Главная

Приказ о создании комиссии по определению уровня защищённости персональных данных

Кого включать в комиссию, какие полномочия и правила работы закрепить в приказе, и кто утверждает состав. В приказе фиксируют ответственного за организацию обработки или назначенное лицо, состав комиссии и критерии выбора уровня защищённости, это влияет на объём и стоимость работ и будет проверяться при надзоре.

Скачать образец документа

Статус обязателен при работе комиссией
Основание ч. 1 - 2 ст. 19 152-ФЗ; п. 13 - 17 и п. 17 ПП 1119; п. 2 ч. 1 ст. 18.1 152-ФЗ; приказ ФСТЭК № 21 от 18.02.2013
Публичность внутренний
Кто утверждает руководитель организации
Обновлено июль 2026
Ответственный ответственный за организацию обработки персональных данных или назначенное лицо
Контроль выполнения проверка соответствия требований к уровням защищённости, не реже раза в 3 года

01 Назначение

Приказ о создании комиссии по определению уровня защищённости персональных данных

Краткие указания по содержанию приказа, составу комиссии и практической работе при определении уровней защищённости

Зачем вводить приказ о комиссии. Приказ формализует полномочия и порядок работы комиссии, закрепляет ответственного за организацию обработки и регламентирует принятие решений о присвоении уровней защищённости. Приказ применяется при запуске новых обработок, изменениях в классификации данных и при плановых проверках защищённости.

Состав комиссии и роли. В приказе указывают должности участников, председателя и секретаря, порядок привлечения экспертов и порядок принятия решений. Рекомендуется прописать обязанность вести реестр решений комиссии и распоряжаться протоколами как локальными актами организации. Решение утверждает руководитель организации.

Порядок работы и критерии принятия решений. Опишите триггеры для созыва комиссии, входные документы (реестр обработок, классификация данных, оценка угроз) и методику оценки по уровням на основе типов угроз, категорий данных и числа субъектов. Зафиксируйте форму решения комиссии и срок исполнения принятых мероприятий.

График контроля, типичные ошибки и комплект приложений. Пропишите периодичность контрольных проверок и пересмотра решений; при отсутствии отдельных данных укажите порядок выборочной проверки. Частые ошибки - расплывчатые полномочия, отсутствие входных реестров и незакреплённые формы решений. К приказу приложите положение о комиссии, шаблон протокола, регистр обработок и оценку угроз.

Раскрыть полностью

02 Ответственность

Ответственность за нарушения требований защиты персональных данных, связанные с отсутствием/некачественным приказом о комиссии

ч. 6 ст. 13.12 КоАП РФ - нарушение требований о защите информации

Юридическое лицо 50 000 - 100 000 ₽
Должностное лицо 10 000 - 50 000 ₽
Физическое лицо (гражданин) 5 000 - 10 000 ₽

Отсутствие или формальная реализация приказа о создании комиссии повышает риск привлечения по ч. 6 ст. 13.12 КоАП РФ при выявлении нарушений организационных мер защиты персональных данных. Типичные ошибки - приказ не издан или оформлен формально, не назначено ответственное лицо, отсутствуют протоколы и решения комиссии, нет регламента порядка определения уровня защищённости и механизма контроля исполнения. Практический совет - в приказе закрепить состав и полномочия комиссии, порядок документооборота (протоколы, акты), назначение ответственных и механизм периодического контроля соответствия уровням защищённости.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Частые названия и поисковые запросы для приказа, которым учреждается комиссия для определения уровня защищённости персональных данных. Список помогает быстрее найти шаблоны и проверить, не использует ли организация устаревшую терминологию.

Приказ о создании комиссии по определению уровня защищённости ПДн
Приказ о назначении комиссии по определению уровня защищённости
Приказ о комиссии по определению уровня защищённости персональных данных
Приказ о комиссии по ПП 1119
Распоряжение о создании комиссии по уровню защищённости
Приказ о назначении комиссии по классификации ИСПДн
Приказ о комиссии по определению класса информационной системы
Образец приказа о создании комиссии по ПДн
Приказ о комиссии по определению УЗ ПДн
Кто определяет уровень защищённости персональных данных

04 Обязательное содержание

Чеклист содержимого приказа о создании комиссии

Чеклист разделов и элементов приказа, необходимых для работы комиссии по определению уровня защищённости персональных данных и для подтверждения соблюдения требований контрольно-надзорных органов.

