Главная

Перечень информационных систем персональных данных (ИСПДн)

Перечень фиксирует все информационные системы, используемые для обработки персональных данных, включая локальные, облачные, тестовые и теневые; служит отправной точкой для оценки рисков, выбора мер защиты и планирования контроля. В записях указывают минимальные поля (владелец, назначение обработки, уровень защищённости, места хранения, точки интеграции), ведение поручено ответственному подразделению, утверждается приказом руководителя и актуализируется при изменениях состава систем или требований.

Статус обязательный документ при организации обработки персональных данных в информационных системах персональных данных
Основание ст. 19 Федерального закона 152-ФЗ, постановление Правительства РФ № 1119
Кто утверждает руководитель организации, документ оформляется приказом
Публичность внутренний документ, доступ ограничен ответственным подразделениям и лицам, участвующим в обработке ПДн
Область применения перечень охватывает все ИСПДн организации, используемые для обработки ПДн работников, клиентов и третьих лиц, включая локальные и облачные решения
Обновлено июль 2026, пересмотр проводится при изменении состава ИСПДн или требований законодательства

01 Назначение

Перечень информационных систем персональных данных (ИСПДн)

Краткие правила формирования, структуры и организационной ответственности за реестр ИСПДн в организации

Назначение и область применения. Перечень фиксирует все информационные системы, в которых производится обработка персональных данных сотрудников, клиентов и третьих лиц, включая локальные решения и облачные сервисы. Документ служит источником для оценки мер защиты, распределения ответственности и принятия управленческих решений при вводе, изменении или выводе системы из эксплуатации. Перечень ведут как внутренний реестр с контролем доступа, так и механизмом учёта изменений.

Структура реестра: минимальные атрибуты записи. Для каждой системы фиксируют набор полей: наименование и уникальный идентификатор системы, подразделение-владелец и контактное лицо, назначение обработки, категории персональных данных, география и место хранения данных, уровень защищённости, сведения о третьих лицах и подрядчиках, интерфейсы и интеграции, текущий статус (в эксплуатации, тест, архив), дата ввода в эксплуатацию и журнал изменений. Записи оформляют так, чтобы по ним можно было однозначно связать систему с карточками ИТ, договорами с поставщиками и политиками защиты.

Роли, утверждение и порядок актуализации. Владелец реестра назначается приказом руководителя и отвечает за актуальность и хранение записей, системные владельцы отвечают за полноту сведений по своим системам. Изменения вносятся по запросу владельца системы и регистрируются с указанием причины и исполнителя, окончательное утверждение изменений осуществляет руководитель организационной единицы в рамках локальных актов. Пересмотр реестра проводится при вводе или выводе систем, при изменении состава обрабатываемых персональных данных, при смене провайдера или при изменениях в требованиях законодательства.

Контроль качества записей и типичные ошибки. Частые недостатки: отсутствие ответственного лица в записи, пропуск информации о месте хранения данных и уровне защищённости, неучтённые облачные сервисы и отсутствующие сведения о сторонних обработчиках. Для контроля сопоставляйте записи реестра с инвентаризацией оборудования и сервисов, с договорами на обработку и с настройками учётных записей и прав доступа; фиксируйте результаты сверки в журнале изменений. Особое внимание уделяйте записям при миграции данных и при подключении внешних подрядчиков.

Раскрыть полностью

02 Ответственность

Ответственность по ч. 1 ст. 13.11 КоАП РФ за нарушения, связанные с Перечнем ИСПДн

ч. 1 ст. 13.11 КоАП РФ

Юридическое лицо 150 000 - 300 000 ₽
Должностное лицо 50 000 - 100 000 ₽
Физическое лицо (гражданин) 10 000 - 15 000 ₽

Привлечение по ч. 1 ст. 13.11 возможно при осуществлении обработки персональных данных в случаях, не предусмотренных законом. Для Перечня ИСПДн это практический триггер риска: отсутствие перечня, неполное включение используемых систем (включая облачные сервисы и системы третьих лиц), несвоевременное обновление или отсутствие приказа об утверждении повышают вероятность квалификации нарушений как несанкционированной обработки. Типичные ошибки операторов - не фиксировать ответственных за конкретные ИСПДн, не учитывать интеграции и внешние субподрядные сервисы, вести реестр в устаревшей форме. Указанные суммы применяются в рамках норм КоАП и зависят от квалификации правонарушения по итогам проверки.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Краткие названия для внутреннего документа, который фиксирует все информационные системы, в которых хранится или обрабатывается персональная информация, включая облачные сервисы, таблицы на файловых серверах, видеонаблюдение и тестовые окружения.

