Главная

Инструкция ответственного за обеспечение безопасности персональных данных в ИСПДн

Инструкция описывает обязанности и права ответственного за обеспечение безопасности персональных данных в ИСПДн, область ответственности и порядок утверждения руководителем; обязательна для ИСПДн с 3-м уровнем защищённости. В документе фиксируют взаимодействие с администраторами и службой ИБ, порядок реагирования на инциденты, учёт и журналирование действий, контроль доступа и порядок прекращения обработки при отзыве согласия - ключевые элементы, которые оценивают при проверке.

Статус обязательная для ИСПДн при 3-м уровне защищённости
Основание п. 14 ПП РФ № 1119, ст. 19 152-ФЗ
Публичность внутренний документ
Кто утверждает руководитель организации
Ответственный ответственное лицо за обеспечение безопасности персональных данных в ИСПДн
Область применения распространяется на обработку персональных данных в ИСПДн организации, к которым применён 3-й уровень защищённости
Периодичность пересмотр при изменении уровня защищённости или составе ИСПДн
Обновлено июль 2026

01 Назначение

Инструкция ответственного за обеспечение безопасности персональных данных в ИСПДн

Назначение и область применения. Инструкция регламентирует обязанности ответственного за обеспечение безопасности персональных данных в информационной системе персональных данных организации, к которой применён 3-й уровень защищённости. Документ внутренний, обязательный для ИСПДн с третьим уровнем и утверждается руководителем организации. В тексте инструкции следует однозначно указать границы применения по составу обрабатываемых данных и подсистемам ИСПДн.

Ключевые обязанности и взаимодействие. Ответственный фиксирует перечень ежедневных и периодических обязанностей: контроль исполнения мер защиты, организация выявления и расследования фактов неправомерного доступа, взаимодействие с ИТ, отделом кадров и юридическим отделом, информирование руководства о рисках. В обязанностях должна быть процедура выявления фактов неправомерного доступа и порядок уведомления уполномоченных подразделений и руководства. Частные обязанности описываются так, чтобы избежать пересечения полномочий с системными администраторами и службой безопасности.

Требования к режиму помещений и учёту действий. Инструкция должна содержать ссылки на режим безопасности помещений ИСПДн, порядок ограничения доступа в помещения и требования к журналам регистрации доступа и событий. Для позиций доступа к содержанию журналов укажите, какие роли получают доступ и на каком основании, чтобы соответствовать требованиям по доступу только тем сотрудникам, которым это необходимо для исполнения обязанностей. Описание режима помещений и контроля доступа должно соотноситься с общей политикой безопасности организации.

Контроль, триггеры для проверки и типичные ошибки. Опишите критерии проверки исполнения инструкции: наличие приказа о назначении, актуальные записи в журналах регистрации событий, оформление протоколов расследования инцидентов, документированные процедуры взаимодействия. Типичные ошибки - отсутствие приказа, разрозненная регистрация событий, несогласованность ролей доступа и запаздывающее обнаружение фактов неправомерного доступа. При составлении инструкции предусмотрите список триггеров для внеплановой проверки и перечень артефактов, которые ревизор должен запросить по регламенту.

Раскрыть полностью

02 Ответственность

Ответственность за массовую утечку персональных данных (ч. 13 ст. 13.11 КоАП РФ)

ч. 13 ст. 13.11 КоАП РФ - утечка данных 10 000 - 100 000 субъектов

Юридическое лицо 5 000 000 - 10 000 000 ₽
Должностное лицо 300 000 - 500 000 ₽
Физическое лицо (гражданин) 200 000 - 300 000 ₽

Приведенные суммы относятся к составу административного правонарушения по ч. 13 ст. 13.11 КоАП РФ при массовой утечке. Для инструкции ответственного в ИСПДн важно иметь оформленные положения о назначении ответственного, порядок расследования инцидентов и журнал регистрации событий. Типичные ошибки - отсутствие оформленной инструкции, неполные записи инцидентов и отсутствие подтверждений принятых мер, что осложняет защиту при проверке и привлечении к ответственности.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Инструкция фиксирует обязанности, права и область ответственности ответственного за безопасность персональных данных в ИСПДн, а также порядок действий при инцидентах и порядок утверждения руководителем. Отличается от приказа тем, что описывает процессы и полномочия, а не только факт назначения.

