужны эти данные

С точки зрения ФСТЭК России и ГосСОПКА, наличие точной карты доменов и IP-адресов значимых объектов КИИ решает практическую задачу мониторинга угроз: зная точки подключения объектов к публичным сетям, регулятор и центры ГосСОПКА могут оперативнее выявлять потенциально уязвимые узлы, отслеживать компрометацию инфраструктуры по внешним признакам (например, по появлению домена в базах индикаторов компрометации) и быстрее реагировать на инциденты, затрагивающие конкретную организацию.

Почему это не просто «заполнить два поля»

Для небольшой организации с одним сайтом и одним внешним IP-адресом заполнение новых полей формы — действительно техническая мелочь. Для распределённых инфраструктур ситуация принципиально иная:

1. федеральные торговые сети и банки с сотнями филиалов имеют десятки и сотни доменов и поддоменов, часть из которых обслуживается через CDN с динамически меняющимися IP-адресами;
2. промышленные холдинги с множеством дочерних юридических лиц зачастую не имеют единого centralized реестра внешних точек подключения;
3. динамические IP-адреса, ротация через облачных провайдеров и балансировщики нагрузки делают статичную таблицу в Excel устаревшей уже на момент заполнения.

Направление сведений по устаревшей форме или с неполным составом данных приравнивается к нарушению порядка предоставления сведений и создаёт риск привлечения к ответственности по ст. 13.12.1 КоАП РФ (подробнее — в статье о штрафах 2026 года).

Практический алгоритм подготовки данных о доменах и IP

1. Инвентаризация точек подключения. Составить полный список доменных имён и внешних IP-адресов, связанных с каждым объектом КИИ, взаимодействующим с сетью общего пользования — включая тестовые и резервные контуры, если они также имеют внешнее подключение.
2. Определение владельца данных внутри организации. Как правило, за доменные записи и сетевую адресацию отвечает ИТ-отдел, а за корректность подачи сведений во ФСТЭК — служба информационной безопасности; без формализованного регламента передачи данных между ними актуальность сведений быстро теряется.
3. Выбор источника достоверных данных. Использовать не «память сотрудников», а системы учёта активов — DNS-серверы, панели управления облачными провайдерами, системы класса Asset Management, при наличии — NTA-решения, автоматически обнаруживающие сетевые ресурсы, взаимодействующие с внешними сетями.
4. Регламент актуализации. Установить периодичность сверки данных (например, ежеквартально) и обязательное обновление сведений при изменении инфраструктуры — актуализированные сведения направляются во ФСТЭК России в течение 20 рабочих дней с даты изменений согласно пункту 19¹ Правил категорирования.
5. Формирование сведений по актуальной форме. Заполнить форму приказа № 236 в редакции № 247 и направить во ФСТЭК России не позднее 10 рабочих дней с даты решения комиссии по категорированию.

Автоматизация как практическое решение

Для организаций с более чем несколькими десятками внешних точек подключения ручное ведение реестра доменов и IP-адресов в таблицах становится источником постоянных ошибок и просрочек. Рынок закономерно отвечает ростом интереса к SGRC-системам (Security Governance, Risk and Compliance), которые способны интегрироваться с DNS-инфраструктурой, системами учёта активов (Active Directory, NetBox) и средствами анализа сетевого трафика для автоматического формирования и поддержания в актуальном состоянии реестра сетевых атрибутов объектов КИИ. Подробнее об автоматизации учёта — в отдельной статье нашего цикла.

Вывод

Требование указывать доменные имена и IP-адреса в форме сведений о категорировании — на первый взгляд техническая деталь, но на практике она обнажает более глубокую проблему: у многих субъектов КИИ до сих пор нет единого, актуального реестра собственной сетевой инфраструктуры. Приведение данных в порядок требует не разового усилия, а построения процесса — с закреплённой ответственностью, источниками достоверных данных и регламентом актуализации.

Нужна помощь с подготовкой актуальных сведений для ФСТЭК России?

Консалтинговая группа «Астелс» поможет провести инвентаризацию сетевой инфраструктуры, корректно заполнить форму приказа № 236 в актуальной редакции и выстроить регламент актуализации данных. Оставьте заявку на sertifikat.bz — разберём ваш случай на бесплатной консультации.