---
title: "Защита критической инфраструктуры"
url: "https://legal.ge/ru/service/voennoe-pravo-i-natsbezopasnost-ru/zashchita-kriticheskoy-infrastruktury-ru"
field: "Военное право и нацбезопасность"
description: "Обязанности субъекта критической информационной системы: инвентаризация, аудит, тест на проникновение и план действий — 1 месяц. Legal.ge."
reviewed: "2026-02-16"
updated: "2026-11-07"
publisher: "legal.ge"
---

# Защита критической инфраструктуры

> Source: legal.ge, https://legal.ge/ru/service/voennoe-pravo-i-natsbezopasnost-ru/zashchita-kriticheskoy-infrastruktury-ru

## Инвентаризация и классификация информационных активов

По статье 5 закона об информационной безопасности субъект критической информационной системы обязан провести инвентаризацию для учёта всех информационных активов. Каждому активу присваивается класс критичности — конфиденциальная или внутреннего использования информация, остальные активы — открытая информация. Инвентаризация описывает значимость, ценность и уровень защиты актива; при создании класс устанавливает автор или ответственное лицо. Правила управления активами для первой и второй категорий устанавливает приказ главы Оперативно-технического агентства, для третьей — агентство цифрового управления, в обороне — министр обороны; для коммерческих банков дополнительные стандарты устанавливает Национальный банк.

## Аудит информационной безопасности и тест на проникновение

По статье 6 субъект проводит первичный и периодический аудит информационной безопасности — оценку соответствия минимальным стандартам — с обязательным заключением. Первичный аудит субъекта первой категории бесплатно проводит Оперативно-техническое агентство; периодический — агентство или авторизованная организация. Для третьей категории аудит проводят агентство цифрового управления или авторизованная организация, в обороне — Бюро кибербезопасности. Требования аудита не распространяются на платёжные системы, расчёты по ценным бумагам, управление резервами и системы монетарных и валютных операций. В том же порядке проводится тест на проникновение — по документированному заданию, с обязательным заключением. При выявлении несоответствий или уязвимостей субъект проводит их анализ, составляет план действий с графиком исполнения и в течение 1 месяца после завершения аудита или теста представляет его на согласование соответствующему органу; для коммерческих банков таким органом является Национальный банк. Если аудит проводит авторизованная организация, один экземпляр заключения субъект сразу по завершении аудита направляет Оперативно-техническому агентству или агентству цифрового управления — в зависимости от категории системы. Аудит и тест на проникновение проводятся в сотрудничестве с менеджером информационной безопасности и специалистом по компьютерной безопасности субъекта.

## Авторизация аудиторов

Статья 6-1 определяет, кто вправе проводить аудит и тест: организация, прошедшая авторизацию в агентстве цифрового управления. Проводящее аудит лицо должно пройти проверку на благонадёжность в порядке, установленном актом главы службы государственной безопасности. Авторизация проходит в порядке, установленном приказом председателя агентства цифрового управления, а плата за её прохождение — в соответствии с законом об этом агентстве. Организация может пройти авторизацию, если отвечает требованиям безопасности, определённым актом главы службы государственной безопасности, а её сотрудник, уполномоченный проводить аудит или тест, прошёл проверку на благонадёжность. В коммерческих банках могут привлекаться и организации из дополнительного списка авторизованных, представляемого Национальным банком.

Полный текст доступен на legal.ge после входа: https://legal.ge/ru/service/voennoe-pravo-i-natsbezopasnost-ru/zashchita-kriticheskoy-infrastruktury-ru

### Что такое инвентаризация информационных активов?

Учёт всех информационных активов с присвоением класса критичности: конфиденциальная, внутреннего использования или открытая информация.

### В какой срок подаётся план действий?

В течение 1 месяца после завершения аудита или теста на проникновение, на согласование соответствующему органу.

### Кого специалист уведомляет об инциденте?

Специалист по компьютерной безопасности немедленно уведомляет группу реагирования на компьютерные инциденты соответствующего ведомства и обеспечивает постоянную координацию при устранении атаки.

### Кто проверяет субъекта первой категории?

Оперативно-техническое агентство вправе проверить его информационно-технологическую инфраструктуру — сети, конфигурации и технику, а выявленные признаки преступления немедленно передаются следствию.