Приказ об утверждении ОРД в области СКЗИ: требования, что включить

Статус обязательный при использовании СКЗИ
Основание п. 1.3 ТТ ФСБ № 149/6/6-622, ст. 19 Федерального закона № 152-ФЗ
Публичность внутренний документ
Кто утверждает руководитель организации
Обновлено июль 2026
Область применения все подразделения и лица организации, включая обработчиков, использующих СКЗИ
Ознакомление пользователей под расписку, в соответствии с требованиями ТТ ФСБ № 149/6/6-622, п. 2.9

01 Назначение

Приказ об утверждении ОРД в области использования СКЗИ

Краткие требования и практические указания по оформлению и внедрению организационно-распорядительных документов для работы со средствами криптографической защиты информации. Обновлено июль 2026.

Цель приказа. Установить обязательные организационные и процедурные правила применения СКЗИ, распределить роли и ответственность за их внедрение и соблюдение, а также порядок взаимодействия с лицами, выполняющими обработку персональных данных в интересах организации.

Область применения и утверждение. Приказ распространяется на все подразделения и сотрудников организации, включая внешних обработчиков, и утверждается руководителем организации. Требования по выбору и эксплуатации СКЗИ соотносятся с уровнями защищённости и мерами безопасности, установленными для объектов обработки.

Ключевые требования и процедуры. В приказе формализуют процедуры учёта и маркировки СКЗИ, порядок выдачи, хранения и резервного копирования ключей, правила использования переносных и стационарных устройств, требования к физической защите помещений и ведению журналов операций. Пользователи должны быть ознакомлены с требованиями под расписку.

Внедрение, контроль и документирование. Опишите в приказе комплект управленческих документов и материалов: реестр СКЗИ, формы актов приёмки, шаблоны распоряжений о доступе и регламенты действий при инцидентах. Организуйте внутренний контроль исполнения и фиксацию результатов проверок, чтобы обеспечить возможность подтверждения соблюдения требований при ревизии или внешней проверке.

Раскрыть полностью

02 Ответственность

Риски ответственности при отсутствии или неполном оформлении приказа об ОРД при использовании СКЗИ

Юридическое лицо Административная и иная ответственность организации по применимому законодательству; конкретный размер санкций…
Индивидуальный предприниматель Административная ответственность за нарушение требований по использованию СКЗИ в деятельности ИП; размер и характер…
Должностное лицо (руководитель, ответственный за обработку) Дисциплинарная и административная ответственность за невыполнение обязанностей по организации ОРД, в том числе за…
Физическое лицо (гражданин) Возможна административная ответственность применительно к конкретным действиям физического лица, связанные с…

Требования к организационным и техническим мерам при использовании СКЗИ закреплены в представленных НПА, в том числе обязанность распространять требования на лиц, которым поручена обработка, и требование ознакомления пользователей под расписку. В перечне источников нет прямого указания на конкретные размеры административных санкций; привлечение и размер ответственности устанавливаются на основании соответствующих статей КоАП РФ по факту выявленного нарушения. Типичные ошибки операторов: считать приказ необязательным, не распространить требования на подрядчиков и обработчиков, не зафиксировать ознакомление пользователей или не установить требования по уровням защищённости и режиму помещений.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Собраны реальные варианты названий приказа, утверждающего комплект организационно распорядительных документов по использованию СКЗИ. Полезно для поиска, подготовки шаблонов и согласования с другими приказами по защите информации.

Приказ об утверждении ОРД в области использования СКЗИ
Приказ об утверждении перечня ОРД по СКЗИ
Приказ о порядке использования СКЗИ
Приказ об организации работ с криптосредствами
Приказ о применении СКЗИ при обработке персональных данных
Приказ об утверждении регламента по использованию СКЗИ
Перечень ОРД в области использования шифровальных средств
Утверждение документации по криптографической защите

04 Обязательное содержание

Что должно быть в приказе об ОРД по СКЗИ

Краткий чеклист ключевых документов и материалов в приказе, чтобы документ соответствовал практическим требованиям при использовании СКЗИ и был проверяемым на месте.

