Главная

Приказ об утверждении перечня информационных систем персональных данных

Приказ утверждается руководителем или уполномоченным им должностным лицом, фиксирует перечень информационных систем персональных данных и закрепляет ответственного за организацию их обработки. Актуальный перечень нужен для определения и обоснования уровней защищённости, документального подтверждения принятых мер и обнаружения забытых систем; при проверке оценивают его актуальность, соответствие реальному использованию и соотнесение с требуемыми уровнями защиты.

Статус обязательный при обработке персональных данных в ИСПДн
Основание ст. 19 152-ФЗ, ПП РФ № 1119
Публичность внутренний документ
Кто утверждает руководитель организации или уполномоченное им должностное лицо
Ответственный ответственный за организацию обработки персональных данных
Область применения перечень ИСПДн, используемых в организации для обработки персональных данных
Обновлено июль 2026

01 Назначение

Приказ об утверждении перечня ИСПДн

Краткое руководство: содержание, ответственность и типичные ошибки при ведении перечня информационных систем персональных данных

Зачем нужен приказ. Приказ фиксирует внутренний перечень информационных систем персональных данных, используемых организацией при обработке ПДн, и служит основанием для распределения обязанностей по защите данных и контроля исполнения. Наличие и актуальность приказа упрощают соотнесение систем с требованиями по защищённости при внутренней и внешней проверке, а также позволяют подтвердить реализованные меры защиты.

Что включает перечень ИСПДн. Перечень должен содержать для каждой системы минимум следующие данные: наименование и назначение системы, тип/категория обрабатываемых персональных данных, присвоенный уровень защищённости или указание на требуемый уровень, ответственных лиц, сведения о подрядчиках и дате ввода в эксплуатацию. Для систем с требованиями по управлению аутентификацией указывают применяемые методы аутентификации и ответственных за их администрирование.

Кто отвечает и как вести изменения. Ответственность за ведение и актуализацию перечня возлагается на ответственного за организацию обработки персональных данных. Триггеры обновления - ввод новой ИСПДн, изменение функций обработки, подключение или замена подрядчика, вывод системы из эксплуатации - при изменениях фиксируют дату, автора и краткое основание изменения. Записи об изменениях хранятся таким образом, чтобы при проверке можно было оперативно подтвердить принятые меры защиты.

Типичные ошибки и проверочные акценты. Частые ошибки: отсутствие указания уровня защищённости, неполные сведения о подрядчиках и ответственных, несоответствие записей фактическому состоянию систем, незафиксированные выводы систем из эксплуатации. При проверке обращают внимание на соответствие перечня приказу об утверждении, наличие ответственных и возможность документально подтвердить реализованные меры защиты.

Раскрыть полностью

02 Ответственность

Ответственность за отсутствие или несоответствие приказа об утверждении перечня ИСПДн

ч. 1 ст. 13.11 КоАП РФ

Юридическое лицо 150 000 - 300 000 ₽
Должностное лицо 50 000 - 100 000 ₽
Физическое лицо (гражданин) 10 000 - 15 000 ₽

Отсутствие приказа или формального перечня ИСПДн повышает риск привлечения по ч. 1 ст. 13.11 КоАП РФ при выявлении обработки персональных данных без правового основания либо при несоблюдении требований по защите. Типичные ошибки операторов: нет привязки перечня к уровням защищённости по ПП РФ № 1119, перечень не обновляют после ввода новых систем, отсутствуют записи, подтверждающие принятые меры (приказы, журналы учёта, протоколы утверждения). Практические меры снижения риска: вести оформленный приказ с датой и ответственными, документировать привязку каждой ИСПДн к уровню защищённости и реализованным мерам, сохранять подтверждающие записи в соответствии с ч. 1 ст. 18.1 152-ФЗ.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Набор названий, под которыми обычно фигурирует приказ: короткие и разговорные варианты. Важно не путать этот документ с перечнем персональных данных, обрабатываемых в системах - это разные по содержанию записи.

