Главная

План мероприятий по защите персональных данных в ИСПДн

Внутренний документ, утверждаемый руководителем, который фиксирует набор организационных и технических мер для защиты персональных данных в ИСПДн с конкретными сроками и назначенными ответственными. Составляет и ведёт служба информационной безопасности или ответственное лицо; при проверке оценивают полноту мер по требованиям уровней защищённости, наличие записей о внедрении и разграничения доступа; план отличается от плана внутреннего контроля фокусом на реализации защитных мер.

Статус обязателен при организации обработки персональных данных в ИСПДн
Основание ч. 1 ст. 18.1; ч. 2 ст. 19 152-ФЗ
Публичность внутренний документ, доступ ограничен сотрудникам и ответственным лицам
Кто утверждает руководитель организации
Дата последнего обновления июль 2026
Периодичность пересмотра пересмотр не реже раза в год
Ответственный ответственный за организацию обработки персональных данных
Область действия применяется к ИСПДн и процессам обработки ПДн, описанным в документе

01 Назначение

План мероприятий по защите персональных данных в ИСПДн

Руководство по содержанию, ролям и ключевым этапам внедрения в организации

Назначение и область применения. Документ фиксирует набор организационных и технических мероприятий для обеспечения защиты персональных данных в каждом ИСПДн организации. Применяется к всем системам и реестрам, отнесённым к ИСПДн; утверждается руководителем и имеет ограниченный доступ. Пересмотр проводится по плану и при существенных изменениях в системах или регламенте обработки.

Состав плана и ответственные лица. В плане указывают перечень мероприятий, план-график работ, реестр ИСПДн, карту разграничения доступа и журналы учёта действий. Конкретные документы - приказ об утверждении, инструкции для ответственных и регламенты взаимодействия. Роли: руководитель утверждает план, ответственный за организацию обработки разрабатывает и контролирует выполнение, служба информационной безопасности реализует технические меры и взаимодействует с подрядчиками.

Ключевые мероприятия и последовательность внедрения. Типовая последовательность: инвентаризация ИСПДн и классификация данных, определение уровня защищённости, подбор и внедрение средств контроля доступа и аутентификации, настройка журналирования и резервного копирования, тестирование и приёмка. Для каждой операции фиксируют ответственного, срок, критерии завершения и механизм подтверждения выполнения мер.

Типичные ошибки, триггеры пересмотра и контроль исполнения. Частые ошибки: отсутствие назначенного ответственного, неопределённые сроки и критерии, несвязь мер с уровнями защищённости, отсутствие журналов и регистров доступа. Триггеры пересмотра - инцидент с персональными данными, изменение объёма или состава обрабатываемых данных, ввод нового ПО или инфраструктуры. Контроль исполнения организуют через отчёты по плану, периодические проверки и независимый аудит.

Раскрыть полностью

02 Ответственность

Административная ответственность за невыполнение предписаний по Плану мероприятий в ИСПДн

ч. 1 ст. 19.5 КоАП РФ, невыполнение в срок законного предписания

Юридическое лицо 10 000 - 20 000 ₽
Должностное лицо 1 000 - 2 000 ₽ или дисквалификация до 3 лет
Физическое лицо (гражданин) 300 - 500 ₽

Статья применяется при неисполнении в установленные сроки законных предписаний контролирующих органов, в том числе предписаний об утверждении, обновлении или реализации Плана мероприятий по защите ПДн в ИСПДн. Типичные нарушения, ведущие к санкциям - отсутствие подтверждающих записей об утверждении и внедрении плана, несвоевременный пересмотр, непредставление ответов на предписания. Для уменьшения риска храните приказ об утверждении, протоколы внедрения, журналы доступа и логи работ по внедрению мер, описание исполнителей и сроки работ. Отдельно возможна ответственность по ст. 13.11 КоАП РФ за иные нарушения требований законодательства о персональных данных.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Сбор устоявшихся названий и поисковых запросов для внутреннего плана мер по защите персональных данных в ИСПДн.