Утверждённая редакция и область применения Наличие заголовка, даты утверждения, подписи руководителя и чёткой области применения документа - перечисление подразделений и категорий лиц, на которых распространяются требования.
Таблица ролей и ответственности Перечень должностей и полномочий: ответственный за организацию обработки, администратор СКЗИ, ответственные за управление ключами, обработчики; указаны контактные данные и границы ответственности.
Перечень СКЗИ и уровни защищённости Список используемых СКЗИ с указанием типа, сертификационных атрибутов и соответствующего уровня защищённости в организации; критерии применения по уровням.
Процедуры выдачи, установки и учёта Регламент учёта и движения СКЗИ и ключевых материалов: порядок выдачи, приёмки, инвентаризации, требования к хранению и транспортировке, ответственность за целостность.
Ознакомление пользователей и подтверждение Порядок ознакомления пользователей с требованиями работы со СКЗИ и процедура получения письменного подтверждения (под расписку) о знакомстве с правилами и ограничениями.
Контроль, журналирование и проверка соответствия Требования к ведению журналов выдачи и обслуживания, мониторингу использования СКЗИ и плановым проверкам соответствия установленным правилам; критерии и ответственные лица для проверок.

05 Применимость

Кому и в каких случаях нужен приказ об утверждении ОРД по СКЗИ

Контур применимости приказа об утверждении организационно-распорядительных документов (ОРД) в области использования СКЗИ. Кратко о ролях, ситуациях обязательности и случаях, когда документ не применяется.

Кому нужен приказ Организации и их подразделения, которые эксплуатируют или обеспечивают эксплуатацию СКЗИ, включая собственных обработчиков персональных данных и привлеченных исполнителей, ответственное и оперативное персональное звено.
Когда приказ обязателен Обязателен при внедрении и эксплуатации СКЗИ как элемент комплекса организационно-технических мер защиты персональных данных и иных сведений, требования к которому установлены нормативными актами.
Границы применения приказа Приказ регулирует набор ОРД, процедур и ролей, применимых к использованию СКЗИ, включая классификацию по уровням защищенности и требования к эксплуатации в зависимости от уровня; не заменяет специальные правила для помещений и охраны материальных носителей.
Когда приказ не применяется Документ не нужен организациям и подразделениям, которые не используют СКЗИ; в противном случае отсутствие приказа не освобождает от выполнения требований по защите, установленных законом и нормативными актами.
Кто утверждает и статус документа Приказ является внутренним документом и утверждается руководителем организации, применяется внутри организации и распространяется на филиалы и структурные подразделения в пределах их компетенций.
Рекомендуемые сопутствующие документы и требования к исполнителям Приказ должен ссылаться на реестр используемых СКЗИ, таблицу ролей и ответственности, порядок ознакомления пользователей под расписку и инструкции по эксплуатации СКЗИ; требования к ознакомлению пользователей отражаются в нормативных требованиях.

06 Нормативная база

Нормативная основа приказа об ОРД при использовании СКЗИ

ст. 19 152-ФЗ Устанавливает обязанность применять организационные и технические меры защиты персональных данных, включая криптографические средства; для приказа это основание фиксировать применяемые СКЗИ, ответственных лиц и соотношение мер с рисками обработки ПДн.
ПП РФ № 1119 от 01.11.2012 Определяет уровни защищённости и критерии их применения к средствам защиты информации; приказ должен соотнести используемые СКЗИ с требуемым уровнем и задокументировать выбор уровня защиты.
приказ ФСБ № 378 от 10.07.2014 Регламентирует меры при применении СКЗИ по уровням защищённости и эксплуатационные требования; приказ должен описать режимы эксплуатации СКЗИ, обязанности по контролю и порядок проверки соответствия.
приказ ФСБ № 378, п. 5(а) Содержит требования к режиму безопасности помещений и контролю доступа, сохранности носителей ключевой информации; приказ должен перечислить допущенных лиц, правила хранения и выдачи носителей СКЗИ.
ТТ ФСБ № 149/6/6-622, п. 1.2 Уточняет связь Технических требований с положениями ст. 19 и ПП РФ № 1119; приказ обязан опираться на методические указания ТТ при формировании ОРД и отражать применимые термины и процедуры.

