Инструкция ответственного пользователя СКЗИ: что включить, требования

Статус обязательная инструкция при эксплуатации СКЗИ
Основание пп. 2.6 и 2.7 ТТ ФСБ № 149/6/6-622
Публичность внутренний документ
Кто утверждает руководитель организации, оформляет приказом
Обновлено июль 2026
Кратко обязанности назначение и требования к квалификации, функциональные обязанности, поэкземплярный учёт и лицевые счета…

01 Назначение

Инструкция ответственного пользователя СКЗИ

Внутренний обязательный документ для назначения, организации учёта и контроля при эксплуатации средств криптографической защиты информации; утверждается приказом руководителя.

Назначение и область применения. Инструкция определяет обязанности и порядок действий ответственного пользователя при эксплуатации СКЗИ, правила учёта носителей и лицевых счетов, порядок допуска и санкционирования передач. Применяется ко всем структурным подразделениям организации, эксплуатирующим СКЗИ, и к лицам, которым поручены соответствующие функции.

Назначение и требования к квалификации. Ответственный пользователь назначается приказом организации; в приказе фиксируют круг полномочий и условия совмещения ролей. Инструкция устанавливает минимальные квалификационные признаки, требования к обучению и учёт обучающих мероприятий. Обязательные документы и материалы: приказ о назначении, личная карточка с данными о допуске, записи о прохождении обучения и проверки знаний.

Функциональные обязанности и оперативные процедуры. Перечень обязанностей включает управление и учёт ключевых носителей, выдачу и отзыв прав доступа, ведение журналов операций и учётных записей, санкционирование передач носителей между пользователями, а также оперативный контроль использования СКЗИ. Инструкция описывает последовательность типовых операций, порядок документирования и шаги при обнаружении инцидента.

Поэкземплярный учёт, лицевые счета и порядок передачи. Устанавливаются правила поэкземплярного учёта средств криптографии и ведения лицевых счетов: регистрация поступления, присвоение уникального идентификатора, отметки о выданных экземплярах и первичных проверках. Процедуры передачи между пользователями подлежат предварительному санкционированию и фиксируются в журнале передачи носителей.

Правила допуска, режимы работы и взаимодействие с оператором. Ответственный пользователь устанавливает правила допуска к СКЗИ в рабочее и нерабочее время и организует контроль их соблюдения. Взаимодействие с оператором и распределение текущего контроля описываются отдельно: функции по контролю и мониторингу должны быть чётко разграничены и документированы, предусмотрены каналы эскалации и отчётности.

Раскрыть полностью

02 Ответственность

Ответственность за нарушение требований при эксплуатации СКЗИ

ч. 6 ст. 13.12 КоАП РФ - нарушение требований о защите информации

Юридическое лицо 50 000 - 100 000 ₽
Должностное лицо 10 000 - 50 000 ₽
Физическое лицо (гражданин) 5 000 - 10 000 ₽

Суммы санкций установлены ч. 6 ст. 13.12 КоАП РФ и применимы за нарушения требований по защите информации при эксплуатации СКЗИ. На практике привлечение возможно при отсутствии приказа о назначении ответственного пользователя, нарушениях поэкземплярного учёта и лицевых счетов, несанкционированной передаче ключей, нарушениях правил допуска и требований к квалификации. Рекомендуемые меры: наличие утверждённой инструкции и приказа, фиксированный порядок учёта и передачи, документированные правила допуска и требования к квалификации.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Подборка распространённых названий и поисковых фраз для инструкции ответственного пользователя СКЗИ. Фокус на назначении, квалификационных требованиях, полномочиях и учёте СКЗИ.

Образец инструкции ответственного пользователя СКЗИ
Инструкция ответственного пользователя СКЗИ
Функциональные обязанности ответственного пользователя СКЗИ
Обязанности ответственного пользователя криптосредств
Порядок назначения ответственного пользователя СКЗИ
Приказ о назначении ответственного за СКЗИ
Учет СКЗИ и лицевых счетов
Правила допуска и эксплуатации СКЗИ
Кто отвечает за криптосредства в организации
Как составить инструкцию ответственного за СКЗИ
Санкционирование передачи СКЗИ между пользователями

04 Обязательное содержание

Что должно быть в инструкции ответственного пользователя СКЗИ

Краткий чеклист ключевых разделов и материалов, необходимых для соответствия требованиям эксплуатации СКЗИ и внутреннего контроля.

