8 800 201-20-70
Контакты it_law_security Поиск
RTM Group/Услуги/Категорирование объектов КИИ в здравоохранении

Информационная безопасность / Здравоохранение

Категорирование объектов КИИ в здравоохранении

Поможем определить периметр КИИ, подготовиться к категорированию и проверить ранее выполненные работы. С учётом медицинских процессов, МИС, ЕГИСЗ и вашей инфраструктуры.

КлиникиБольницыМедицинские лаборатории
Выбрать услугу
3

Лицензии ФСТЭК и ФСБ России

300+

проектов по построению комплексной системы ИБ

8 лет

практического опыта в сфере КИИ

РФ · BY · KZ

география работы

Опыт RTM Group по направлениям информационной безопасности

Почему это касается медицины

Когда требования КИИ касаются медицинской организации

Здравоохранение входит в перечень сфер, указанных в 187-ФЗ. Поэтому вопрос о КИИ касается не только государственных больниц: для частной клиники или лаборатории также важно проверить деятельность, используемые системы и основания их использования.

Есть медицинские информационные системы

МИС, электронная медицинская документация, лабораторные и диагностические системы — отправная точка для обследования. Рассматриваем их функции и связь с медицинскими процессами.

Есть интеграции и внешние сервисы

Обмен с ЕГИСЗ, региональными системами и облачными сервисами нужно учитывать при определении границ систем и ответственности участников.

Есть разные площадки и подрядчики

Для сети клиник, отдельных филиалов и внешнего обслуживания уточняем, какие системы общие, кто ими управляет и как распределены функции.

Статус субъекта КИИ и категория значимости конкретного объекта — не одно и то же. Наличие МИС или подключения к ЕГИСЗ само по себе не определяет категорию. Эти вопросы разбираем последовательно при обследовании.

Обязанности и практическая помощь

Что нужно сделать организации и где помогает RTM

Разделяем решения медицинской организации и работы, которые выполняем в рамках проекта.

Организовать работу по категорированию

Медицинская организация

Определить участников со стороны организации, сформировать комиссию и обеспечить сбор исходных данных.

Помощь RTM

Помогаем обследовать процессы и системы, собрать сведения и подготовить материалы для работы комиссии.

Оценить объекты и оформить решения

Медицинская организация

Рассмотреть показатели значимости и принять решения по результатам категорирования.

Помощь RTM

Готовим расчёты, обоснования и проекты документов; разбираем недостающие сведения вместе со специалистами заказчика.

Направить сведения о результатах

Медицинская организация

Организовать утверждение документов и направление сведений во ФСТЭК России в установленном порядке.

Помощь RTM

Готовим комплект сведений и сопровождаем этот этап в согласованном объёме проекта.

Обеспечить защиту значимых объектов

Медицинская организация

Если объект признан значимым — организовать выполнение требований к его безопасности.

Помощь RTM

Проектирование и последующие работы по защите обсуждаем отдельно; определяем состав решений и результаты каждого этапа.

Привлечение подрядчика не заменяет решений уполномоченной комиссии. Состав документов, участие в направлении сведений и последующие работы по защите фиксируем в договоре.

Отдельные работы или комплексный проект

Услуги и цены

Можно начать с бесплатной консультации или обратиться по конкретной услуге.

Бесплатная консультация

Обсудим исходную ситуацию, уже выполненные работы и с чего начать решение задачи.

Бесплатно

Экспресс-категорирование объектов КИИ

Обсудим задачу и возможность экспресс-категорирования для вашей организации.

90 000 ₽

Экспертиза проведенных работ по КИИ

Объекты экспертизы уточняются отдельно. При обращении укажите наличие значимых объектов и состав материалов для проверки.

от 90 000 ₽

Проектирование системы безопасности объекта КИИ

Определим состав работ по проектированию системы безопасности вашего объекта КИИ.

по запросу

Работаем с юридическими лицами, ИП и бюджетными организациями по безналичному расчёту. Состав проекта и итоговую стоимость согласуем после уточнения задачи.

Специфика здравоохранения

Какие процессы и системы рассматриваем

В медицине важно понимать, как работа информационной системы связана с оказанием помощи: записью пациента, доступом к медицинским сведениям, исследованиями и передачей результатов. При обследовании учитываем последствия нарушения работы и доступные способы продолжения процесса.

МИС и электронная медицинская документация

Рассматриваем ведение медицинских записей, назначения, доступ специалистов к сведениям и взаимодействие между подразделениями. Уточняем границы системы и ответственность её владельца и оператора.