Образец документа

Приказ об утверждении ОРД в области использования СКЗИ

Утверждает комплект организационно-распорядительной документации по применению СКЗИ и устанавливает единые требования к их учёту, хранению, эксплуатации, доступу и использованию в организации

Можем адаптировать под Вас, звоните: 8 800 333 8 222

Или напишите, мы сейчас онлайн

Скачайте БЕСПЛАТНО и найдите внутри:

Шаблон документа с понятной структурой
Формулировки и поля для заполнения под вашу ситуацию
Места, где нужно учитывать реальные процессы Вашей организации
Возможность самостоятельно доработать документ
Можно разобраться самостоятельно, а можно заказать адаптацию документа под вашу организацию

Скачать образец документа

08 Внедрение

Шаги внедрения приказа об утверждении ОРД по использованию СКЗИ

Порядок внедрения описывает от решения о необходимости приказа до первого контрольного обхода. В каждом шаге указана роль исполнителя и ожидаемый документ.

1. Инициирование и утверждение объема работ Руководитель принимает решение об издании приказа, утверждает область применения (все подразделения и обработчики) и назначает проектную группу. Результат: распоряжение о создании рабочей группы и постановка задачи.
2. Сбор исходных материалов и анализ связей с другими документами Ответственный за информационную безопасность собирает связанные регламенты и инструкции: положение по СКЗИ, инструкции для пользователей и порядок доступа в помещения. Результат: реестр связанных документов и карта соответствия требований.
3. Подготовка проекта приказа и перечня ОРД Рабочая группа готовит текст приказа с перечнем организационно-распорядительных документов, ролями, процедурами по управлению ключами и требованиями к ознакомлению. Результат: проект приказа и приложения с перечнем ОРД.
4. Юридическое и техническое согласование Юрист и технические специалисты проверяют проект на соответствие обязательным требованиям и на наличие назначенных обязанностей для внешних обработчиков. Результат: протоколы согласования с замечаниями и их обработка.
5. Утверждение приказа и регистрация Руководитель подписывает приказ, документ регистрируется во внутреннем реестре и определяется дата ввода в действие. Результат: подписанный приказ и запись в реестре внутренних документов.

09 Актуализация

Поводы для изменения или переиздания приказа об ОРД при использовании СКЗИ

Пересмотр приказа не формальность. Переиздание или внесение правок требуется при событиях, которые меняют перечень ОРД, режимы доступа или обязанности исполнителей. Ниже - конкретные поводы и ожидаемые действия.

Переиздан один из утверждённых ОРД Если приказ ссылается на конкретную редакцию документа, а этот документ переиздан или аннулирован, ссылка становится некорректной. Требуется привести перечень ОРД в актуальное состояние и зафиксировать реквизиты действующих редакций. Издать уточняющий приказ или приложение с перечнем ОРД без указаний устаревших редакций, обновить реестры и уведомить ответственных подразделений
Изменился состав или статус применяемых СКЗИ Появление нового криптосредства, смена удостоверяющего центра, окончание срока действия или отзыв сертификата изменяют перечень средств и процедуры их учёта. Меняются инструкции по выдаче, журнал учёта и реестр СКЗИ, а также порядок ознакомления пользователей. Провести инвентаризацию СКЗИ, обновить перечни и инструкции, задокументировать сроки и ответственных, организовать ознакомление под роспись
Изменился уровень защищённости информационной системы Переход на другой уровень защищённости влечёт иное требование к мерам защиты по нормативам, это влияет на содержание приказа, положения и эксплуатационных инструкций. Нужно пересмотреть весь комплект документов, связанных с режимами и контролем доступа. Пересмотреть положение, инструкции и сопутствующие ОРД, привести их в соответствие с требованиями уровня и зафиксировать изменения приказом
Обслуживание или обработка поручены подрядчику Требования к использованию СКЗИ распространяются также на лиц, которым поручена обработка или обеспечение. Передача работ подрядчику изменяет распределение ответственности и требует закрепления обязательств в приказе и договоре. Добавить в приказ раздел об обязанностях подрядчика, предусмотреть обязательства в договоре и процедуру ознакомления работников подрядчика под роспись
Инцидент, связанный с ключами, сертификатами или компрометацией СКЗИ Утрата носителя, раскрытие ключа, компрометация удостоверяющего центра или иные события, влияющие на безопасность криптоопераций, требуют экстренных изменений в практиках учёта, выдачи и отзыва средств защиты. Издать корректирующий приказ с перечнем оперативных мер, приостановить использование затронутых средств, провести инвентаризацию и план восстановления

10 Проверка

Инспектор проверит

Короткий набор вопросов для документарной и выездной проверки наличия и содержания приказа об утверждении ОРД по использованию СКЗИ.

