Документы по информационной безопасности для малого бизнеса и ИП в Самаре: минимальный комплект 2026

Небольшая компания или ИП из Самары нередко сталкивается с ситуацией: клиент, банк или крупный заказчик просит показать политику обработки персональных данных, положение о защите информации или хотя бы приказ об ответственном. Специалиста по ИБ в штате нет, а разбираться в формулировках 152-ФЗ, Трудового кодекса и приказов Роскомнадзора времени нет. При этом проверка может прийти внезапно — особенно по жалобе или после утечки.

В этой статье — честный разбор, какие документы по информационной безопасности обязательны именно для малого бизнеса и ИП, а какие стоит оформить, чтобы избежать штрафов, споров с работниками и проблем с контрагентами. Вы узнаете, кто проверяет, что спрашивают, сколько это стоит и как собрать комплект без лишней бюрократии.

Какие документы по ИБ обязательны: малый бизнес или ИП

Главный закон — 152-ФЗ «О персональных данных». Он распространяется на любую организацию или ИП, которые собирают и обрабатывают персональные данные: клиентов, работников, подрядчиков. Второй источник — Трудовой кодекс (глава 14) для работодателей. При автоматизированной обработке добавляются требования ПП № 1119 от 01.11.2012.

Важно: в законе нет закрытого перечня «обязательных 20 документов». Состав мер оператор определяет сам (ст. 18.1 ч. 1 152-ФЗ). Но несколько документов прямо названы, и без них не обойтись.

Как видите, часть документов обязательна «по бумаге», часть — из практики проверок. Для ИП отдельно отметим: меры из ст. 18.1 ч. 1, адресованные «оператору — юридическому лицу», на ИП не распространяются формально, но публикация политики и соблюдение технических требований ст. 19 обязательны.

Состав комплекта для вашей организации

Ниже — типовой набор, который закрывает правовой контур ПДн для малого бизнеса и ИП. Утверждает документы руководитель организации (или сам ИП), знакомить с ними нужно работников под роспись.

Кто проверяет и что смотрят

Для малого бизнеса основной контролёр — Роскомнадзор (РКН). Он вправе запросить документы по ст. 18.1 ч. 4 152-ФЗ: политику, локальные акты, приказ об ответственном, документы о внутреннем контроле, оценке вреда, ознакомлении работников. Плановые проверки сейчас редки, но внеплановые по жалобам — реальный риск.

ФСТЭК не контролирует коммерческие информационные системы персональных данных (ч. 8 ст. 19 152-ФЗ). Его зона — госсектор, объекты КИИ и лицензиаты. Трудовая инспекция может проверить локальные акты по работникам.

Типовые вопросы при проверке:

• Опубликована ли политика обработки ПДн на страницах сайта, где идёт сбор данных?
• Назначен ли ответственный за организацию обработки ПДн (для юрлиц)?
• Ознакомлены ли работники под роспись с локальными актами о ПДн?
• Есть ли согласия, оформленные отдельно от договоров и анкет?
• Подано ли уведомление в РКН и соответствует ли оно фактическим целям обработки?
• Как фиксируется уничтожение ПДн (акты, выгрузки из журнала)?

Как мы готовим комплект

Если ваша сфера затрагивает техническую часть ИСПДн (модель угроз, определение уровня защищённости, оценка эффективности мер), мы предоставляем методическое сопровождение: шаблоны, указания, консультации, проверку. Сам документ готовит и утверждает специалист вашей организации, либо мы подключаем партнёра с лицензией ФСТЭК на техническую защиту конфиденциальной информации.