Инструкция ответственного за безопасность персональных данных в ИСПДн
Обязанности ответственного за безопасность ИСПДн
Права и полномочия ответственного за безопасность ИСПДн
Положение о должности ответственного за безопасность ПДн
Приказ о назначении ответственного за безопасность ИСПДн
Образец инструкции ответственного за безопасность ПДн
Администратор безопасности ИСПДн
Назначение ответственного за безопасность по ПП 1119
Разграничение обязанностей между ответственными за обработку и безопасность

04 Обязательное содержание

Ключевые элементы инструкции

Чеклист разделов и элементов, которые должны быть в инструкции ответственного для соответствия требованиям 3-го уровня защищённости ИСПДн.

Утверждение и назначение В документе зафиксирован приказ руководителя с датой, полномочным наименованием назначенного лица и условиями выполнения обязанностей; при временном назначении указано условие передачи обязанностей.
Область действия инструкции Чётко обозначены ИСПДн и виды обработки персональных данных, на которые распространяется инструкция, с указанием применения 3-го уровня защищённости и возможных исключений.
Функции, права и обязанности Перечислены конкретные обязанности и права ответственного, включая взаимодействие с владельцами систем и ИТ-подразделением, а также полномочия при принятии мер по обеспечению безопасности.
Процедура обнаружения и реагирования на инциденты Алгоритм действий при подозрении или факте неправомерного доступа: порядок выявления, документирования, уведомления заинтересованных лиц и руководство по приостановке обработки при необходимости.
Контроль организационных и технических мер Перечень организационных и технических мер, за соблюдением которых отвечает лицо, критерии оценки соответствия и порядок утверждения изменений в мерах защиты.
Доступы и ведение журналов Порядок назначения, изменения и отзыва прав доступа, требования к ведению журналов доступа и регламент проверки их целостности и сохранности.
Передача обязанностей и подтверждение компетенций Требования к обучению и подтверждению компетентности ответственного, а также порядок передачи дел при смене лица с перечнем передаваемых материалов и записей.

05 Применимость

Кто и в каких случаях должен иметь инструкцию ответственного за безопасность ПДн в ИСПДн

Коротко - инструкция обязательна для ИСПДн, к которым применён 3-й уровень защищённости. Ниже - границы применения, исключения и типовые ситуации, когда документ целесообразно вводить.

Обязательное применение для ИСПДн с 3-м уровнем защищённости Инструкция обязательна для оператора информации о персональных данных в отношении ИСПДн, к которым применён 3-й уровень защищённости; документ оформляется как внутренний локальный акт и утверждается руководителем организации.
Область действия инструкции внутри организации Инструкция распространяется на обработку персональных данных в конкретных ИСПДн организации, а также на подразделения и сотрудников, выполняющих функции администрирования, эксплуатации и контроля доступа к этим системам; документ должен описывать ответственность назначенного лица и взаимодействие с руководством и подразделениями.
Когда инструкция не является инструментом для 1-го и 2-го уровней защищённости Требования к оформлению локальных актов и организационной структуре при 1-м и 2-м уровнях отличаются; для 2-го уровня применимы иные правила ограничений доступа к журналам, для 1-го уровня возможны требования к организации структурного подразделения вместо посадовой инструкции.
Рекомендации для малых операторов и филиалов Даже при отсутствии формальной обязанности организации малого размера, филиалам и отдельным ИП, обрабатывающим ПДн в ИСПДн или предоставляющим удалённый доступ, целесообразно разработать упрощённую инструкцию с описанием обязанностей ответственного, порядка реагирования на инциденты и контактов для эскалации.
Связанные триггеры для введения и пересмотра инструкции Инструкция вводится при назначении ответственного и при вводе в эксплуатацию ИСПДн с 3-м уровнем; подлежит пересмотру при изменении состава ИСПДн, при выявлении фактов неправомерного доступа и при изменениях нормативных требований к мерам защиты персональных данных.