План мероприятий по защите персональных данных в ИСПДн
План внедрения мер защиты ИСПДн
План мер по обеспечению безопасности ПДн в ИСПДн
График внедрения мер защиты ПДн
План мероприятий по устранению нарушений обработки ПДн
План действий по обеспечению доступа и регистрации операций с ПДн
Шаблон плана мероприятий по защите ПДн
План мероприятий по результатам модели угроз
План мероприятий: сроки и ответственные
Реестр мер защиты ИСПДн

04 Обязательное содержание

Чеклист содержания Плана мероприятий

Чеклист основных разделов и элементов, которые должны быть в Плана мероприятий по защите персональных данных в ИСПДн, чтобы документ был применим на практике и понятен проверяющим.

Утверждение и реквизиты утверждённая редакция Плана с подписью руководителя, дата утверждения, указание ответственного лица и отметка о статусе внутреннего документа и ограничениях доступа.
Перечень организационных и технических мер список конкретных мер с кратким описанием, приоритетом внедрения и ожидаемым результатом; привязка мер к уровням защищённости ИСПДн при необходимости.
Роли и ответственность таблица ролей с назначенными ответственными исполнителями и их обязанностями по реализации каждого мероприятия, а также контактами для оперативной координации.
График исполнения и контрольные точки план-график с датами выполнения, контрольными точками и критериями готовности задач, механизмом эскалации при срыве сроков и способом фиксации результата.
Правила доступа и регистрация действий описание правил разграничения прав доступа в ИСПДн, процедуры выдачи и отзыва учетных записей, требования к логированию и учёту действий с персональными данными.
Проверка исполнения и подтверждающие материалы перечень оправдательных записей и документов по каждому мероприятию - приказы, журналы, отчёты тестирования, логи и сроки хранения таких подтверждений; указание формата и ответственных за хранение.
Периодичность пересмотра и актуализация правило пересмотра Плана с указанием минимальной периодичности и триггеров для внепланового обновления, а также порядок внесения изменений и доведения их до исполнителей.

05 Применимость

Кому и когда нужен План мероприятий по защите ПДн в ИСПДн

Краткие критерии применимости Плана мероприятий: кто должен иметь документ, при каких обстоятельствах он обязателен и какие документы применяются рядом с ним.

Кому предназначен План План нужен оператору и его структурным подразделениям, в которых развернута обработка персональных данных в ИСПДн. В документе отражаются обязанности ответственных лиц, исполнителей и структур, задействованных в обеспечении защиты ПДн.
Когда документ обязателен Документ обязателен при организации обработки персональных данных в информационных системах персональных данных (ИСПДн); План формализует организационные и технические меры, подтверждающие исполнение обязанностей оператора.
Что входит в границы применения Плана План покрывает перечень организационных и технических мер защиты, правила доступа и регистрации действий с данными, распределение ролей и ответственности, а также требования к обеспечению присвоенного уровня защищённости ИСПДн.
Кто утверждает и каков уровень доступа План утверждается руководителем организации. Это внутренний документ с ограниченным доступом для сотрудников и ответственных лиц; его реквизиты и место хранения фиксируются в реестре локальных актов.
Периодичность пересмотра и типовые триггеры План пересматривают не реже раза в год и при ключевых изменениях: внесении изменений в ИСПДн, смене поставщиков или сервисов, после инцидентов безопасности, а также по результатам внешних проверок.
Когда стоит применять другие документы Если обработка персональных данных не ведётся в ИСПДн, или требования уже подробно описаны в других локальных актах и Политике по защите ПДн, целесообразно использовать соответствующие документы из комплекта. Для требований по уровням защищённости и отдельным мерам смотрите нормативы по уровням и требованиям к средствам аутентификации.