Перечень ИСПДн
Перечень информационных систем персональных данных
Список ИСПДн организации
Реестр информационных систем с персональными данными
Учёт информационных систем, обрабатывающих персональные данные
Инвентаризация систем с персональными данными
Сводная таблица ИСПДн
Перечень систем обработки персональных данных
Реестр баз персональных данных

04 Обязательное содержание

Чеклист содержимого Перечня ИСПДн

Короткий набор разделов и элементов, которые должны быть в Перечне информационных систем персональных данных, чтобы документ выполнял роль учёта и управления ИСПДн в организации.

Утверждение и реквизиты Дата утверждения, номер и реквизиты приказа руководителя, лицо, ответственное за ведение перечня, и указание области применения документа (какие категории субъектов и процессов охватываются).
Идентификация каждой ИСПДн Для каждой системы указано официальное название, уникальный идентификатор в реестре, краткое назначение обработки ПДн, тип системы (локальная или облачная) и ключевые контактные лица.
Классификация по уровню защищённости Уровень защищённости для каждой системы с указанием обоснования уровня и ссылки на документ с требуемыми организационными и техническими мерами защиты.
Места и условия хранения ПДн Для каждой ИСПДн указано место хранения баз данных и юрисдикция провайдера, а также наличие ограничений на хранение данных граждан РФ в соответствии с применимыми требованиями.
Роли и зоны ответственности Таблица ролей и обязанности: владелец системы, администратор, оператор обработки, ответственный за организацию обработки; контакты и ответственность за актуализацию сведений.
Интеграции, передачи и третьи лица Перечень внешних интеграций и точек обмена данными, указание случаев передачи ПДн третьим лицам, наличие договорных и технических условий для передачи и обработки.
Правила ведения и актуализации перечня Процедура внесения изменений и ведения журнала изменений, триггеры для пересмотра перечня (смена состава ИСПДн, изменение требований законодательства, инциденты) и ответственные за обновления.

05 Применимость

Перечень информационных систем персональных данных (ИСПДн) - область применения

Краткое руководство - кто должен вести Перечень ИСПДн, в каких ситуациях документ обязателен, какие системы включает и когда нужен отдельный документ или дополнительные акты.

Обязательность документа и назначение Перечень ведётся при организации обработки персональных данных в информационных системах и фиксирует все используемые ИСПДн для учёта, распределения ответственности и планирования мер защиты.
Кому нужен Перечень Перечень обязателен для организаций и подразделений, которые эксплуатируют информационные системы, используемые для обработки персональных данных работников, клиентов или третьих лиц; документ используют подразделения ИТ, безопасности и кадров.
Граница содержания и связанные документы Перечень должен охватывать все ИСПДн организации, включая локальные и облачные решения. Перечень не заменяет паспортизацию ИСПДн, оценку угроз или акты по уровню защищённости - при необходимости для конкретной системы заводятся отдельные паспорта и отчёты об оценке рисков.
Особенности при использовании облачных сервисов и зарубежного хранения Если системы размещены у внешних провайдеров или за пределами страны, в Перечне фиксируют расположение баз данных и статусы соответствия требованиям по локализации и защите. При наличии внешнего размещения документ учитывают при согласовании договоров с провайдерами.
Утверждение, доступ и триггеры обновления Перечень утверждается приказом руководителя и включается в локальные акты по обработке персональных данных. Доступ ограничивают ответственным подразделениям и лицам. Обновление проводится при вводе или выводе ИСПДн, при изменении способа их эксплуатации или при вступлении новых требований законодательства.
Особые подходы для филиалов, удалённых подразделений и малого оператора Филиалы и удалённые подразделения могут быть включены в единый корпоративный Перечень или вести локальные перечни при самостоятельном управлении ИСПДн. Для малых операторов допустим упрощённый формат с минимальным набором реквизитов: идентификатор ИСПДн, краткое назначение, ответственные и уровень защиты.