Перечень информационных систем персональных данных
Перечень ИСПДн
Приказ об утверждении перечня ИСПДн
Приказ об утверждении списка информационных систем ПДн
Список ИСПДн
Реестр информационных систем персональных данных
Перечень эксплуатируемых ИСПДн
Приказ об определении информационных систем персональных данных
Список систем обработки персональных данных

04 Обязательное содержание

Что должно быть в приказе об утверждении перечня ИСПДн

Чеклист разделов и элементов, которые должны присутствовать в приказе об утверждении перечня информационных систем персональных данных. Ориентир для ответственного за организацию обработки и для подготовки к проверке.

Утверждённая редакция приказа Наличие окончательной версии документа с датой и подписью руководителя или уполномоченного должностного лица, с явной ссылкой на прилагаемый перечень ИСПДн и указанием лица, утверждающего документ.
Перечень ИСПДн в табличном виде Таблица систем с обязательными полями: наименование системы, инвентарный номер или идентификатор, владелец системы, цель обработки, виды обрабатываемых ПДн, место хранения, ответственные лица и присвоенный уровень защищённости.
Роли и полномочия Перечень ответственных ролей: руководитель, ответственный за организацию обработки, администраторы систем и иные участники, с чётким описанием зон ответственности и контактными данными.
Критерии присвоения уровня защищённости Процедура и критерии присвоения и подтверждения уровня защищённости для каждой системы, включая требования к мерам аутентификации и иным мерам защиты, с привязкой к нормативным требованиям.
Порядок внесения изменений Процедура обновления перечня: кто вправе вносить изменения, форма распоряжения, порядок утверждения изменений, указание даты вступления в силу и хранение предыдущих редакций.
Действия при выявлении несоответствий Механизм реагирования при выявлении фактов обработки без правового основания или других нарушений: регистрация инцидента, меры по приостановлению обработки, документирование принятых мер и подтверждение их выполнения.

05 Применимость

Применимость приказа об утверждении перечня ИСПДн

Кратко о том, для каких организаций и сотрудников нужен приказ, в каких случаях он обязателен и какие нормативы влияют на содержание перечня информационных систем персональных данных.

Обязательность при обработке в ИСПДн Приказ обязателен для организации, когда персональные данные обрабатываются с использованием информационных систем персональных данных; документ фиксирует состав ИСПДн и применимые меры защиты.
Кто подготавливает и утверждает Подготовку обеспечивает ответственный за организацию обработки персональных данных; окончательное утверждение поручается руководителю организации или уполномоченному должностному лицу.
Область применения приказа Приказ охватывает все ИСПДн, используемые организацией для обработки персональных данных, включая локальные, облачные и интегрированные сервисы; в приказе фиксируются назначенные роли и границы использования систем.
Когда приказ не применяется Документ не применяется, если в организации отсутствуют информационные системы, используемые для обработки персональных данных; при частичной обработке отдельных видов данных может потребоваться иной локальный приказ или реестр.
Связь с требованиями по подтверждению мер и уровням защиты Содержание перечня и указанные меры защиты должны соответствовать требованиям по уровням защищённости ИСПДн и способности подтверждать принятые меры.
Публичность, доступ и хранение Приказ является внутренним документом; его утверждённая редакция и актуальный перечень ИСПДн должны быть доступны ответственным подразделениям и надёжно сохраняться в системе документооборота.