Реквизиты утверждения и приказ об утверждении Указаны лицо, утвердившее инструкцию, дата и реквизиты приказа об утверждении, а также статус редакции для однозначной идентификации действующего текста.
Назначение на должность и требования к квалификации Описаны порядок назначения ответственным пользователем, требования к квалификации и условия возможного совмещения обязанностей, чтобы исключить конфликт ролей.
Функциональные обязанности и взаимодействие с оператором Перечислены конкретные обязанности ответственного пользователя, зоны ответственности и взаимодействие с оператором для текущего контроля и эксплуатации СКЗИ.
Поэкземплярный учёт и ведение лицевых счетов Прописан порядок поэкземплярного учёта средств криптографической защиты, форма записей лицевых счетов и ответственные лица за ведение журналов учёта.
Санкционирование и порядок передачи ключей или носителей Установлен регламент санкционированной передачи между пользователями, условия оформления передачи и обязательная регистрация операций передачи в учётных документах.
Правила допуска в рабочее и нерабочее время Регламентированы правила допуска к использованию СКЗИ в рабочее и нерабочее время, порядок выдачи и отзыва допусков, а также механизмы временного ограничения доступа.
Организационные и технические меры защиты ПДн Кратко перечислены обязательные организационные и технические меры по защите ПДн при обработке с использованием СКЗИ, а также ссылки на сопутствующие внутренние регламенты и журналы контроля.

05 Применимость

Кому и в каких случаях требуется инструкция ответственного пользователя СКЗИ

Краткое описание круга адресатов и ситуаций применения инструкции ответственного пользователя СКЗИ, включая границы применения и связь с другими документами комплекта эксплуатации.

Обязательность для эксплуатирующих подразделений Инструкция обязательна для всех структурных подразделений и рабочих мест организации, где эксплуатируются СКЗИ, так как требования по назначению ответственных, квалификации и функциональным обязанностям установлены в нормативных требованиях по эксплуатации СКЗИ.
Где инструкция не применяется Инструкция не нужна для подразделений и рабочих мест, где СКЗИ не используются. В таких случаях необходимость регламентирования обязанностей по СКЗИ отсутствует до появления оборудования или процессов, связанных с криптографической защитой.
Утверждение и оформление Инструкция оформляется как внутренний документ организации и утверждается приказом руководителя с указанием реквизитов приказа и даты вступления в силу, при этом в тексте фиксируют порядок назначения и требования к должности ответственного пользователя.
Содержание и связь с комплектом документов по эксплуатации СКЗИ Инструкция должна сочетаться с оперативной документацией по учёту, допуску и передаче СКЗИ: регистр поэкземплярного учёта и лицевые счета, правила санкционирования передач, режимы допуска в рабочее и нерабочее время, функциональные обязанности ответственного и оператора.
Триггеры для разработки и пересмотра инструкции Инструкция разрабатывается при вводе в эксплуатацию СКЗИ и пересматривается при назначении или замене ответственного пользователя, при смене моделей СКЗИ, изменении режимов доступа или по результатам внутреннего контроля и проверок.
Круг лиц и требования к квалификации Документ охватывает ответственных пользователей, их заместителей и лиц, имеющих допуск к работе со СКЗИ; в инструкции фиксируются требования к квалификации, варианты совмещения обязанностей и порядок документального оформления назначений.

