Порядок предусматривает ежегодный мониторинг со стороны Департамента цифрового развития и управления данными Минобрнауки. Оценка будет проводиться на основании письменного запроса ведомства и анализа представленных субъектом КИИ документов, а также путем ознакомления с объектами инфраструктуры непосредственно по месту их нахождения.
Согласно проекту правил, до 20 декабря года, предшествующего проведению мониторинга, департамент должен подготовить план-график на следующий календарный год. В него будут включаться наименование и место нахождения субъекта КИИ, его ИНН, дата предыдущей проверки, месяц проведения оценки и наименование привлекаемой организации. Предоставить запрошенные документы необходимо в течение 10 рабочих дней с момента получения запроса, после этого Минобрнауки направит их привлекаемой организации, которая в течение 20 рабочих дней должна определить дату и время проведения оценки и состав выездной группы.
Проверка непосредственно на объектах КИИ не должна будет занимать более 10 рабочих дней, а если у организации есть филиалы или представительства в нескольких регионах, оценка каждого места будет проводиться отдельно в течение не более 60 рабочих дней.
Выездная группа должна проверить соответствие представленных сведений фактическому состоянию объектов, в том числе оценит программное обеспечение, установленное на них. При этом анализ ПО должен проводиться без использования инструментальных средств. Для работы с информацией, доступ к которой ограничен, будут применяться требования законодательства о государственной тайне и защите информации.
По итогам оценки привлекаемая организация будет готовить акт в трех экземплярах – для субъекта КИИ, самой организации и Минобрнауки. В документе будут отражаться результаты проверки по каждому объекту, выявленные несоответствия, а также выводы и рекомендации.
Субъект КИИ сможет направить возражения по выводам акта в течение пяти рабочих дней со дня его подписания. Привлекаемая организация должна будет рассмотреть их и представить в департамент отзыв в течение 10 рабочих дней. После этого Минобрнауки примет решение о подтверждении выводов либо доработке акта. На основании результатов оценки департамент подготовит заключение о проведении мониторинга, в котором будут указаны выявленные нарушения, несоблюдение отраслевых требований, а также случаи представления недостоверных сведений. Отдельно будут указываться информационные и автоматизированные системы и сети, соответствующие типовым объектам КИИ, но не прошедшие категорирование.
Если нарушения будут выявлены, Минобрнауки в течение 30 дней со дня их обнаружения направит соответствующие сведения в федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности КИИ.
Разработанный проект документа также предусматривает утверждение критериев для организаций, которые смогут привлекаться Минобрнауки к проведению оценки. Их перечень ведомство планирует размещать на своем официальном сайте.
В конце февраля 2026 года в перечень субъектов КИИ были добавлены информационные системы отраслевых организаций: в список вошли платформы, с помощью которых проводятся работы, предусмотренные кодами ОКВЭД для деятельности в области медицины, оптовой и розничной торговли фармпродукцией, ГИС ОМС и аналогичные региональные системы. По словам экспертов, такое расширение позволит более четко выделять объекты КИИ и правильно их защищать.
