Приказ о доступе лиц в помещения с СКЗИ: требования

Статус обязательный документ при эксплуатации помещений с СКЗИ и специализированных рабочих местах
Основание п. 4.4 ТТ ФСБ № 149/6/6-622, п. 5 приказа ФСБ № 378; пп. 62-66 приказа ФАПСИ № 152; ст. 19 152-ФЗ
Публичность внутренний документ, не подлежит публичному обнародованию
Кто утверждает утверждает руководитель организации, возможна делегирование полномочий в пределах внутренних процедур
Кто устанавливает правила допуска ответственный пользователь или ответственное лицо за организацию обработки определяет режим допуска в рабочее и нерабочее время
Область применения помещения, где установлены, хранятся или обслуживаются СКЗИ, включая серверные, шкафы криптозащиты и специализированные рабочие места
Обновлено июль 2026

01 Назначение

Приказ о доступе лиц в помещения с СКЗИ

Кому приказ нужен, какие помещения охватывает и какие правила включить при утверждении

Назначение и область применения. Приказ фиксирует порядок допуска в помещения, где установлены, хранятся или обслуживаются средства криптографической защиты информации (СКЗИ): серверные комнаты, шкафы криптозащиты, специализированные рабочие места и смежные технические зоны. Документ служит основанием для оформления пропусков, сопровождения посетителей и разграничения доступа в рабочее и нерабочее время; применяется ко всем подразделениям, эксплуатирующим СКЗИ и к лицам, которым поручена обработка защищаемой информации.

Кто утверждает и кто устанавливает режим допуска. Приказ утверждает руководитель организации; полномочия на подписание могут быть делегированы в рамках внутренних процедур. Правила допуска в рабочее и нерабочее время устанавливает ответственный пользователь или иное ответственное лицо за организацию обработки; при этом лицо, которому поручена обработка, обязано соблюдать установленные требования и режимы доступа.

Кто и при каких условиях допускается в помещения с СКЗИ. Допуск в такие помещения предоставляется только определённым категориям лиц: пользователям с соответствующими полномочиями, ответственному пользователю, оператору или иным лицам, специально уполномоченным приказом. Вскрывать помещения и проводить операции с оборудованием вправе только уполномоченные лица; обслуживание и смена ключей должны проводиться при отсутствии недопущенных лиц и с соблюдением процедур сопровождения и контроля доступа. Для спецпомещений режим допуска согласуется с органом криптозащиты при наличии требований такого согласования.

Оформление, учёт доступа и типичные ошибки при внедрении. Приказ должен определять минимальный комплект внутренних регламентов: реестр допущенных лиц, форму распоряжения о допуске, правила сопровождения посетителей, порядок выдачи и возврата ключей/карт, требования к обслуживанию и смене ключей. Практические ошибки при внедрении: отсутствие реестра и журнала входа, размытые критерии для допуска в нерабочее время, допуск сторонних лиц без сопровождения, хранение ключей и карт у посторонних сотрудников. В тексте приказа укажите триггеры для пересмотра правил - изменение оборудования, инцидент безопасности, требование проверки со стороны уполномоченных органов - и ответственных за обновление.

Раскрыть полностью

02 Ответственность

Ответственность за нарушения правил допуска в помещения с СКЗИ

ч. 13 ст. 13.11 КоАП РФ, утечка данных 10 000 - 100 000 субъектов

Юридическое лицо 5 000 000 - 10 000 000 ₽
Должностное лицо 300 000 - 500 000 ₽
Физическое лицо (гражданин) 200 000 - 300 000 ₽

Отсутствие или ненадлежащее исполнение приказа о порядке допуска в помещения с СКЗИ повышает риск привлечения по ч. 13 ст. 13.11 КоАП РФ при массовой утечке (10 000 - 100 000 субъектов). Типичные ошибки операторов: незадокументированные правила допуска в нерабочее время, отсутствие регистрации входа и сопровождения, допуск сервисного персонала при наличии недопущенных лиц, отсутствие контроля при обслуживании и смене ключей.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Набор близких названий обычно отражает разный фокус документов: этот приказ формирует список лиц и условия их допуска в помещения, где установлены или обслуживаются СКЗИ. Он отличается от общего порядка режима помещения и от технических процедур по обслуживанию ключей.

Приказ о допуске лиц в помещения со СКЗИ
Приказ о перечне лиц, допущенных в помещения со СКЗИ
Порядок допуска в помещения со СКЗИ
Правила сопровождения подрядчиков в режимных помещениях
Порядок допуска в серверные и шкафы криптозащиты
Журнал посещений помещений со СКЗИ
Реестр лиц, допущенных к обслуживанию СКЗИ
Регламент допуска в нерабочее время в помещениях со СКЗИ

04 Обязательное содержание

Чеклист для приказа о доступе в помещения с СКЗИ

Чеклист разделов и элементов приказа, достаточных для подтверждения установленного режима доступа в комнаты и рабочие места со средствами криптографической защиты информации.