06 Нормативная база

Нормативная основа для инструкции ответственного за безопасность ПДн в ИСПДн

ч. 1 ст. 19 152-ФЗ юридическая обязанность оператора принимать меры защиты персональных данных; для инструкции это базовое основание описать круг организационно-технических мер, которые обязан обеспечивать ответственное лицо, разграничить зоны ответственности и закрепить порядок контроля исполнения этих мер
п. 2 ч. 2 ст. 19 152-ФЗ требование применять адекватные организационные и технические средства защиты; инструкция должна регламентировать порядок выбора, внедрения и контроля таких мер, порядок документирования решений и критерии достаточности защиты в рамках ИСПДн
п. 13 ПП РФ № 1119 требования к режиму помещений и сохранности носителей для повышенных уровней защиты; инструкция должна фиксировать границы применимости положений по режиму помещений и указывать, когда требования данного пункта изменяют поведение ответственного лица или переводят часть функций на иные процедуры
п. 14 ПП РФ № 1119 предписание о назначении ответственного при 3-м уровне защищённости; инструкция реализует это требование, подробно определяя задачи, полномочия, взаимодействие с руководителем и подразделениями, доступ к журналам и ресурсам ИСПДн, а также механизм замещения и отчетности
п. 15 ПП РФ № 1119 ограничение доступа к содержанию электронного журнала сообщений на 2-м уровне; в инструкции следует закрепить порядок выдачи прав на журнал, критерии необходимости доступа и обязанности ответственного по ведению и сохранению журнала доступа
п. 16 «б» ПП РФ № 1119 требование о создании или назначении структурного подразделения для обеспечения безопасности на 1-м уровне; инструкция должна описать возможность делегирования функций на подразделение, порядок передачи обязанностей и контроль изменений полномочий в ИСПДн
ст. 21 152-ФЗ правило прекращения обработки при отсутствии оснований для неё; инструкция обязует ответственное лицо обеспечивать техническую и организационную реализацию мер по приостановлению или блокированию обработки по решению оператора и фиксировать такие действия в учётных записях

08 Внедрение

Этапы внедрения инструкции ответственного за безопасность ПДн в ИСПДн

Краткий план от принятия решения до рабочего контура инструкции для ИСПДн с третьим уровнем защищённости. В каждом шаге указаны ответственный и конкретный результат на выходе.

1. Принятие решения и назначение ответственного Руководитель принимает решение о назначении лица, ответственного за обеспечение безопасности ПДн в ИСПДн. На выходе - официальный приказ о назначении с указанием обязанностей и сроков вступления в исполнение.
2. Разработка проекта инструкции Назначенное лицо совместно со службой информационной безопасности готовит проект инструкции, включая обязанности, порядок контроля доступа, журналирование и порядок реагирования на инциденты. На выходе - файл «Проект инструкции ответственного за обеспечение безопасности ПДн в ИСПДн» с пометкой версии.
3. Согласование с профильными подразделениями Проект направляют в ИТ, кадровую службу, юридический отдел и подразделения, участвующие в обработке ПДн, для сбора замечаний и уточнения оперативных процедур. На выходе - протокол согласования и доработанный проект инструкции.
4. Утверждение инструкции и издание приказа Руководитель утверждает окончательную редакцию инструкции и издаёт приказ об утверждении с указанием даты ввода в действие и ответственных за исполнение пунктов инструкции. На выходе - «Приказ об утверждении инструкции» и утверждённый документ с регистрационным номером.
5. Обучение, проверка работоспособности и подготовка материалов для проверки Проводят инструктаж и тренировочные проверки процедур, регистрируют участников в журнале обучения, проверяют настройки доступа и работу журналирования, отрабатывают процедуру обнаружения и регистрации инцидентов. На выходе - журнал регистрации обучения, акт внутренней проверки готовности мер и папка для проверяющего с утверждённой инструкцией и сопроводительными записями.

09 Актуализация

Поводы для пересмотра инструкции ответственного за безопасность ПДн в ИСПДн

Инструкция теряет актуальность при изменениях в ИСПДн, в обязанностях ответственных и в режиме обработки ПДн. Правка по событию должна быть быстрой и документироваться приказом или изменением приложения к приказу.

Изменился уровень защищённости ИСПДн Любой переход уровня защищённости меняет организационные требования к обеспечению безопасности: требования к назначению ответственного и к штату могут измениться. Инструкция перестаёт соответствовать реальным обязанностям без привязки к новому уровню. Внести правки в инструкцию, издать или изменить приказ об области применения и составе ответственных лиц; скорректировать штатные роли и реестр ИС.
Появилась новая или выведена из эксплуатации информационная система Новая система не попадает автоматически в зону ответственности; отсутствие её в реестре оставляет обязанности формально нераспределёнными. Аналогично, вывод системы меняет перечень объектов контроля и учётных журналов. Обновить реестр ИС и карту ответственности, при необходимости скорректировать разделы инструкции о зонах ответственности и перечне контролируемых журналов.
Сменился ответственный или изменились его полномочия Назначение другого сотрудника или перераспределение полномочий требует переиздания приказа и формальной передачи дел: учётные записи администраторов, доступ к журналам, незакрытые находки и текущие поручения должны быть оформлены в акте передачи. Издать приказ о назначении, провести передачу дел по чеклисту и зафиксировать ознакомление нового ответственного под подпись.
Часть функций по защите ПДн передана подрядчику Передача функций меняет границы ответственности организации и исполнителя. Если обязанности и точки контроля не описаны, растёт риск пропуска процессов приёмки и реагирования. Зафиксировать разграничение обязанностей в договоре и в инструкции, прописать интерфейсы приёма работ и контрольные точки для внутреннего контроля.
Произошёл инцидент или выявлено неправомерное действие Разбор инцидента обычно выявляет пробелы в полномочиях, процедурах уведомления и в учёте доступа. Инструкция должна отражать фактическую последовательность действий в первые часы реагирования. Провести расследование, зафиксировать выводы и внести изменения в инструкцию в части полномочий, порядка регистрации инцидентов и уведомлений заинтересованных лиц.