Утверждение приказа и область действия Указаны утверждающий (руководитель организации), дата вступления в силу, зона применения приказа и перечень обработок, подпадающих под оценку комиссией.
Состав комиссии и функциональные роли Перечислены члены комиссии с указанием должностей, полномочий и лица, ответственного за организацию обработки персональных данных или назначенного представителя, а также порядок замены членов комиссии.
Критерии и параметры для присвоения уровня защищённости Описаны критерии определения уровня защищённости, включая тип угроз, категорию персональных данных и число субъектов, а также правила комбинирования этих параметров для выбора уровня.
Методика оценки и перечень мер защиты Прописан методический подход к оценке уровня и перечень организационных и технических мер, сопоставимых с базовыми требованиями ФСТЭК и статьёй 19 152-ФЗ.
Порядок документирования решений комиссии Установлены формы и обязательные записи: протоколы заседаний комиссии, акты определения уровня, приложения с расчётами и реестр принятых решений для последующей валидации и контроля.
Порядок контроля результатов и триггеры пересмотра Определён порядок контроля выполнения рекомендаций комиссии и условия пересмотра присвоенного уровня, с учётом требования о проведении контроля не реже чем раз в 3 года.
Взаимодействие с локальными актами и исполнителями Описана процедура приведения решений комиссии в действие через локальные акты оператора, порядок передачи результатов исполнителям и назначение ответственных за внедрение мер.

05 Применимость

Кому и когда нужен приказ о создании комиссии по определению уровня защищённости ПДн

Краткие указания, для каких организаций и в каких ситуациях издаётся приказ о создании комиссии по определению уровня защищённости персональных данных.

Обязательность документа Приказ обязателен при создании комиссии для присвоения уровня защищённости персональных данных: оформляет состав комиссии, её полномочия и порядок работы в пределах оператора.
Кому предназначен приказ Внутренний документ для оператора персональных данных, для ответственного за организацию обработки или назначенного лица; приказ утверждается руководителем организации и используется внутри юрлица.
События и триггеры для издания Приказ издаётся при первичном определении уровня защищённости, при изменении типа угроз, при смене категории обрабатываемых данных или при значительном изменении числа субъектов - то есть когда требуется пересмотр оценки уровня.
Связь с контрольными проверками и пересмотром Результаты работы комиссии и сам приказ подлежат пересмотру в рамках контрольных проверок; требования к контролю исполнения предусматривают периодичность проверок.
Границы применения и взаимодействие с другими локальными актами Приказ определяет рамки работы комиссии, но не заменяет локальные акты по обеспечению безопасности конкретных информационных систем; оператор обязан издавать локальные акты по вопросам обработки персональных данных.
Организационные варианты применения Варианты: отдельный приказ для каждой юридической единицы, либо единый приказ с разграничением полномочий по филиалам и подразделениям; в приказе целесообразно фиксировать порядок назначения ответственных и форму отчётности комиссии.

06 Нормативная база

Нормативная основа для приказа о создании комиссии

ст. 19 152-ФЗ Обязательство оператора принимать организационные и технические меры защиты. Для приказа о комиссии это означает обязанность документально определить уровень защищённости и обоснование выбранных мер на основе выводов комиссии.
п. 5 - 7 ПП 1119 Требование определить типы актуальных угроз обработки персональных данных; оператор самостоятельно выбирает применимые типы угроз. Комиссия должна формализовать перечень и обоснование применимых типов угроз при определении уровня защищённости.
п. 8 - 12 ПП 1119 Критерии классификации уровня защищённости: тип угроз, категория обрабатываемых данных, число субъектов. Приказ о создании комиссии должен закреплять применение этих критериев и порядок их оценки при присвоении уровня.
п. 13 - 16 ПП 1119 Перечень и объем требований для каждого уровня защищённости. Роль комиссии - соотнести конкретные требования к контролям и оформлять рекомендации и решения, которые лягут в основу локальных актов и технических требований.
п. 17 ПП 1119 Обязанность контролировать выполнение требований уровней защищённости не реже одного раза в три года. Приказ о создании комиссии должен предусматривать план проверок и ответственность за периодический пересмотр решений комиссии.
приказ ФСТЭК № 21 от 18.02.2013 Базовый набор технических и организационных мер в зависимости от уровня защищённости. Комиссия при определении уровня должна ссылаться на этот набор при подборе обязательных мер и формулировке требований к системам и процедурам.
п. 2 ч. 1 ст. 18.1 152-ФЗ Оператор обязан издавать локальные нормативные акты по вопросам обработки персональных данных. Приказ о создании комиссии является таким локальным актом, а решения комиссии служат основанием для внесения или изменения локальных актов и инструкций.