Особенности, о которых забывают

• ✓ Минимально достаточный набор не требует десятков папок. Для большинства малых бизнесов достаточно 6–8 документов, описанных выше. Главное — чтобы они отражали реальные процессы, а не были скопированы с чужого сайта.
• ✓ Разделяйте «обязательно по закону» и «рекомендуется по практике». Приказ об ответственном для ИП не обязателен, но полезен при проверке. Политика ИБ для коммерческой компании без специальных требований — не обязательна, но снижает риски и помогает в суде.
• ✓ ИП — тоже оператор ПДн. Если ИП собирает данные клиентов через сайт, мессенджеры или формы заказа, он обязан опубликовать политику и, как правило, подать уведомление в РКН. Исключение «только сотрудники» отменено с 01.09.2022.
• ✓ Согласие на обработку — отдельный документ. С 01.09.2025 оно не может быть пунктом внутри договора или анкеты. Это важное изменение, из-за которого старые шаблоны устарели.
• ✓ Если есть подрядчики, которые обрабатывают ваши ПДн (доставка, облачный сервис, рассылка), нужно оформить поручение. Без него ответственность за действия обработчика лежит на вас, а сам факт передачи может быть признан нарушением.

Разбор на примере: кофейня с доставкой и онлайн-заказами

Что будет без документов

Прямого штрафа «за отсутствие комплекта ОРД» в КоАП нет. Но отдельные нарушения караются реально.

Если политика обработки ПДн не опубликована, штраф по ч. 3 ст. 13.11 КоАП: для должностных лиц и ИП — от 10 до 20 тыс. ₽, для юрлиц — от 30 до 60 тыс. ₽.

Другие составы ст. 13.11: обработка без правовых оснований (ч. 1) — для юрлиц 150–300 тыс. ₽, для ИП как должностных лиц — 50–100 тыс. ₽; обработка без письменного согласия, когда оно требуется (ч. 2) — для юрлиц 300–700 тыс. ₽; непредоставление информации субъекту (ч. 4) — для юрлиц 40–80 тыс. ₽; неуничтожение ПДн в срок (ч. 5) — до 90 тыс. ₽ для юрлиц. Повторные нарушения увеличивают суммы. Подчеркнём: отсутствие локальных актов может быть квалифицировано РКН как часть 1 — обработка с нарушением закона, но судебная практика неоднородна.

За разглашение информации с ограниченным доступом (включая коммерческую тайну) по ст. 13.14 КоАП: должностные лица — 40–50 тыс. ₽ или дисквалификация до 3 лет, юрлица — 100–200 тыс. ₽. Для уголовной ответственности по ст. 183 УК нужен доказанный состав, но без документов о режиме коммерческой тайны доказать его практически невозможно.

В трудовых спорах отсутствие локальных актов и подписей означает, что уволить работника за разглашение по пп. «в» п. 6 ч. 1 ст. 81 ТК РФ будет сложно — вы не докажете, что сведения были охраняемой тайной. При утечке персональных данных новые составы ст. 13.11 (ч. 12–18) предусматривают оборотные штрафы для юрлиц от 3 до 20 млн ₽, повторно — 1–3% выручки, но не менее 25 млн ₽. Для ИП приравнивание к юрлицам действует по ряду частей.

Если прямого штрафа за отсутствие какого-то документа нет, это не значит «не нужно». Риск — в другой плоскости: предписание, блокировка сайта, отказ контрагента, проигрыш суда.

Чем поможем и сколько это стоит

Мы готовим правовой и организационный пакет по ПДн и коммерческой тайне дистанционно по всей России. Состав услуги:

• Политика обработки ПДн (для сайта и внутренняя), положение об обработке ПДн, положение о ПДн работников
• Приказ об ответственном за организацию обработки ПДн (для юрлиц), формы согласий отдельными документами
• Поручения на обработку ПДн для подрядчиков, регламент ответов субъектам и порядок уничтожения
• Базовая политика ИБ и правила использования ИТ для коммерческой компании
• Режим коммерческой тайны (положение, перечень сведений, NDA, обязательства, гриф) — отдельно или со скидкой

Почему дешевле рынка: работаем дистанционно, используем отработанные типовые решения, которые адаптируем под ваши процессы. Вы не платите за аренду офиса, выезд специалиста и «премиальный бренд». При этом документы готовит специалист, а не бездумный генератор — каждый комплект проходит проверку на соответствие актуальным требованиям 2025–2026 годов.

Частые вопросы

Если вы ещё не уверены, какой набор нужен именно вашей организации, начните с страницы услуги по документам ИБ. По вопросам политики обработки персональных данных и уведомления в РКН также поможем: политика обработки ПДн и уведомление РКН.