06 Нормативная база

Нормативная основа для инструкции ответственного пользователя СКЗИ

ст. 19 152-ФЗ обязанность организации принимать организационные и технические меры защиты персональных данных, включая применение криптографических средств; инструкция фиксирует, какие меры реализованы с участием ответственного пользователя и как распределены полномочия.
приказ ФСБ России № 378 требования к применению СКЗИ в различных режимах защищённости, включая порядок выбора и применения средств, криптографическое сопровождение при обработке ПДн и требования к документированию мер, которые инструкция должна конкретизировать для операционной практики.
ТТ ФСБ № 149/6/6-622, п. 2.6 назначение ответственного пользователя приказом организации, требования к квалификации и допуску; инструкция должна описать порядок назначения, случаи и условия совмещения обязанностей, порядок документальной замены и уведомления руководства.
ТТ ФСБ № 149/6/6-622, п. 2.7 необходимость наличия у ответственного пользователя формализованного перечня функциональных обязанностей; инструкция должна перечислять обязанности по управлению ключами и носителями, контролю целостности СКЗИ, участию в расследовании инцидентов и обучении пользователей.
ТТ ФСБ № 149/6/6-622, п. 2.10 распределение текущего контроля за СКЗИ между оператором и ответственным пользователем, включая обмен отчётами, проверку журналов, мониторинг работоспособности и порядок уведомления при отклонениях; инструкция должна закрепить механизмы взаимодействия.
ТТ ФСБ № 149/6/6-622, пп. 3.4-3.5 поэкземплярный учёт криптосредств и ведение лицевых счетов, обязательные реквизиты записей, порядок отражения передачи и списания, а также правила хранения и доступа к журналам учёта, которые инструкция должна регламентировать.
ТТ ФСБ № 149/6/6-622, п. 3.7 требования к санкционированию передачи криптосредств и носителей между пользователями, обязательность оформления разрешений и записи в журнале передачи; инструкция должна описывать полномочия, форму разрешения и порядок контроля за выполнением условий передачи.
ТТ ФСБ № 149/6/6-622, п. 4.4 установление правил допуска к СКЗИ в рабочее и нерабочее время, порядок выдачи временных допусков, сопровождение посетителей и контроль доступа к режимным помещениям; инструкция должна закрепить процедуры и ответственных за выдачу допусков.

08 Внедрение

Шаги внедрения инструкции ответственного пользователя СКЗИ

Порядок от решения о необходимости инструкции до рабочего контура и первой проверки. На выходе: утвержденный приказ, инструкция с распределением обязанностей, реестры носителей и записи контроля.

1. Принятие решения и оформление назначения Руководитель организации издаёт приказ о назначении ответственного пользователя, фиксирует совмещение или разделение обязанностей, формирует каталог ответственных лиц.
2. Формулирование обязанностей и требований к квалификации Составить разделы инструкции с функциональными обязанностями, требованиями к квалификации и правами доступа, согласовать с службой информационной безопасности и подразделениями.
3. Организация поэкземплярного учёта и лицевых счётов Ввести реестр поэкземплярного учёта ключевых носителей и лицевые счета пользователей, регламентировать порядок записи операций и хранения записей.
4. Процедуры санкционирования передач и смены владельцев Установить порядок санкционирования передачи носителей между пользователями, оформить шаблон распоряжения и отметки в реестре, предусмотреть подтверждающие записи.
5. Правила допуска в рабочее и нерабочее время Разработать и закрепить правила допуска к СКЗИ и криптографическому оборудованию, порядок пропускного режима и действий при нерабочем доступе, опубликовать внутри организации.
6. Контроль, первичная проверка и передача в эксплуатационный надзор Провести первичную проверку соответствия инструкции требованиям, включить контроль оператора и службы ИБ, подготовить перечень ключевых документов и материалов для внутренней проверки.

09 Актуализация

Поводы для пересмотра и переиздания инструкции

Пересмотры нужны не «по сроку», а при изменении назначений, состава средств и реального порядка работы: обновление должно корректировать полномочия, учёт носителей и процедуры реагирования.

Сменился ответственный пользователь Изменение назначения по приказу, фактическая передача журналов учёта и лицевых счетов, замена дубликатов ключей от хранилищ. Часто выявляется, что инструкция была привязана к конкретному человеку и требует переработки. Издать приказ о назначении, оформить передачу по акту, сверить журналы и лицевые счета, при необходимости обновить формулировки ответственности в инструкции.
Совмещение функций с другими ролями Назначение ответственного пользователя на дополнительные роли меняет круг обязанностей и риски конфликтов полномочий; без чёткого разграничения нарушается персональная ответственность. Дополнить инструкцию разделом о разграничении обязанностей и порядке принятия решений, определить ответственного за резервную замену и порядок контроля.
Появилось новое криптосредство или удостоверяющий центр Ввод нового СКЗИ или смена удостоверяющего центра изменяет формы учёта носителей и порядок получения ключевых документов, требуется регистрация новых идентификаторов в журналах. Обновить учетные формы и порядок регистрации, завести записи в журналах по новым регистрационным номерам и описать порядок обращения с новыми ключами.
Рост числа пользователей и перераспределение доступа Увеличение числа пользователей меняет распределение обязанностей: требуется персональная ответственность за участки работы и чёткие правила санкционирования передач носителей и прав доступа. Пересмотреть распределение обязанностей и лицевые счета, утвердить порядок санкционирования передач и обновить журналы поэкземплярного учёта.
Инцидент компрометации или нарушение режима обращения с ключами Компрометация ключей, несанкционированный доступ к носителям или выявленные пробелы в контроле показывают, какие процедуры и роли не отработаны на практике. Провести разбор инцидента, зафиксировать выводы, внести корректировки в инструкцию и порядок реагирования, заменить скомпрометированные ключи и обновить журналы.