06 Нормативная база

Нормативная база для приказа об утверждении перечня ИСПДн

ст. 19 152-ФЗ Устанавливает обязанность обеспечивать защиту персональных данных при их обработке. Значение для приказа: закрепить перечень ИСПДн, обосновать включение каждой системы и зафиксировать ответственных за её эксплуатацию и защиту.
ПП РФ № 1119 Определяет требования к уровням защищённости информационных систем персональных данных. Значение для приказа: для каждой ИСПДн указать присвоенный уровень защищённости и сопоставить с ним применимые требования и меры защиты.
ч. 1 ст. 18.1 152-ФЗ Обязывает оператора быть в состоянии подтвердить принятые меры защиты. Значение для приказа: установить порядок документирования оценки ИСПДн, формат реестра, перечень подтверждающих документов и место их хранения как доказательную базу.
приказ ФСТЭК № 21 Содержит требования к мерам информационной аутентификации и другим средствам защиты. Значение для приказа: привязать к уровням ИСПДн конкретные требования ФСТЭК по управлению средствами аутентификации и контролю доступа, указать ответственных за внедрение.
ч. 1 ст. 13.11 КоАП Определяет административную ответственность за нарушение законодательства о персональных данных. Значение для приказа: приказ как локальный норматив снижает риск привлечения к ответственности при наличии закреплённых процедур и документированных подтверждений соответствия требованиям.

08 Внедрение

Пошаговый план внедрения приказа об утверждении перечня ИСПДн

Краткий план от решения о подготовке до ввода в действие. Участники: руководитель организации, ответственное лицо за организацию обработки персональных данных, служба информационной безопасности. Область применения - перечень ИСПДн, используемых в организации.

1. Принятие решения и назначение исполнителей Руководитель издаёт распоряжение на подготовку проекта приказа и назначает ответственное лицо за организацию обработки персональных данных и ответственных исполнителей. Результат - распоряжение руководителя с указанием сроков и ответственных, регистрационная запись в делопроизводстве.
2. Сбор данных и заполнение реестра ИСПДн Ответственное лицо собирает сведения по каждому информационному сервису: наименование, назначение, категории ПДн, место хранения, ответственные, текущий уровень защищённости. Результат - файл 'Приложение 1 - проект перечня ИСПДн' и реестр в формате таблицы.
3. Определение уровня защищённости и подготовка актов Служба ИБ совместно с ответственным за обработку проводит определение уровня защищённости для каждой ИСПДн, оформляет акты и отчёты по требованиям защищённости. Результат - акты определения уровня защищённости для каждой системы, которые прикладываются к проекту перечня.
4. Согласование проекта и издание приказа Проводится внутреннее согласование проекта с юридическим отделом и службой ИБ, после чего руководитель утверждает приказ. Результат - подписанный 'Приказ об утверждении перечня информационных систем персональных данных' с приложением 'Перечень ИСПДн'.
5. Ввод в действие, публикация и контроль изменений Обеспечить доведение приказа до подразделений, разместить приказ и Приложение 1 в общей папке, ввести запись в журнал регистрации изменений перечня, установить процедуру актуализации. Результат - папка с комплектом документов для проверяющего: приказ, приложение, акты, протоколы согласования, журнал учёта изменений.

09 Актуализация

Поводы для обновления приказа об утверждении перечня ИСПДн

Краткие и конкретные поводы, при которых приказ и реестр ИСПДн требуют правки или оформления сопутствующих актов. Фокус на изменениях состава обработки, инфраструктуры и инцидентах, которые влияют на уровень защищённости.

Появление новой информационной системы с обработкой ПДн Новый сервис, модуль CRM, облачное приложение или бот, в которых обрабатываются персональные данные, должны быть включены в перечень. Для каждой такой системы требуется определить уровень защищённости, описать границы обработки и подготовить модель угроз. Включить систему в реестр ИСПДн, определить уровень защищённости и назначить ответственных за внедрение мер защиты.
Вывод системы из эксплуатации Если система прекращает работу, её запись в перечне исключается приказом с указанием даты вывода и подтверждением уничтожения или переноса персональных данных. Молча удалить строку нельзя - нужен документальный след. Оформить приказ об исключении, зафиксировать акт уничтожения или перенос данных и сохранить копии подтверждающих документов.
Изменение состава обрабатываемых данных или числа субъектов Появление новых категорий данных, обработка биометрии или существенный рост числа субъектов может требовать пересмотра уровня защищённости и набора мер защиты для конкретной ИСПДн. Обновить описание системы в перечне, провести оценку влияния и при необходимости изменить уровень защищённости и сопутствующие акты.
Миграция, реконфигурация или объединение инфраструктуры Перенос системы в облачную среду, смена провайдера хранения или объединение нескольких систем изменяют технические и организационные условия обработки и могут повлиять на требования к защите. Пересмотреть запись в реестре, обновить сведения об операторах и подсистемах, проверить соответствие мерам управления аутентификацией и другим требованиям.
Инцидент безопасности, аудит или изменение нормативных требований Утечка, нарушение целостности данных, результаты внутреннего аудита или обновление требований по уровням защищённости служат поводом для срочной проверки перечня и корректировки мер защиты для затронутых ИСПДн. Инициировать проверку затронутых систем, зафиксировать необходимые изменения в перечне и дополнить акты, подтверждающие принятые меры.