06 Нормативная база

Нормативная база для Плана мероприятий по защите ПДн в ИСПДн

ч. 1 ст. 18.1 152-ФЗ План служит документальным подтверждением того, что оператор определил и реализовал необходимые меры защиты; план должен содержать обоснование выбора мер, ответственных за исполнение, сроки и механизм контроля их эффективности.
ст. 19 152-ФЗ Требование применять организационные и технические меры по результатам определения угроз и уровня защищённости; план должен ссылаться на результаты анализа угроз и описывать, какие меры направлены на снижение конкретных рисков.
ч. 2 ст. 19 152-ФЗ Установлены правила доступа и требования к регистрации действий с персональными данными; в плане указывают порядок и инструменты контроля доступа, процедуры ведения журналов и ответственных за их сохранность и проверку.
ПП РФ № 1119 Определяет уровни защищённости и обязательный состав мер для каждого уровня; план должен фиксировать назначенный уровень ИСПДн и сопоставлять реализованные меры с требуемым составом для этого уровня.
приказ ФСТЭК № 21 Содержит подробные меры по группам (например, управление средствами аутентификации); план должен распределять меры по группам, указывать конкретные технические и организационные средства и способы их внедрения.
ч. 1 ст. 19.5 КоАП Невыполнение законного предписания может повлечь административную ответственность; план должен предусматривать процедуру реагирования на предписания контролирующих органов и хранение доказательств устранения нарушений.

08 Внедрение

Внедрение плана мероприятий по защите персональных данных в ИСПДн

Последовательные шаги от решения о необходимости плана до рабочего контура и первой проверки. В каждом шаге указаны ответственный и конкретный выходной документ для подкрепления исполнения и последующей проверки.

1. Принятие решения и формирование рабочей группы Руководитель организации принимает решение о подготовке плана и издаёт приказ о создании рабочей группы. В приказе фиксируются состав, полномочия, сроки и контактные лица. На выходе - «Приказ о создании рабочей группы по защите персональных данных в ИСПДн».
2. Обследование ИСПДн и определение уровня защищённости Рабочая группа совместно со службой ИБ проводит обследование ИСПДн: инвентаризация компонентов, проверка границ обработки, сбор журналов и оценка текущих мер. Результат - «Акт обследования ИСПДн» и «Акт определения уровня защищённости».
3. Разработка перечня мер, сроков и ответственных На основе результатов обследования формируется детализированный перечень организационных и технических мер с назначением ответственных и сроков исполнения. На выходе - «Проект плана мероприятий» и «Реестр мер защиты ПДн в ИСПДн».
4. Утверждение плана и доведение до исполнителей Руководитель организации утверждает план приказом. После утверждения план и приказ рассылаются ответственным лицам, фиксируется факт ознакомления, формируется список рассылки и место хранения. На выходе - «Приказ об утверждении плана мероприятий» и реестр рассылки с подписями.
5. Внедрение мер и оперативный контроль выполнения Ответственные исполняют меры согласно реестру; служба ИБ и подразделения эксплуатации фиксируют выполнение в журнале и оформляют акты выполненных работ. На выходе - «Журнал регистрации выполнения мер» и комплект актов по каждому направлению работы.
6. Проверка эффективности, корректировка и периодический пересмотр Внутренний контролер или ответственный за организацию обработки проводит первую проверку результата внедрения, формирует «Отчет внутреннего контроля по внедрению плана» и при необходимости оформляет «Акт корректировочных мероприятий». План пересматривается не реже раза в год и при изменении уровня защищённости.

09 Актуализация

Поводы для пересмотра и переиздания плана мероприятий

Конкретные события и изменения, при которых план мероприятий по защите персональных данных в ИСПДн подлежит проверке, актуализации или переутверждению.

Изменение нормативных требований, влияющих на меры защиты ПДн Принятие, изменение или отмена правовых актов и официальных требований, затрагивающих организационные и технические меры защиты, требует пересмотра плана и подтверждения реализованных мер. Анализ изменений, корректировка плана, подготовка проекта приказа о переутверждении и уведомление ответственных лиц.
Ввод в эксплуатацию новой ИСПДн или существенная смена её конфигурации Запуск новой информационной системы персональных данных, масштабная миграция, подключение внешних систем или изменение требуемого уровня защищённости делает необходимой актуализацию мероприятий по защите и перечня контрольных мер. Провести обследование ИСПДн, пересчитать мероприятия по уровню защищённости, обновить план и утвердить изменения приказом.
Инцидент безопасности или выявленная утечка персональных данных Любое событие, подтверждающее неэффективность действующих мер защиты или нарушение регламентов доступа, требует оперативного пересмотра плана и внедрения корректирующих мероприятий. Провести расследование инцидента, зафиксировать выводы, внести корректировки в план и закрепить их приказом.
Смена состава сотрудников, ролей или правил доступа к ПДн Назначение новых администраторов, изменение бизнес-ролей, перераспределение прав доступа или введение новых способов аутентификации требуют пересмотра мероприятий по управлению доступом и регистрации действий с данными. Актуализировать мероприятия по управлению доступом, обновить перечень ответственных и провести инструктажы.
Плановый пересмотр в соответствии с паспортом документа Регулярная проверка актуальности плана в рамках внутреннего цикла документации, цель которой - подтвердить соответствие мер текущим рискам и распределение ответственности. Провести сверку плана с результатами проверок и обследований, подготовить протокол проверки и при необходимости внести изменения.