10 Проверка

Инспектор проверит

Документы и материалы проверки, подтверждающие наличие инструкции и исполнение обязанностей ответственного за обеспечение безопасности ПДн в ИСПДн.

Вопрос 01 «Предъявьте инструкцию ответственного за обеспечение безопасности персональных данных в ИСПДн и документ об её утверждении.»
Вопрос 02 «Предъявьте документ, определяющий обязанности и полномочия ответственного.»
Вопрос 03 «Предъявьте учетные записи и материалы по выявлению и реагированию на инциденты неправомерного доступа.»
Вопрос 04 «Предъявьте документы, подтверждающие контроль организационно-технических мер, которые осуществляет ответственный.»
Вопрос 05 «Предъявьте документы по обеспечению режима безопасности помещений с ИСПДн.»

Инспектор при проверке, может запросить:

инструкция ответственного за безопасность ПДн в ИСПДн, приказ руководителя об утверждении документа
должностная инструкция или положение о функциональных обязанностях ответственного, перечень задач по взаимодействию с подразделениями
журнал регистрации событий ИСПДн, протоколы расследований инцидентов и отчеты о выявленных фактах неправомерного доступа
перечень контролируемых организационно-технических мер, отчеты проверок исполнения мер, журналы контроля доступа и акты устранения нарушений
правила режима доступа в помещения с ИСПДн, приказы о порядке допусков и записи о проверках соблюдения режима

11 Экспертная позиция

Фокус на полномочиях и связке с процедурами обнаружения инцидентов

Частая ловушка - ответственного назначают формально, но не дают реальных полномочий и доступа к инструментам обнаружения и проверки инцидентов. Инструкция должна не только перечислять обязанности, но и привязывать их к практическим процедурам: доступ к журналам и логам, регламент взаимодействия с руководством и службой ИБ, порядок реагирования и связи с режимом помещений ИСПДн. Без такой привязки требование к 3-му уровню защищённости рискует остаться бумажным.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы об инструкции ответственного за безопасность ПДн в ИСПДн

Инструкция обязательна для объектов персональных данных, к которым применён 3-й уровень защищённости. Требование назначения ответственного и связанной документации установлено в нормативных актах по 3-му уровню защиты.

Заказать инструкцию ответственного за безопасность персональных данных в ИСПДн

Адаптированная инструкция для ответственного за безопасность персональных данных в ИСПДн, с учётом требования для ИСПДн с 3-м уровнем защищённости. В комплект входит проект приказа об назначении, текст инструкции с обязанностями и процедурами, журнал регистрации событий, шаблоны записей и рекомендации по ведению доказательной базы. В пакет подтверждений включены: приказ, ссылка на систему, скриншоты и экспорт логов доступа. Поможем с адаптацией под организацию и сопровождением утверждения руководителем.

Заказать инструкцию и комплект документов

Инструкция ответственного за обеспечение безопасности персональных данных в ИСПДн

Инструкция ответственного за обеспечение безопасности персональных данных в ИСПДн

Ответственность за массовую утечку персональных данных (ч. 13 ст. 13.11 КоАП РФ)

Как ещё называют этот документ

Ключевые элементы инструкции

Кто и в каких случаях должен иметь инструкцию ответственного за безопасность ПДн в ИСПДн

Нормативная основа для инструкции ответственного за безопасность ПДн в ИСПДн

Связанные документы

Этапы внедрения инструкции ответственного за безопасность ПДн в ИСПДн

Поводы для пересмотра инструкции ответственного за безопасность ПДн в ИСПДн

Инспектор проверит

Фокус на полномочиях и связке с процедурами обнаружения инцидентов

Частые вопросы об инструкции ответственного за безопасность ПДн в ИСПДн

База знаний содержит 268 документов

Заказать инструкцию ответственного за безопасность персональных данных в ИСПДн

Скачайте каталог решений с ценами под вашу нишу и вдохновитесь идеями