06 Нормативная база

Нормативы, применимые к Перечню информационных систем ПДн

п. 10 ст. 3 152-ФЗ даёт определение информационной системы персональных данных; для Перечня это означает обязательное включение всех систем, подпадающих под это определение, с указанием границ, типов (локальные, облачные), назначений и категорий обрабатываемых ПДн
ст. 18.1 152-ФЗ предусматривает издание оператором локальных актов по вопросам обработки; Перечень должен быть оформлен как локальный акт, утверждён приказом руководителя, содержать ответственных лиц и порядок актуализации при изменении состава ИСПДн или требований законодательства
ст. 19 152-ФЗ обязывает обеспечивать организационные и технические меры защиты при обработке в ИСПДн; Перечень служит основой для согласования мер с каждой системой - фиксация требуемых мер, статуса их внедрения и ссылок на результаты оценки рисков
ПП РФ № 1119 определяет классификацию уровней защищённости ИСПДн; Перечень должен присваивать каждой системе уровень защищённости, указывать обоснование уровня и требуемые мероприятия по обеспечению соответствия этому уровню
приказ ФСТЭК № 21 уточняет состав мер по управлению средствами аутентификации и доступом; в Перечне важно фиксировать применяемые механизмы аутентификации, интеграцию с центром управления доступом и ответственных за управление учётными данными
ч. 5 ст. 18 152-ФЗ требует хранения записей с ПДн граждан РФ в базах, расположенных на территории России; Перечень должен отражать место хранения и обработки данных каждой системы и указывать, какие системы задействуют зарубежные площадки или облачные сервисы
ч. 1 ст. 13.11 КоАП устанавливает возможность административной ответственности за несоблюдение требований при обработке ПДн; Перечень используется как доказательный документ при проверках, поэтому он должен вестись аккуратно, иметь историю изменений и подтверждение утверждения

08 Внедрение

Шаги внедрения Перечня информационных систем персональных данных (ИСПДн)

Порядок от решения подготовить Перечень ИСПДн до его утверждения и первой контрольной проверки. Каждый шаг содержит ответственного и конкретный результат на выходе - документ или запись, которые поместят в папку для проверяющего.

1. Инициирование работ и назначение ответственных Руководитель принимает решение о подготовке Перечня ИСПДн и письменно назначает ответственного за организацию обработки персональных данных и состав рабочей группы. Результат на выходе: письменное поручение руководителя с указанием ответственных и срока подготовки списка.
2. Сбор и систематизация сведений об ИСПДн Ответственный за организацию обработки совместно с IT и подразделениями собирает сведения по всем ИСПДн: название системы, назначение обработки, типы ПДн, ответственный за систему, место размещения (локально/облако), интеграции с внешними сервисами. Результат на выходе: реестр информационных систем персональных данных (Реестр ИСПДн) в формате табличного документа.
3. Определение уровня защищённости и требуемых мер Служба информационной безопасности по каждому пункту реестра определяет уровень защищённости ИСПДн и набор организационных и технических мер защиты, формирует акт с мотивацией уровня и привязкой мер к системе. Результат на выходе: акт определения уровня защищённости по каждой ИСПДн.
4. Согласование содержимого Перечня с подразделениями и юристами Юридическая служба и ответственные подразделения проверяют реестр и акты определения уровня защищённости на соответствие требованиям обработки ПДн и внутренним обязанностям. Результат на выходе: свод замечаний и согласованная редакция Перечня ИСПДн.
5. Утверждение Перечня приказом и регистрация локального акта Руководитель утверждает окончательную редакцию Перечня ИСПДн приказом организации; приказ регистрируется в журнале учёта локальных нормативных актов. Результат на выходе: Приказ об утверждении Перечня ИСПДн и запись в журнале учёта локальных актов.
6. Ввод в действие и контрольная проверка комплекта документов Ответственный за организацию обработки вместе с ИБ проводит контрольную проверку соответствия Перечня и сопутствующих документов требованиям. В папку для проверяющего кладут: приказ об утверждении, Реестр ИСПДн, акты определения уровней защищённости, журнал регистрации. Результат на выходе: акт ввода в действие и протокол контрольной проверки.

09 Актуализация

Когда обновлять Перечень ИСПДн

Перечень ИСПДн обновляют при событиях, которые меняют состав, размещение или условия обработки персональных данных. Правки оформляют локальным актом и/или приказом руководителя, запись должна однозначно отражать роль системы и ответственных.

Подключён новый сервис, обрабатывающий ПДн CRM, облачные хранилища, сервисы рассылок, мессенджеры и другие решения, которые получают или передают ПДн. Система вносится в перечень до начала фактической обработки; указывают назначение, категории данных и ответственных. Внести строку в перечень с назначением, категорией данных и ответственным, при необходимости подготовить дополнение к локальным актам или приказ.
Смена места размещения или провайдера Переезд на другой сервер, перевод в облако или смена провайдера может повлиять на локализацию баз и требования к уровню защищённости; изменяется поле размещения и сопутствующие характеристики ИСПДн. Обновить графу размещения, оценить соответствие требованиям локализации и уровням защищённости, согласовать изменения с ИБ и юридическим отделом.
Появился подрядчик или аутсорсер с доступом к ПДн Передача обслуживания или обработки внешней организации требует отразить в перечне исполнителя, объём доступа и условия обработки по договору; это влияет на ответственность и контроль доступа. Зафиксировать в перечне организацию-исполнителя, объём доступа и ссылку на договор, назначить лицо, контролирующее исполнение условий по защите.
Система выведена из эксплуатации или удалена Отключённый или списанный сервис удаляют из перечня только после решения судьбы содержащихся в нём ПДн: перенос, архивирование или уничтожение должны быть документально оформлены. Оформить акт уничтожения или протокол передачи данных, обновить перечень и приложить ссылку на соответствующий документ.
Инцидент безопасности или изменение требований регулятора Утечка, несанкционированный доступ или официальное изменение требований к уровню защиты данных могут изменить состав и характеристики ИСПДн; это требует пересмотра перечня и мер защиты. Инициировать пересмотр перечня, определить дополнительные меры защиты и привести локальные акты и приказы в соответствие с новыми требованиями.