10 Проверка

Инспектор проверит

Документы и материалы проверки плана мероприятий по защите персональных данных в ИСПДн.

Вопрос 01 «Предъявите план мероприятий по защите персональных данных в ИСПДн и документ об его утверждении.»
Вопрос 02 «Какие мероприятия запланированы для реализации организационных и технических мер и как осуществляется контроль их исполнения?»
Вопрос 03 «Предоставьте подтверждения внедрения технических мер: управление доступом, аутентификация, резервное копирование.»
Вопрос 04 «Какие документы подтверждают соответствие уровня защищённости требованиям нормативных актов?»
Вопрос 05 «Кто назначен ответственным за выполнение плана и как фиксируются изменения и обновления плана?»

Инспектор при проверке, может запросить:

план мероприятий по защите персональных данных в ИСПДн; приказ руководителя об утверждении плана, подписанный и датированный
реестр мероприятий с указанием сроков и ответственных; отчёты о выполнении мероприятий и акты о завершении работ
журналы регистрации доступа и действий администраторов; реестр учётных записей и прав доступа; настройки и отчёты по резервному копированию
документы оценки соответствия уровней защищённости требованиям ПП РФ № 1119; акты или протоколы тестирования мер защиты
перечень ответственных лиц с приказами о назначении; протоколы пересмотра плана и запись о последнем обновлении (июль 2026)

11 Экспертная позиция

Практический риск при подготовке плана ИСПДн

Типовая ошибка - считать план формальным списком мер без привязки к конкретным рискам, исполнителям и доказательствам. Чтобы план был проверяем, включите матрицу: риск → мера → ответственный → критерий выполнения → набор доказательств и срок выполнения. Для ИСПДн отдельно опишите соответствие мероприятий требуемым уровням защищённости, процедуры учёта и регистрации доступа и правила хранения доказательств, это сократит время подтверждения исполнения при проверках.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы по Плану мероприятий по защите персональных данных в ИСПДн

План мероприятий по защите персональных данных в ИСПДн - внутренний план, в котором описаны организационные и технические меры для конкретной информационной системы. Он обязателен при организации обработки персональных данных в ИСПДн и служит доказательной базой принятых мер и правил доступа.

Заказать План мероприятий по защите персональных данных в ИСПДн

Обязательный внутренний документ для организации обработки персональных данных в ИСПДн. Закажите адаптацию плана под вашу систему: перечень организационных и технических мер с конкретными сроками и ответственными, проект приказа руководителя, журналы и регламенты доступа. В комплекте: пакет доказательств для проверок - приказ об утверждении, ссылки на ресурсы, скриншоты и логи доступа. Адаптация выполняется с учётом требований 152-ФЗ и профильных нормативных актов; предусмотрен годовой график пересмотра.

Заказать план в комплекте локальных нормативных актов

План мероприятий по защите персональных данных в ИСПДн

План мероприятий по защите персональных данных в ИСПДн

Административная ответственность за невыполнение предписаний по Плану мероприятий в ИСПДн

Как ещё называют этот документ

Чеклист содержания Плана мероприятий

Кому и когда нужен План мероприятий по защите ПДн в ИСПДн

Нормативная база для Плана мероприятий по защите ПДн в ИСПДн

Смежные документы, влияющие на содержание плана

Связанные документы

Внедрение плана мероприятий по защите персональных данных в ИСПДн

Поводы для пересмотра и переиздания плана мероприятий

Инспектор проверит

Практический риск при подготовке плана ИСПДн

Частые вопросы по Плану мероприятий по защите персональных данных в ИСПДн

База знаний содержит 268 документов

Заказать План мероприятий по защите персональных данных в ИСПДн

Скачайте каталог решений с ценами под вашу нишу и вдохновитесь идеями