Лабораторные и диагностические системы

Изучаем прохождение назначения, выполнение исследования, хранение и передачу результата, связь ЛИС и диагностических систем с МИС. Конкретное оборудование рассматриваем в контексте его функций и подключений.

Обмен с ЕГИСЗ и региональными системами

Определяем, какие сведения и через какие сервисы передаются, где проходит граница ответственности медицинской организации и поставщиков интеграции. Проверяем взаимосвязи, которые нужно учесть при обследовании.

Филиалы и внешние ИТ-подрядчики

Уточняем общие и локальные системы, размещение в облаке или собственном контуре, доступ подрядчиков и зависимости между площадками. Это помогает определить реальный периметр работ.

Это направления обследования, а не готовый перечень объектов КИИ вашей организации. Наличие МИС или обмена с ЕГИСЗ само по себе не определяет категорию значимости. Выводы требуют анализа функций систем и применимых требований.

Не только процесс — результат

Что входит в проект и что получает заказчик

Применимость требований и периметр

Анализируем деятельность организации, используемые системы, процессы и связи с подрядчиками. Сопоставляем исходные данные с применимыми требованиями и отраслевым перечнем.

РезультатОписание обследованного периметра и обоснование дальнейших действий.

Подготовка к работе комиссии

Помогаем собрать сведения о системах и процессах, определить участников со стороны организации и подготовить перечень информационных систем, подлежащих категорированию.

РезультатАкт работы комиссии с перечнем систем и указанием их относимости к типовым объектам.

Анализ критериев значимости

Совместно со специалистами заказчика разбираем возможные последствия нарушения работы систем и данные для оценки показателей. Готовим материалы для обоснования решений.

РезультатРасчёты и обоснования для решения о категории либо отсутствии необходимости её присвоения.

Оформление результатов и следующие шаги

Готовим согласованный комплект итоговых документов и сведения для направления во ФСТЭК. Фиксируем вопросы, которые нужно решить после категорирования.

РезультатКомплект результатов в объёме договора и план дальнейших действий.

Решения принимает уполномоченная комиссия медицинской организации. Подготовка документов, их утверждение и направление сведений — отдельные действия; участие RTM в каждом из них фиксируем в договоре. Проектирование и внедрение защиты, закупки и сопровождение инцидентов согласуются отдельно.

Есть документы, но остались вопросы?

Начнём с того, что уже сделано

Обсудим системы, прежние результаты и необходимый объём работ.

Понятная последовательность

Как организуем работу с медицинской организацией

  1. Этап 1

    Уточняем задачу

    Обсуждаем организацию, системы, площадки, прежние работы и нужный результат. Определяем контактных специалистов и перечень материалов для начала обследования.

  2. Этап 2

    Обследуем процессы и системы

    Изучаем документы и схемы, проводим интервью с ответственными за медицинские процессы, ИТ и ИБ. Уточняем интеграции и роль подрядчиков.

  3. Этап 3

    Готовим материалы для решений

    Разбираем показатели значимости, оформляем обоснования и проекты документов. Выносим недостающие сведения на обсуждение с комиссией заказчика.

  4. Этап 4

    Передаём комплект результатов

    Согласуем документы, поясняем порядок дальнейших действий и фиксируем оставшиеся задачи. При необходимости отдельно обсуждаем работы по защите объектов.

Команда RTM Group

Эксперты, которые ведут проекты

29.01.2026

29 января 2026 года мы провели отраслевой вебинар «КИИ в медицине: особенности отрасли» при поддержке Global Digital Space и платформы «Врачи РФ» — Запись доступна здесь →

Подготовка к проекту

Какие исходные данные нужны

Для первого обсуждения достаточно краткого описания организации и задачи. Для обследования согласуем более подробный набор сведений:

  • Виды медицинской деятельности, структура организации и перечень площадок
  • Список МИС, ЛИС, диагностических и других используемых систем с описанием функций
  • Схемы размещения и обмена данными, включая ЕГИСЗ, региональные системы и облачные сервисы
  • Сведения о владельцах, операторах, подрядчиках и распределении ответственности
  • Ранее подготовленные перечни, решения комиссии, сведения о категорировании и переписка по ним
  • Информация о последствиях нарушения процессов, допустимых перерывах и доступных резервных способах работы

Через форму первого обращения достаточно передать описание задачи и контакты. Медицинские записи пациентов и доступы к системам для этого не нужны. Состав и защищённый способ передачи рабочих материалов согласуем отдельно.