Утверждение и реквизиты Наличие указания лица, утвердившего приказ, даты утверждения и реквизитов; указание на возможность делегирования полномочий в рамках внутренних процедур организации.
Область применения Перечень помещений и мест, к которым применяется приказ, например серверные, шкафы криптозащиты и специализированные рабочие места, с указанием границ ответственности за каждое место.
Роли и ответственность Таблица ролей с полномочиями и обязанностями: руководитель организации, ответственный пользователь, оператор, допускаемые пользователи и подрядчики, а также порядок установления режима доступа ответственным пользователем.
Правила допуска в рабочее и нерабочее время Правила доступа по режимам дня, порядок оформления допуска вне рабочее время, требования к сопровождению и контроля при допуске в нерабочие часы, а также условия доступа обслуживающего персонала.
Порядок выдачи и прекращения допусков Критерии и документы для выдачи допуска, подтверждения прав доступа, порядок аннулирования при смене статуса сотрудника или завершении работ, указание ответственных за оформление и хранение записей о допусках.
Обслуживание, ремонт и смена ключей Процедуры проведения техобслуживания и смены криптографических ключей, требование отсутствия недопущенных лиц при работах, порядок доступа обслуживающего персонала и регистрации работ.
Учет и контроль доступа Механизмы учета входов и выходов, журналы посещений или электронные логи, требования к хранению записей и используемым средствам контроля, фиксация исключительных и аварийных допусков.

05 Применимость

Кому и в каких случаях нужен приказ о допуске в помещения с СКЗИ

Контур применимости приказа: кто должен иметь документ, какие помещения и события делают его обязательным, когда требуются дополнительные согласования. Кратко и по факту, без публичного обнародования.

Организации, эксплуатирующие помещения с СКЗИ Приказ обязателен для юридических лиц и подразделений, которые эксплуатируют, хранят или обслуживают средства криптографической защиты информации; документ фиксирует правила допуска и ответственность внутри организации.
Когда приказ считается обязательным При наличии помещений или рабочих мест, где установлены или хранятся СКЗИ, а также при выполнении операций, связанных с их обслуживанием и сменой ключей; в таких случаях требуется документированное правило допуска и режим доступа.
Область применения по типу помещений Серверные комнаты, шкафы и стойки с криптооборудованием, специализированные рабочие места операторов и иные помещения, где размещены или обслуживаются СКЗИ; при необходимости приказ ограничивается конкретными помещениями и списком допущенных лиц.
Кто утверждает и кто устанавливает режим допуска Утверждение приказа происходит руководителем организации с возможной делегированием полномочий по внутренним процедурам; режим допуска в рабочее и нерабочее время устанавливает ответственный пользователь или ответственное лицо за организацию обработки.
Особые требования при обслуживании и смене ключей Работы по обслуживанию СКЗИ и смене ключей должны выполняться в условиях отсутствия недопущенных лиц и в соответствии с регламентом допуска, который закреплён в приказе.
Согласование режима для спецпомещений и взаимодействие с органом криптозащиты Для специальных помещениях режим допуска и меры безопасности могут требовать согласования с органом криптозащиты; приказ отражает результаты такого согласования и требования по защите от неконтролируемого проникновения.
Когда приказ не подходит и нужны другие документы Приказ не обязателен для помещений без СКЗИ; при наличии дополнительных регламентов по защите или классификации информации оформляются отдельные документы, дополняющие или заменяющие приказ.