Вопрос 01 «Предъявьте приказ, которым утверждены организационно-распорядительные документы по использованию СКЗИ.»
Вопрос 02 «Какие обязанности и круг лиц закреплены в приказе по использованию СКЗИ?»
Вопрос 03 «Где в приказе указан перечень организационно-технических мер и применимые уровни защищённости СКЗИ?»
Вопрос 04 «Предъявите документы, подтверждающие ознакомление пользователей с требованиями при работе со СКЗИ.»
Вопрос 05 «Какие правила доступа, хранения и режима помещений для СКЗИ зафиксированы в приказе?»

Инспектор при проверке, может запросить:

актуальную редакцию приказа об утверждении ОРД с подписью руководителя и датой утверждения, реестр изменений (история редакций)
пункты приказа, распределяющие обязанности и ответственность, перечень ответственных лиц и перечень обработчиков, подпадающих под действие приказа
раздел приказа с перечнем организационно-технических мер и указанием применимых уровней защищённости
журналы ознакомления или расписки пользователей с датами и наименованиями инструкций, приказы о назначении ответственных за инструктаж
положения приказа о режиме доступа к помещениям, учёте и хранении СКЗИ, журналы учёта и инструкции по физической защите

11 Экспертная позиция

Главный риск при утверждении ОРД по СКЗИ

Частая и малоочевидная ошибка - формировать приказ как набор общих фраз про СКЗИ без привязки к жизненному циклу ключей, уровням защищённости и процедурам контроля доступа. В результате документ не даёт проверяемых критериев для аудита и не фиксирует обязанности обработчиков и порядок ознакомления сотрудников. В приказе стоит явно прописать роли и ответственность, требования к сертифицированным СКЗИ в зависимости от уровня защищённости, порядок регистрации и учёта ключей, процедуру ознакомления под подпись и регламент реагирования на инциденты; это упростит доказательную базу при проверке и снизит операционные риски.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы по приказу об утверждении ОРД при использовании СКЗИ

Да. Требования к организационно-техническим мерам защиты при обработке персональных данных включают установление внутренних правил по использованию СКЗИ и обязательны для лиц, которым поручена обработка. Приказ формализует такие правила и подтверждает распределение ответственности внутри организации.

Заказать подготовку приказа об утверждении организационно-распорядительных документов по использованию СКЗИ

Закажите подготовку приказа, адаптированного под структуру и практики вашей организации, с полным комплектом сопутствующих документов: положение или инструкция по использованию СКЗИ, журнал ознакомлений с образцами росписей, реестр пользователей и матрица ответственных. В комплект также входит перечень доказательств для проверки - окончательная редакция приказа, записи журнала, скриншоты настроек и логи доступа. Проведём анализ соответствия внутренней документации и подготовим документы к утверждению руководителем.

Скачать образец Заказать приказ и комплект документов

Приказ об утверждении ОРД в области использования СКЗИ

Приказ об утверждении ОРД в области использования СКЗИ

Риски ответственности при отсутствии или неполном оформлении приказа об ОРД при использовании СКЗИ

Как ещё называют этот документ

Что должно быть в приказе об ОРД по СКЗИ

Кому и в каких случаях нужен приказ об утверждении ОРД по СКЗИ

Нормативная основа приказа об ОРД при использовании СКЗИ

Связанные документы для приказа об ОРД по СКЗИ

Связанные документы

Шаги внедрения приказа об утверждении ОРД по использованию СКЗИ

Поводы для изменения или переиздания приказа об ОРД при использовании СКЗИ

Инспектор проверит

Главный риск при утверждении ОРД по СКЗИ

Частые вопросы по приказу об утверждении ОРД при использовании СКЗИ

База знаний содержит 268 документов

Заказать подготовку приказа об утверждении организационно-распорядительных документов по использованию СКЗИ

Скачайте каталог решений с ценами под вашу нишу и вдохновитесь идеями