Образец документа

Приказ о создании комиссии по определению уровня защищённости персональных данных

Создаёт комиссию по определению уровня защищённости персональных данных в ИСПДн, утверждает её состав и устанавливает полномочия по оценке условий обработки, актуальных угроз и исходных данных для определения требуемого уровня защищённости

Можем адаптировать под Вас, звоните: 8 800 333 8 222

Или напишите, мы сейчас онлайн

Скачайте БЕСПЛАТНО и найдите внутри:

Шаблон документа с понятной структурой
Формулировки и поля для заполнения под вашу ситуацию
Места, где нужно учитывать реальные процессы Вашей организации
Возможность самостоятельно доработать документ
Можно разобраться самостоятельно, а можно заказать адаптацию документа под вашу организацию

Скачать образец документа

08 Внедрение

Шаги внедрения приказа о создании комиссии по определению уровня защищённости ПДн

План от решения о необходимости до рабочего контура и первой проверки. В каждом шаге указан ответственный и конкретный документ или запись на выходе.

1. Подготовка проекта приказа Ответственное лицо формирует проект приказа с составом комиссии, полномочиями, критериям оценки уровня защищённости и перечнем исходных документов. На выходе - файл «Проект приказа о создании комиссии» и реестр замечаний для руководителя.
2. Утверждение приказа руководителем Руководитель проверяет проект, подписывает и регистрирует приказ. На выходе - подписанный документ «Приказ о создании комиссии» с указанием ответственных и сроков вступления в силу.
3. Разработка положения и формализованных регламентов работы комиссии Ответственный готовит Положение о комиссии с регламентом заседаний, критериями оценки уровня защищённости, таблицами ролей и формами документов. На выходе - утверждённое приложение к приказу «Положение о комиссии по определению уровня защищённости ПДн».
4. Передача материалов и обучение членов комиссии Служба информационной безопасности и ответственное лицо обеспечивают передачу методики, модели актуальных угроз и шаблонов актов. На выходе - пакет материалов «Методика и шаблоны для комиссии» и протокол обучающего занятия.
5. Проведение заседания комиссии и составление акта Комиссия собирает материалы, оценивает угрозы и параметры обработки, фиксирует выводы. На выходе - «Акт определения уровня защищённости персональных данных» и протокол заседания, оформленные по положению.
6. Контроль исполнения и периодическая верификация результатов Ответственный вносит акт и протокол в служебный реестр, формирует план проверок и корректировок мер защиты. На выходе - запись в журнале контроля и план последующих проверок с указанием даты ревизии.

09 Актуализация

Поводы для переиздания или изменения приказа о комиссии

Приказ переиздаётся при изменении вводных, влияющих на расчёт уровня защищённости, либо при смене состава ответственных лиц. Ниже - конкретные поводы и рекомендованные действия: издать новый приказ или внести ясные дополнения в действующий документ с указанием новых вводных для комиссии.

Ввод новой информационной системы или сервиса Появление новой информационной системы, модуля или сервиса, обрабатывающих персональные данные, изменяет исходные параметры для определения уровня защищённости. Если новая система не включена в приказ, её обработка останется вне формализованной процедуры оценки. Издать новый приказ или дополнить действующий с указанием новой системы, задач комиссии и срока рассмотрения; собрать заседание комиссии для расчёта уровня по новой системе.
Существенное изменение категорий обрабатываемых данных Появление в массивах специальных категорий данных, биометрии или данных детей, либо иная смена категории данных прямо влияет на классификацию риска и набор необходимых мер защиты. Собрать комиссию для пересчёта уровня и уточнения применимых мер защиты; при необходимости переиздать приказ с обновлёнными выводными данными.
Смена платформы, хостинга или ключевого подрядчика Переход на другую платформу, смена хостинга, внедрение нового интегратора или радикальная смена архитектуры изменяют профиль актуальных угроз и допустимые меры защиты. Инициировать пересмотр вводных комиссии и оценку угроз; при значимых изменениях издать новый приказ или внести дополнения с уточнением ответственности.
Кадровые изменения в составе комиссии и ответственных лиц Увольнение или назначение ответственного за организацию обработки, смена председателя комиссии или ключевых экспертов меняют операционную способность комиссии и требуют формализации новых полномочий. Переиздать приказ или выпустить распоряжение с обновлённым составом комиссии, регламентом полномочий и контактами ответственных лиц.
Плановый контроль исполнения требований и пересмотр не реже одного раза в три года Пункт 17 нормативного акта требует контроля выполнения требований не реже одного раза в три года. Контроль - удобный триггер для проверки актуальности уровня, регламента работы комиссии и состава приказа. По результатам контрольной проверки принять решение о корректировке вводных комиссии, внесении изменений в приказ или его переиздании.