06 Нормативная база

Нормативная база для приказа о доступе в помещения с СКЗИ

ст. 19 152-ФЗ обязывает применять организационные и технические меры защиты персональных данных; для приказа это означает закрепить режимы доступа, обязанности ответственных лиц, порядок контроля и требования к защите СКЗИ и обрабатываемых данных
приказ ФСБ № 378, п. 5(а) и п. 5(в) устанавливает режим, препятствующий неконтролируемому проникновению и пребывания лиц, и требует утверждения перечня лиц с доступом руководителем; приказ о доступе должен фиксировать критерии допуска, форму утверждения списков и меры физической защиты помещений с СКЗИ
приказ ФАПСИ № 152, пп. 62 - 66 регламентирует режим спецпомещений пользователей и необходимость согласования режимов с органом криптозащиты; приказ должен учитывать требования согласования при устройстве и эксплуатации помещений с СКЗИ и описывать порядок взаимодействия с органом
ТТ ФСБ № 149/6/6-622, п. 4.4 предписывает, что правила допуска в рабочее и нерабочее время устанавливает ответственный пользователь; приказ должен четко распределять полномочия ответственного пользователя, механизмы делегирования и алгоритмы применения правил в разных режимах
ТТ ФСБ № 149/6/6-622, п. 4.11 ограничивает право вскрывать помещения только пользователями, ответственным пользователем или оператором; приказ должен перечислить лица с таким правом, условия вскрытия и требования к документированию операций вскрытия
ТТ ФСБ № 149/6/6-622, п. 4.12 требует проводить обслуживание и смену ключей в отсутствии недопущенных лиц; приказ должен регламентировать порядок подготовки работ по обслуживанию СКЗИ, порядок контроля присутствующих и способы фиксации обстоятельств работ
ТТ ФСБ № 149/6/6-622, п. 1.3 уточняет, что требования ТТ обязательны также для лиц, которым поручена обработка или услуги по безопасности; приказ должен содержать требования к подрядчикам и внешним исполнителям по допуску, ответственности и контролю при работах в помещениях с СКЗИ
ч. 13 ст. 13.11 КоАП РФ описывает административную ответственность за массовую утечку персональных данных; приказ о доступе должен предусматривать порядок фиксации нарушений доступа и взаимодействия при инцидентах, чтобы снизить риск наступления ответственности

Образец документа

Приказ о доступе лиц в помещения с СКЗИ

Обязательный внутренний приказ для организаций, эксплуатирующих помещения со СКЗИ. Устанавливает режимы допуска в рабочее и нерабочее время, порядок формирования списка допущенных лиц, сопровождения уборки и подряд...

Можем адаптировать под Вас, звоните: 8 800 333 8 222

Или напишите, мы сейчас онлайн

Скачайте БЕСПЛАТНО и найдите внутри:

Шаблон документа с понятной структурой
Формулировки и поля для заполнения под вашу ситуацию
Места, где нужно учитывать реальные процессы Вашей организации
Возможность самостоятельно доработать документ
Можно разобраться самостоятельно, а можно заказать адаптацию документа под вашу организацию

Скачать образец документа

08 Внедрение

Шаги внедрения приказа о допуске лиц в помещения с СКЗИ

Последовательность от принятия решения до рабочего контура приказа и первой проверки соответствия. Каждым шагом назначается ответственный и фиксируется конкретный документ на выходе.

1. Сбор требований и определение объема Сбор сведений о перечне помещений со СКЗИ, режимах эксплуатации и текущих практиках допуска; определение триггеров допуска и перечня ответственных ролей. Результат на выходе - реестр помещений с СКЗИ и техническое задание на проект приказа 'О допуске лиц в помещения с СКЗИ'.
2. Подготовка проекта приказа и приложений Разработка текста приказа и приложений: перечень помещений, режимы доступа в рабочее и нерабочее время, шаблоны карточки допущенного, форма реестра и инструкция по обслуживанию СКЗИ. Результат на выходе - проект приказа с приложениями в формате для подписания.
3. Согласование и утверждение приказа Проведение внутреннего согласования с ответственными подразделениями и, при необходимости, согласование режима с органом криптозащиты; подписание приказа руководителем организации или лицом с делегированными полномочиями. Результат на выходе - утвержденный приказ 'О допуске лиц в помещения с СКЗИ' с регистрационной записью.
4. Внедрение процедур допуска, учета и обслуживания Введение в действие механизмов выдачи допусков, ведения реестра допущенных лиц, оформления карточек и журнала учета входа и выхода; утверждение порядка допуска внешних подрядчиков и правила обслуживания СКЗИ, включая условие отсутствия недопущенных лиц при работах. Результат на выходе - реестр допущенных лиц, журнал учета доступа, инструкции по обслуживанию и карточки допущенных.
5. Проверка соответствия и оформление результатов Проведение выборочной проверки соответствия внедренных процедур приказу и требованиям безопасности, фиксация замечаний и корректирующих мер. Результат на выходе - протокол проверки соответствия и перечень мероприятий по устранению несоответствий, переданный в дело локальных нормативных актов.

09 Актуализация

Поводы для пересмотра и переиздания приказа о допуске в помещения с СКЗИ

Список допущенных поддерживают одновременно кадровые и хозяйственные записи, при этом изменения в хозяйственном учёте происходят чаще. При каждом событии следует принять решение о правке приказа или приложений, назначить ответственного и зафиксировать комплект документов для первой проверки.

