Главная

Акт определения уровня защищённости персональных данных

Внутренний обязательный акт для каждой используемой ИСПДн, фиксирующий категорию данных, число субъектов, оценку угроз и обоснование уровня защищённости. Готовит ответственный за организацию обработки, утверждает руководитель; при проверке обращают внимание на разделы классификации, оценки рисков, перечень мер, расчёты уровня, дату и подписи.

Статус обязательный документ для каждой используемой ИСПДн организации
Основание ст. 19 152-ФЗ, ПП РФ № 1119
Публичность внутренний документ, не предназначен для внешней публикации
Кто утверждает руководитель организации
Ответственный ответственный за организацию обработки персональных данных
Область применения все ИСПДн организации, включая локальные и облачные системы, где обрабатываются персональные данные
Обновлено июль 2026

01 Назначение

Акт определения уровня защищённости персональных данных - назначение и содержание

Краткое руководство для ответственного за организацию обработки и для утверждающего руководителя

Назначение и область применения. Акт фиксирует установленный для конкретной используемой ИСПДн уровень защищённости, обоснование этого выбора и границы применимости документа. Обязателен для каждой ИСПДн организации, включая локальные и облачные системы, и служит основой для подбора организационных и технических мер защиты.

Обязательные разделы акта. Типовой комплект разделов: идентификация ИСПДн и её границ, перечень обрабатываемых категорий персональных данных, наличие спецкатегорий и биометрии, присвоенный уровень защищённости с кратким обоснованием, согласованные меры защиты и список ответственных лиц с ролями. В акте должны быть ссылки на нормативные основания и на элементы архитектуры ИСПДн, от которых зависят меры.

Роли, согласование и утверждение. Подготовку обеспечивает ответственный за организацию обработки персональных данных с участием ИТ, службы информационной безопасности и юридического отдела при необходимости. Документ утверждает руководитель организации. Для облачных и операторских решений акт должен отражать границы ответственности и требования к подрядчикам, а также содержать ссылки на соответствующие договоры и записи в реестре ИСПДн.

Триггеры для пересмотра и типичные ошибки при подготовке. Триггеры пересмотра: ввод новой ИСПДн, существенные изменения состава или объёма обрабатываемых данных, подключение внешнего оператора, внедрение биометрических средств. Частые ошибки: отсутствие обоснования назначенного уровня, непривязка мер к конкретным рискам и архитектуре, игнорирование облачных субподрядчиков, отсутствие фиксации ответственных и ссылок на нормативы. При проверке сверяйте заявленные меры с требованиями по уровням в ПП РФ и с предписаниями по управлению средствами аутентификации.

Раскрыть полностью

02 Ответственность

Административная ответственность при нарушениях, связанных с отсутствием или несоответствием Акта определения уровня защищённости

ч. 12 ст. 13.11 КоАП РФ, утечка данных 1 000 - 10 000 субъектов

Юридическое лицо 3 000 000 - 5 000 000 ₽
Должностное лицо 200 000 - 400 000 ₽
Физическое лицо (гражданин) 100 000 - 200 000 ₽

Акт обязателен для каждой используемой ИСПДн; его отсутствие или несоответствие выбранному уровню защиты увеличивает риск применения административной ответственности при массовой утечке персональных данных. Практические риски и ошибки: один общий акт на разные по назначению ИСПДн, отсутствие обоснования выбранного уровня защищённости, отсутствие записей о проверке после изменений в системе, неполная фиксация мер аутентификации и управления доступом. Для уменьшения риска операторам: вести отдельный акт для каждой ИСПДн, хранить обоснования уровня защиты и перечень применённых мер, фиксировать документальное утверждение руководителем и результаты последующих проверок, обращать внимание на особенности обработки специальных категорий и биометрии.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Справочное перечисление названий, которые в организациях используют для одного внутреннего акта. Раньше встречались классы К1 - К4, сейчас обычно применяют уровни защищённости УЗ1 - УЗ4, поэтому в тексте акта лучше использовать действующую терминологию.

Акт определения уровня защищённости персональных данных
Акт определения уровня защищённости ИСПДн
Акт установления уровня защищённости персональных данных
Акт установления уровня защищённости ИСПДн
Акт присвоения уровня защищённости ИСПДн
Акт определения требований к защите персональных данных
Акт классификации информационной системы персональных данных
Протокол определения уровня защищённости ИСПДн
Заключение об уровне защищённости персональных данных

04 Обязательное содержание

Содержание Акта

Чеклист ключевых разделов и элементов, которые должны быть в Акте определения уровня защищённости персональных данных для каждой используемой ИСПДн.