10 Проверка

Инспектор проверит

Документы и материалы проверки по приказу о создании комиссии по определению уровня защищённости персональных данных.

Вопрос 01 «Предъявите приказ, на основании которого создана комиссия.»
Вопрос 02 «Предъявите список членов комиссии и документы, подтверждающие их назначение.»
Вопрос 03 «Предъявите положение о методике определения уровня защищённости и применяемые критерии.»
Вопрос 04 «Предъявите протоколы заседаний комиссии и акты о присвоении уровня защищённости.»
Вопрос 05 «Предъявите документы о закреплении ответственности за организацию обработки персональных данных.»

Инспектор при проверке, может запросить:

текст приказа о создании комиссии с подписью руководителя и датой
реестр членов комиссии с указанием должностей и распоряжениями или приказами о назначении
положение о методике определения уровня защищённости персональных данных, перечень критериев оценки и сопроводительные методические приложения
протоколы заседаний комиссии, акты о присвоении уровня защищённости и журналы учёта принятых решений
приказ о назначении ответственных лиц за организацию обработки персональных данных, распоряжения о возложении обязанностей и контактные данные ответственных

11 Экспертная позиция

Риск неправильной классификации уровня защищённости

Частая ошибка при создании комиссии - формальное определение уровня без профильных технических критериев и без записанных обоснований. Если в приказе не прописать состав с техническими экспертами, методику с таблицей соответствий угроз, категорий и мер и правила протоколирования решений, то итоговый уровень будет трудно связать с требуемыми мерами и подтвердить при проверке. Включите в приказ требование о хранении протоколов с мотивировкой, о сопоставлении выводов с базовым набором мер и о триггерах для внеплановой переоценки при изменениях в обработке или по инциденту.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы по приказу о создании комиссии

Приказ обязателен, когда организация создаёт комиссию для определения уровня защищённости ПДн: он фиксирует состав, полномочия и процедуру работы комиссии и является локальным актом, который приводит действия в исполнение внутренних требований. Приказ помогает доказать обоснованность выбранного уровня и применимых мер защиты.

Заказать приказ о создании комиссии по определению уровня защищённости персональных данных

Закажите подготовку приказа о создании комиссии по определению уровня защищённости персональных данных и связанного комплекта локальных актов. В приказе фиксируют утверждение руководителем организации, состав комиссии, полномочия, порядок назначения ответственного за организацию обработки или иного уполномоченного лица. В комплект входят проект приказа, положение о комиссии, шаблоны протоколов заседаний и журнала регистрации, методические рекомендации по оформлению результатов определения уровня защищённости и комплект подтверждающих материалов для внутреннего контроля.

Скачать образец Заказать приказ и комплект локальных актов

Приказ о создании комиссии по определению уровня защищённости персональных данных

Приказ о создании комиссии по определению уровня защищённости персональных данных

Ответственность за нарушения требований защиты персональных данных, связанные с отсутствием/некачественным приказом о комиссии

Как ещё называют этот документ

Чеклист содержимого приказа о создании комиссии

Кому и когда нужен приказ о создании комиссии по определению уровня защищённости ПДн

Нормативная основа для приказа о создании комиссии

Связанные документы и материалы

Связанные документы

Шаги внедрения приказа о создании комиссии по определению уровня защищённости ПДн

Поводы для переиздания или изменения приказа о комиссии

Инспектор проверит

Риск неправильной классификации уровня защищённости

Частые вопросы по приказу о создании комиссии

База знаний содержит 268 документов

Заказать приказ о создании комиссии по определению уровня защищённости персональных данных

Скачайте каталог решений с ценами под вашу нишу и вдохновитесь идеями