Исполнение официальных рекомендаций ФСТЭК - Форум по вопросам информационной безопасности

Здравствуйте коллеги! У субъекта КИИ имеется объект КИИ - ИТКС, которая ещё не прошла категорирование (сведения о результатах категорирования не направлены во ФСТЭК). Однако субъекту КИИ от ФСТЭК направляются письма от ФСТЭК "О направлении рекомендаций ФСТЭК России по повышению защищенности ИИ" с рекомендациями, например: "Настроить чёрный список фаервола на блокировку IP-адресов, сайтов с фишингом, настройка SIEM-систем и.т.д.". В конце письма - e-mail ФСТЭК, на который нужно отправить письмо с подтверждением выполнения указанных мер. Указан срок. Я имею право до момента проверки соблюдения ФСТЭК порядка категорирования и правильности присвоения ОКИИ одной из категорий значимости либо не присвоения ему ни одной из таких категорий не отправлять письмо с подтверждением выполнения рекомендаций во ФСТЭК? Если не направлю письмо во ФСТЭК, то ко мне от них не будут предъявлены какие-либо претензии? Комиссией по категорированию КИИ принято решение категорировать без категории значимости.

"На каждый входящий должен быть исходящий"
Конечно, зависит от рвения конкретного исполнителя ФСТЭК, но лучше не игнорировать указание.
Моё личное мнение:
1. Издать распорядительный документ, которым на основании .. поручить внести названные настройки в ИТКС до её ввода в эксплуатацю
2. Отправить в срок отчёт, что на основании рекомендации издан приказ (распоряжение) номер от о внесении.
В таком случае вы не врёте и не отказываетесь. Любая проверка подтвердит

Здравствуйте коллеги! В процессе выполнения процедур категорирования ОКИИ как незначимую, был отдельно создан перечень ОКИИ, подлежащих категорированию. Он был утверждён руководителем субъекта КИИ, но не был отправлен в 10-дневный срок в ФСТЭК. Процедура категорирования продолжилась без этого, была создана комиссия по категорированию, утверждён акт категорирования. Могу ли я послать недостающий перечень ОКИИ вместе с актом категорирования в 10-дневный срок с даты утверждения акта категорирования руководителем? Это не серьёзная ошибка? Объект КИИ в перечне один.