10 Проверка

Инспектор проверит

Вопросы направлены на проверку наличия и фактической реализации инструкции ответственного пользователя СКЗИ: назначение, квалификация, учёт носителей, санкционирование передач, правила допуска и меры защиты ПДн.

Вопрос 01 «Предъявите утверждённую инструкцию ответственного пользователя СКЗИ и документ об её утверждении.»
Вопрос 02 «Предъявите документы, подтверждающие назначение и соответствие квалификации ответственного пользователя.»
Вопрос 03 «Предъявите описание функциональных обязанностей и локальные правила допуска к работе с СКЗИ.»
Вопрос 04 «Предъявите учётные документы по носителям ключевой информации и регламенты передачи между пользователями.»
Вопрос 05 «Предъявите подтверждение выполнения мер защиты ПДн и организации текущего контроля за использованием СКЗИ.»

Инспектор при проверке, может запросить:

утверждённую инструкцию ответственного пользователя СКЗИ и приказ об утверждении
приказ о назначении и документы, подтверждающие квалификацию и право на работу с СКЗИ
должностную инструкцию с перечнем функциональных обязанностей и локальные правила допуска в рабочее и нерабочее время
поэкземплярный журнал учёта и лицевые счета, регламент санкционированной передачи носителей и записи о передаче
план мер защиты ПДн применительно к СКЗИ, журналы контроля или логи использования и отчёты о проверках

11 Экспертная позиция

Практический риск и исчерпывающие меры в инструкции ответственного пользователя СКЗИ

Частая, но неочевидная ошибка - формальное закрепление обязанностей ответственного пользователя без описания доказуемых процедур по учёту, передаче и аннулированию носителей и прав. Это приводит к разрывам цепочки владения, незарегистрированным передачам и невозможности связать события с журналами оператора. В инструкции пропишите конкретные операционные правила: обязательные поля реестра по каждому экземпляру СКЗИ (уникальный идентификатор, серийный номер, табельный номер назначенного лица, даты выдачи/возврата, причина и номер санкционирования передачи), строгий порядок санкционирования и оформления передач, регламент доступа в нерабочее время и порядок экстренного доступа, требования к отзыву прав при смене должности или увольнении, а также регулярная сверка реестра с журналами оператора. Эти меры минимизируют операционные пропуски и обеспечат сопоставимость учёта СКЗИ с журналами контроля.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы по Инструкции ответственного пользователя СКЗИ

Ответственного пользователя назначает руководитель организации приказом, документ остаётся внутренним и должен подтверждать полномочия и условия совмещения ролей. В приказе фиксируются требование к квалификации и наличие допуска, а само назначение является основанием для ведения дальнейших учётных записей и допусков.

Заказать инструкцию ответственного пользователя СКЗИ и комплект локальных нормативных актов

Закажите адаптированную инструкцию ответственного пользователя СКЗИ (средства криптографической защиты информации) для внутреннего утверждения приказом руководителя. В комплект входят шаблон приказа о назначении, инструкция с требованиями к квалификации и функциональным обязанностям, журнал поэкземплярного учёта, образцы лицевых счетов, регламент допуска в рабочее и нерабочее время и комплект доказательств для проверок (приказ, журналы, скриншоты). Документ актуализирован - июль 2026, подготовка с учётом требований по защите персональных данных и требований к СКЗИ.

Заказать инструкцию и комплект локальных нормативных актов

Инструкция ответственного пользователя СКЗИ