10 Проверка

Инспектор проверит

Документы и материалы проверки, подтверждающие наличие и актуальность приказа об утверждении перечня информационных систем персональных данных и исполнение связанных обязанностей.

Вопрос 01 «Предъявите приказ об утверждении перечня информационных систем персональных данных.»
Вопрос 02 «Предъявите перечень ИСПДн с указанием назначения и ответственных за каждую систему.»
Вопрос 03 «Предъявите документы, подтверждающие принятие организационных и технических мер для защищённости ИСПДн.»
Вопрос 04 «Назовите и подтвердите лиц, ответственных за организацию обработки и ведение перечня.»
Вопрос 05 «Предъявите записи о вводе и выводе информационных систем персональных данных из эксплуатации.»

Инспектор при проверке, может запросить:

приказ об утверждении перечня информационных систем персональных данных, подписанный руководителем и с датой вступления в силу
перечень информационных систем персональных данных с указанием назначения, ответственных лиц и классификации по уровням защищённости
акты классификации ИСПДн, описания применённых организационных и технических мер, планы работ и отчёты о реализации мер защиты
приказы о назначении ответственных лиц, распоряжения о возложении обязанностей и соответствующие должностные инструкции
журнал регистрации ввода и вывода ИСПДн, приказы и акты ввода/вывода из эксплуатации, приложения с перечнем изменений в перечне

11 Экспертная позиция

Ключевые риски и практические шаги

Частая ошибка: воспринимать приказ и перечень ИСПДн как формальность. Перечень, в котором указаны только наименования систем без привязки к назначению обработки, ответственным лицам, уровню защищённости и месту размещения, затрудняет выбор мер защиты и подтверждение их исполнения при проверке и инциденте. Это повышает риск нарушений и дополнительных требований со стороны контролирующих органов. Практика: вести перечень как единый регистр в реестре активов (CMDB) с полями: уникальный код, назначение обработки, ответственный, классификация по уровню защищённости, тип размещения, интеграционные точки, дата последней ревизии. Свяжите записи с процессом ввода в эксплуатацию и изменениями, установите триггеры обновления - ввод новых систем, изменение объема обрабатываемых данных, инцидент безопасности, результаты аудита. Такая организация ускоряет подготовку к проверкам и делает управленческие решения воспроизводимыми.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы по приказу об утверждении перечня ИСПДн

Да. При обработке персональных данных с использованием ИСПДн наличие внутреннего приказа с перечнем систем является обязательной организационной мерой; приказ утверждает руководитель или уполномоченное им должностное лицо, а за ведение отвечает назначенное лицо. Перечень служит основой для привязки требований по уровню защищённости и учёта систем.

Заказать приказ об утверждении перечня информационных систем персональных данных (ИСПДн) в комплекте локальных нормативных актов

Закажите подготовку приказа под вашу организацию в составе готового комплекта локальных нормативных актов. В комплект входит: адаптированный приказ с заполнением реквизитов, журнал учёта ИСПДн, положение об учёте информационных систем, шаблон приказа о назначении ответственного, а также перечень доказательств для проверки - образец заполненного приказа, журнал регистрации, URL публикации, скриншоты и журналы доступа. Включаем согласование с руководителем и краткие рекомендации по уровням защищённости.

Заказать приказ в комплекте