Утверждённая редакция и реквизиты Номер версии, дата проведения оценки, подпись и печать руководителя организации, указание ответственного за организацию обработки персональных данных с должностью и контактами.
Область применения и перечень ИСПДн Чёткий список всех ИСПДн организации, включая локальные и облачные решения, с указанием назначений систем и границ обработки персональных данных.
Методика и критерии определения уровня Описание применяемой методики, критериев и шкалы уровней защищённости, используемых показателей угроз и уязвимостей, а также порядок расчёта и обоснования присвоения уровня.
Результаты присвоения уровня по ИСПДн Таблица или перечень с присвоенным уровнем для каждой системы и кратким обоснованием решения (основные угрозы, входные данные оценки, выводы).
Соответствие мер защиты присвоенному уровню Перечень применённых организационных и технических мер для каждой ИСПДн с указанием соответствия требуемому уровню защищённости, включая меры управления средствами аутентификации.
Ответственные лица и процедуры исполнения Перечень ответственных (в том числе ответственный за организацию обработки), их обязанности по поддержанию уровня защиты и ссылки на процедуры эксплуатации и контроля.
Особые требования для спецкатегорий и биометрии Отметка о наличии персональных данных особых категорий или биометрии, описание повышенных требований и мер для таких случаев.

05 Применимость

Кому и когда нужен Акт определения уровня защищённости ПДн

Кратко: акт обязателен для каждой используемой ИСПДн организации, является внутренним документом и утверждается руководителем. Включает оценку уровня защищённости для локальных и облачных систем и служит основой для выбора мер защиты.

Обязательность документа Акт обязателен для каждой используемой ИСПДн организации, включая локальные и облачные системы, где обрабатываются персональные данные.
Кому предназначен акт Для юридического лица в целом, его филиалов и обособленных подразделений; ответственным за подготовку и актуализацию является ответственный за организацию обработки персональных данных.
Утверждение и режим документа Акт утверждается руководителем организации и хранится как внутренний документ, не предназначенный для внешней публикации.
Триггеры для составления и пересмотра акта Пересмотр проводят при фактах, которые могут изменить оценку угроз или применимые меры защиты; документ должен отражать актуальное состояние ИСПДн и принятые меры.
Граница применения и связанные документы Акт не заменяет общие корпоративные политики по обработке персональных данных и не является процедурой для специальных режимов обработки; для обработки специальных категорий данных и биометрии требуется отдельный анализ режимов и мер защиты.
Особые риски, требующие внимания При применении методов обезличивания проверяйте их адекватность, так как мнимое обезличивание может привести к правовой ответственности в случае утечки или восстановления идентифицирующих данных.

06 Нормативная база

Нормативная база для Акта определения уровня защищённости персональных данных

ст. 19 152-ФЗ устанавливает обязанность обеспечивать организационные и технические меры при обработке персональных данных; для Акта - основание фиксировать выбранный уровень защищённости, обоснование выбора, применимые меры и ответственных по каждой ИСПДн
ПП РФ № 1119 определяет четыре уровня защищённости ИСПДн и правила их определения; для Акта служит методологической основой присвоения уровня, критериям оценки ИСПДн и требованиям к документальному обоснованию
приказ ФСТЭК № 21 регламентирует состав технических и организационных мер по уровням, в том числе требования к управлению средствами аутентификации; для Акта - источник минимального перечня мер и контрольных точек при подборе защитных мероприятий
ст. 10, ст. 11 152-ФЗ устанавливают особенности правового режима при обработке специальных категорий данных и биометрических данных; для Акта - обязательная проверка наличия таких данных и учёт этого фактора при выборе уровня и дополнительных мер
ч. 1 ст. 13.11 КоАП предусматривает административную ответственность за несоблюдение требований к обработке персональных данных; для Акта - документ как элемент доказательной базы выполнения обязанностей организации и распределения ответственности
ч. 12 - 14 ст. 13.11 КоАП описывают квалификацию инцидентов и основания административной ответственности при утечках персональных данных, в том числе с учётом числа пострадавших субъектов; для Акта - критерии оценки риска и готовности мер реагирования при инциденте

08 Внедрение

Шаги внедрения Акта определения уровня защищённости персональных данных

Порядок от принятия решения до хранения документации для проверки. Шаги охватывают сбор исходных данных, обоснование уровня, утверждение руководителем, ввод в действие и организацию контроля.

1. Инициация и сбор исходных данных Зафиксировать триггеры (введение новой ИСПДн, изменение функционала, переход в облако) и собрать: перечень ИСПДн, перечень обрабатываемых персональных данных с указанием особых категорий и биометрии, существующие схемы доступа. Результат на выходе - «Перечень ИСПДн и характеристик ПДн» для дальнейшей оценки уровней защищённости.
2. Оценка и выбор уровня защищённости Произвести анализ исходных данных и модели угроз, сопоставить требования уровней защищённости и обоснованно выбрать уровень для каждой ИСПДн. Результат - проект Акта определения уровня защищённости ПДн с мотивировкой выбранного уровня и указанием применимых организационных и технических мер.
3. Согласование и утверждение руководителем Передать проект Акта на согласование (юридический отдел, служба информационной безопасности) и оформить решение руководителя. Результат - приказ руководителя об утверждении Акта определения уровня защищённости персональных данных и экземпляр утверждённого Акта.
4. Ввод в действие и реализация мер Сформировать и выполнить план внедрения организационных и технических мер, сопоставленных с утверждённым уровнем. На выходе - «Реестр внедрённых мер защиты» с ссылкой на соответствующие записи о внедрении и лицах, ответственных за исполнение.
5. Организация контроля и подготовка материалов для проверки Собрать в папку контроля основные артефакты: утверждённый Акт, перечень ИСПДн, реестр внедрённых мер, протоколы согласований и запись в реестре введённых документов. Обеспечить доступ проверяющему и предусмотреть обновление папки при изменениях ИСПДн или требований.