Смена подрядчика по уборке или охране Новый подрядчик приносит новых людей с потенциальным доступом. До первого выхода бригады порядок сопровождения и условия допуска вносятся в договор и в приложение приказа, список допущенных синхронизируется с хозяйственным учётом. обновить приложение «список допущенных», внести требование сопровождения в договор, выдать пропуска и провести инструктаж
Увольнение, перевод или смена статуса сотрудника При расторжении или переводе допуск прекращается в день события, ключи и пропуска подлежат сдаче под расписку. Проверять нужно и кадровый список, и перечень допущенных к конкретным помещениями, чтобы исключить «висячие» записи. снять допуск в приказе и приложении, принять пропуск и ключи под расписку, зафиксировать запись в журнале доступа
Плановые работы, монтаж или ремонт в помещении Ремонтные и монтажные работы меняют порядок доступа на период работ. Криптосредства по возможности выносятся в хранилище, временный порядок допуска оформляется отдельно и содержит сопровождающих и ограничения по времени. выпустить временный порядок доступа, назначить сопровождающих, зафиксировать перемещение СКЗИ и ограничения по времени работ
Аварийное вскрытие, сработка сигнализации или подозрение на компрометацию После нештатного вскрытия или тревоги оценивают риск компрометации ключей и контроля доступа, составляют акт и при необходимости корректируют процедуру аварийного вскрытия и список ответственных за хранение ключей. провести осмотр, оформить акт о вскрытии, ревизовать ключи и журналы доступа, при необходимости отозвать или пересмотреть допуски
Изменение режима работы организации или отдельных помещений Переход на сменный график, ввод ночных дежурств или изменение часов приёма требуют пересмотра правил доступа в нерабочее время и подтверждения ответственности за сопровождение и контроль. пересмотреть порядок доступа в нерабочее время, обновить перечни допущенных и расписания сопровождения

10 Проверка

Проверка приказа о допуске в помещения с СКЗИ

Документы и материалы проверки, которые покажут порядок установления и исполнения режима допуска в помещениях, где установлены или обслуживаются СКЗИ.

Вопрос 01 «Предъявите приказ, устанавливающий правила допуска в помещения с СКЗИ.»
Вопрос 02 «Предъявите документы, подтверждающие, что доступ имеют только уполномоченные лица.»
Вопрос 03 «Покажите регламентацию допуска в нерабочее время и меры против неконтролируемого проникновения.»
Вопрос 04 «Предъявите подтверждения соблюдения требований при обслуживании и смене ключей СКЗИ.»
Вопрос 05 «Предоставьте меры контроля за входом и пребывание в специализированных помещениях с СКЗИ.»

Инспектор при проверке, может запросить:

утверждённый приказ о порядке допуска в помещения с СКЗИ с подписью руководителя и датой, приложения с перечнем помещений и должностями ответственных
реестр уполномоченных лиц с указанием роли и основания допуска, приказы о назначении ответственных пользователей или операторов, записи журналов учёта входа
регламент допуска в нерабочее время, схема контроля доступа и правила обхода/вскрытия помещений, журналы посещений за период нерабочего времени
инструкции по обслуживанию и смене ключей, записи о проведённых работах в журнале обслуживания, отметки о недопущении посторонних лиц при операциях с ключами
планы зон доступа и схемы расположения СКЗИ, логи системы контроля доступа и видеонаблюдения за проверяемый период, инструкции по реагированию при нарушении режима

11 Экспертная позиция

Риск формального приказа и практический контроль доступа

Основной риск - когда приказ существует формально, но режим допуска не работает на практике: роли не разграничены, порядок вскрытия и обслуживания не зафиксирован, доступ в нерабочее время не регламентирован. Практический приём: назначьте ответственного пользователя, четко разделите функции оператора и пользователя, опишите порядок вскрытия помещений и обслуживания СКЗИ с требованием выполнения работ при отсутствии недопущенных лиц, введите регулярный пересмотр списка допущенных лиц и процедуру экстренного доступа с обязательной регистрацией событий.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы по приказу о доступе в помещения с СКЗИ

Приказ утверждает руководитель организации. Делегирование полномочий допускается в пределах внутренних процедур организации и должно быть зафиксировано распорядительным документом.

Заказать приказ о допуске в помещения с СКЗИ

Адаптация и подготовка внутреннего приказа о допуске в помещения, где установлены или обслуживаются СКЗИ. В комплекте: проект приказа, журнал учета допусков, положение о режимах доступа, образцы распоряжений и инструкции для ответственных. Поможем собрать комплект доказательств для проверок, включая приказ, журналы, скриншоты и логи доступа, и сопровождать внедрение локальных нормативных актов.

Скачать образец Заказать приказ и комплект локальных актов

Приказ о доступе лиц в помещения с СКЗИ