10 Проверка

Инспектор проверит

Документы и материалы проверки в части Перечня информационных систем персональных данных, включая доказательства утверждения, учёта, классификации уровней защищённости и порядка обновления.

Вопрос 01 «Предъявите приказ об утверждении Перечня информационных систем персональных данных и сопроводительные документы.»
Вопрос 02 «Предъявите документы, подтверждающие полноту учёта всех используемых ИСПДн.»
Вопрос 03 «Предъявите материалы по определению уровней защищённости и применённым мерам защиты для каждой ИСПДн.»
Вопрос 04 «Предъявите документы, подтверждающие места и условия хранения персональных данных граждан РФ.»
Вопрос 05 «Предъявите порядок внесения изменений в Перечень и записи о последних изменениях.»

Инспектор при проверке, может запросить:

приказ об утверждении Перечня информационных систем персональных данных, текст Перечня в утверждённой редакции, запись о вводе в действие (распоряжение или акт)
журнал учёта информационных систем персональных данных, реестр сервисов с указанием типа (локальный, облачный), таблица со сведениями об ответственных лицах и датах последнего обновления
матрица уровней защищённости ИСПДн, акты классификации или приказ о присвоении уровней, перечень организационно-технических мер защиты, ссылка на нормативы по требованиям к уровням защищённости
реестр баз данных и хранилищ с указанием географии хранения и ответственных, документы о расположении серверных площадок и условиях хранения данных граждан РФ
локальный регламент или порядок обновления Перечня с ответственными и триггерами для пересмотра, протоколы изменений, приказы о внесении изменений

11 Экспертная позиция

Учет ИСПДн: типичные пробелы и как их закрыть

Частая ошибка - фиксировать в Перечне только «основные» боевые сервисы и не включать тестовые среды, резервные копии, аналитические конвейеры и облачные сервисы третьих сторон. Это ведёт к незадекларированным точкам доступа, неверной оценке уровня защищённости и пробелам в управлении правами и аудитом. Практический прием - завести для каждой записи обязательные поля: владелец, назначение обработки, категории ПДн, местоположение данных, уровень защищённости, список подрядчиков и способы доступа; связать Перечень с процедурами приёмки сервисов и изменениями в CMDB; ввести журнал изменений с отметкой ответственного и подтверждающими документами.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы по Перечню информационных систем персональных данных

Это обязательный внутренний документ, который фиксирует все информационные системы, используемые организацией для обработки персональных данных. Перечень служит основой для учета систем, назначения требований по защищённости и построения локальных актов и процедур. Документ также нужен для подготовки к проверкам и внутреннего контроля.

Заказать Перечень ИСПДн и комплект локальных актов

Перечень ИСПДн - обязательный внутренний документ, фиксирует все информационные системы организации, используемые для обработки персональных данных. Закажите подготовку перечня в комплекте локальных нормативных актов, включающем: приказ об утверждении, реестр ИСПДн с классификацией и метаданными, журнал изменений, шаблон регламента обновления, образцы записей подтверждения доступа, URL-реестр, скриншоты конфигураций и логи подключения. Опция: адаптация под облачные сервисы и сопровождение при изменении состава ИСПДн или требований законодательства.

Заказать Перечень ИСПДн в комплекте

Перечень информационных систем персональных данных (ИСПДн)

Перечень информационных систем персональных данных (ИСПДн)

Ответственность по ч. 1 ст. 13.11 КоАП РФ за нарушения, связанные с Перечнем ИСПДн

Как ещё называют этот документ

Чеклист содержимого Перечня ИСПДн

Перечень информационных систем персональных данных (ИСПДн) - область применения

Нормативы, применимые к Перечню информационных систем ПДн

Связанные документы и материалы

Связанные документы

Шаги внедрения Перечня информационных систем персональных данных (ИСПДн)

Когда обновлять Перечень ИСПДн

Инспектор проверит

Учет ИСПДн: типичные пробелы и как их закрыть

Частые вопросы по Перечню информационных систем персональных данных

База знаний содержит 268 документов

Заказать Перечень ИСПДн и комплект локальных актов

Скачайте каталог решений с ценами под вашу нишу и вдохновитесь идеями