Объём → стоимость → сроки

От чего зависят стоимость и сроки

Стоимость рассчитываем после определения периметра и результата, который нужен организации. Проверка уже выполненного категорирования, подготовка документов с начала и проектирование защиты отличаются по составу и трудоёмкости.

На сроки влияют доступность исходных данных, участие специалистов клиники и подрядчиков, проведение внутренних согласований. План проекта согласуем после обследования исходной ситуации.

Что учитываем при расчёте

  • Количество и взаимосвязь систем, площадок и юридических лиц
  • Сложность медицинских процессов и интеграций
  • Наличие и качество прежних документов и расчётов
  • Необходимость взаимодействия с поставщиком МИС, облака или диагностических решений
  • Выбранные этапы: обследование, категорирование, проверка результатов или последующие работы по защите

До начала работ

Ответы на частые вопросы

Нужно ли частной клинике заниматься КИИ?

Для ответа нужно проверить деятельность клиники, её системы и основания их использования. Частная форма собственности сама по себе не даёт ответа на вопрос о применимости требований. Начать можно с описания медицинских процессов, МИС и других систем: по этим данным определяем состав обследования.

Подключение к ЕГИСЗ означает, что МИС уже является значимым объектом КИИ?

Сам факт обмена с ЕГИСЗ не определяет категорию значимости системы клиники. При обследовании рассматриваем функции МИС, характер взаимодействия, границы ответственности и последствия нарушения работы. Эти данные нужны для обоснования результатов категорирования.

Что делать, если МИС работает в облаке и обслуживается подрядчиком?

Нужно уточнить договорные отношения, функции поставщика и клиники, места обработки данных и доступные сведения об инфраструктуре. Эти вопросы включаем в обследование и согласуем участие подрядчика. Только по слову «облако» исключать систему из анализа нельзя.

Для сети клиник нужно категорировать каждый филиал отдельно?

Количество филиалов не равно количеству объектов. Сначала выясняем, какие системы общие, какие работают отдельно и как между ними распределены функции. Состав объектов и документов определяем по результатам обследования систем, а не по числу адресов.

Можно ли использовать документы ранее проведённого категорирования?

Да, их стоит предоставить для проверки. Сопоставим документы с текущими системами, процессами и применимыми требованиями. По результатам определим, какие материалы можно использовать и что требует актуализации.

Входят ли защита персональных данных пациентов и внедрение средств защиты?

Эти задачи обсуждаем при определении состава проекта. Категорирование, выполнение требований к персональным данным и внедрение защиты имеют разные результаты. В предложении отдельно указываем, какие работы включены, кто отвечает за их выполнение и какие материалы передаются заказчику.

Можно ли получить стоимость до полного обследования?

Для предварительного расчёта опишите организацию, основные системы, площадки и уже выполненные работы. При необходимости уточним дополнительные данные. Итоговые стоимость, сроки и комплект результатов фиксируются после согласования объёма проекта.

Сколько занимает категорирование медицинской организации?

Срок зависит от количества систем и площадок, состояния исходных документов, доступности специалистов организации и подрядчиков. План проекта согласуем после разбора исходной ситуации. Если у вас есть целевая дата, укажите её при обращении: обсудим объём работ и необходимые согласования.

Можно ли провести категорирование своими силами или заказать только часть работ?

Если внутренняя команда уже собирает сведения и готовит документы, можно обсудить отдельную помощь: обследование периметра, подготовку материалов или проверку результатов. Участие RTM, задачи специалистов заказчика и работу комиссии разграничим в составе проекта. Перечень нужных работ определим с учётом того, что уже сделано.

Что учитывать при обследовании телемедицины и дистанционного мониторинга пациентов?

Опишите используемые сервисы, их связь с МИС, передачу данных и распределение функций между медицинской организацией и поставщиками. Эти сведения включим в обсуждение периметра обследования. Само название технологии не заменяет анализ конкретной системы, её функций и применимых требований.

Для подробного изучения

КИИ в медицине: нормативная основа и полезные материалы

Отправная точка — Федеральный закон № 187-ФЗ. Для конкретного проекта проверяем действующие правила категорирования, типовой отраслевой перечень и применимость отраслевых документов. Отдельно учитываем задачи защиты персональных данных: комплект работ по КИИ не заменяет их проверку.

Методические рекомендации 2021 года используются с учётом последующих изменений законодательства. При подготовке проекта проверяем редакции нормативных документов на дату работ.

Следующий шаг

Разберём вашу задачу по КИИ

Расскажите, какие системы используются и что уже сделано.
Обсудим дальнейшие действия.