09 Актуализация

Поводы для пересмотра Акта определения уровня защищённости персональных данных

Уровень защищённости ИСПДн пересматривают при изменении ключевых параметров, влияющих на категорию данных, объём, архитектуру или модель угроз. При подтверждении изменения параметров акт подлежит пересчёту и оформлению заново.

Объём базы превысил нормативный порог Рост числа субъектов обработки до порога, при котором меняются требования к уровню защищённости по постановлению правительства; увеличение базы - частая и малоочевидная причина несоответствия ранее установленного уровня. Пересчитать уровень, оформить новый акт и представить на утверждение руководителю организации.
Появились специальные категории или биометрические данные Начало обработки сведений о здоровье, данных о судимости или биометрических идентификаторов изменяет категорию обрабатываемых данных и требования к мерам защиты. Пересмотреть классификацию данных и адаптировать меры защиты в акте.
Изменился состав субъектов обработки Система, ранее обслуживавшая только сотрудников, начала обрабатывать данные клиентов, подрядчиков или посетителей - меняются масштабы и характер рисков. Актуализировать описание субъектов в акте, при необходимости повысить уровень защищённости и скорректировать перечень мер.
Существенные изменения архитектуры или подключение третьих лиц Переезд в облако, открытый доступ сервиса из интернета, изменение каналов аутентификации или передача обработки подрядчику меняют картину угроз и реализацию мер защиты. Оценить влияние архитектурных изменений, зафиксировать требования к подрядчикам в договорах и обновить акт с новыми техническими и организационными мерами.
Инцидент безопасности или подтверждённая утечка Факт нарушения конфиденциальности персональных данных, подтверждённый расследованием, изменяет модель угроз и может требовать немедленного пересмотра уровня и набора мер защиты. Незамедлительно пересчитать уровень, оформить изменения в акте и подготовить материалы для внутренней и внешней проверки.

10 Проверка

Инспектор проверит: акт определения уровня защищённости персональных данных

Документы и материалы проверки акта определения уровня защищённости персональных данных.

Вопрос 01 «Предъявите акт определения уровня защищённости персональных данных и документ его утверждения.»
Вопрос 02 «Предъявите перечень используемых ИСПДн и сведения о присвоенных уровнях защищённости.»
Вопрос 03 «Предъявите обоснование выбранных уровней защищённости для конкретных ИСПДн.»
Вопрос 04 «Предъявите подтверждения реализации мер защиты и управления доступом в ИСПДн.»
Вопрос 05 «Предъявите записи о контроле актуализации акта и результатах внутренних проверок.»

Инспектор при проверке, может запросить:

акт определения уровня защищённости персональных данных в актуальной редакции; приказ или распоряжение руководителя об утверждении акта
реестр или перечень используемых ИСПДн с указанием присвоенных уровней защищённости; технические описания (паспорта) систем, подтверждающие место и характер обработки ПДн
отчёты анализа угроз и уязвимостей; результаты оценки рисков и таблицы соответствия мер требованиям ПП РФ № 1119 и ст. 19 152-ФЗ
приказы о назначении ответственных за ИСПДн; планы и акты внедрения мер защиты; журналы учёта доступа и настройки средств аутентификации
журналы изменений и версии документа; протоколы внутренних проверок соответствия и отчёты о корректирующих мерах

11 Экспертная позиция

Ключевая операционная ловушка

Типичная проблема - акт становится формальностью: уровень присвоен без явной связи с конкретными ИСПДн, границами обработки и распределением обязанностей с облачными провайдерами. В практическом акте нужна краткая мотивировка для каждой системы: какие личные данные обрабатываются, есть ли особые категории или биометрия, какие конкретные меры соответствуют присвоенному уровню, кто отвечает за реализацию и мониторинг, дата и однозначные триггеры пересмотра (изменение объёма данных, архитектуры, привлечение внешнего обработчика, инцидент). Такая структура сокращает риски спора о формальном соответствии и ускоряет проведение контрольных проверок.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы - Акт определения уровня защищённости персональных данных

Акт обязателен для каждой используемой в организации ИСПДн. Подготовкой отвечает ответственный за организацию обработки персональных данных, окончательное утверждение выполняет руководитель организации.

Заказать акт определения уровня защищённости персональных данных

Акт - обязательный внутренний документ для каждой используемой ИСПДн, утверждает руководитель и готовит ответственный за организацию обработки. Закажите акт в составе комплекта: проект приказа об утверждении, журнал учёта ИСПДн, образцы записей и рекомендации по мерам защиты. Документ подготовим с учётом требований по уровням защищённости и адаптируем под локальные и облачные системы, поможем оформить комплект доказательств для проверки.

Заказать акт в комплекте