Документы по ИБ для удалённой работы и подрядчиков в Самаре

Часть сотрудников перевели на удалённый формат, ИТ-обслуживание отдали на аутсорс — и теперь руководитель спрашивает: «А где документы, которые это регулируют?». Юрист говорит про 152-ФЗ и Трудовой кодекс, кадровик — про ознакомление под роспись, а ИТ-подрядчик — про доступ к базам. Между этими требованиями нет противоречия, но нужен продуманный комплект документов, иначе претензии могут появиться у Роскомнадзора, работников и даже у заказчиков.

Разберём, какие документы по информационной безопасности обязательны по закону для компаний с удалёнными сотрудниками и внешними подрядчиками, что из этого — рекомендация, а не норма, и как собрать минимально достаточный пакет без лишних затрат. Всё — применительно к вашей ситуации в Самаре.

Какие документы по ИБ обязательны: компания с удалёнными сотрудниками и внешними подрядчиками

Основной нормативный блок для такой конфигурации — Трудовой кодекс РФ (глава 49.1 «Дистанционная работа»), Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» и Федеральный закон от 29.07.2004 № 98-ФЗ «О коммерческой тайне». Специальной нормы «регламент удалённого доступа обязателен» в законе нет: это практика, которая опирается на ст. 312.3, 312.6 ТК РФ, ст. 19 152-ФЗ и ст. 10–11 98-ФЗ.

Если ваша организация является подрядчиком государственного органа и получает доступ к государственной информационной системе (ГИС), к вам применимы требования приказа ФСТЭК № 117: политика защиты информации заказчика и его внутренние регламенты доводятся до подрядных организаций, а обязанность их выполнять закрепляется в договоре (пп. 16, 26). С 1 марта 2027 года для таких подрядчиков обязателен расчёт уровня защищённости (Узи) — по приказу ФСТЭК № 137 для ГИС и по приказу № 220 для объектов КИИ. Для коммерческого сегмента это не требуется.

Состав комплекта для вашей организации

Ниже — минимальный состав документов, который охватывает удалённых сотрудников и внешних подрядчиков. Утверждает все документы руководитель заказчика. Знакомить с ними нужно под роспись: работников — при приёме или изменении условий, подрядчиков — при заключении договора.

Кто проверяет и что смотрят

Для обычной коммерческой компании с удалёнными сотрудниками и подрядчиками основной контролирующий орган — Роскомнадзор. Он проверяет соблюдение 152-ФЗ, в том числе документирование мер по ст. 18.1 и наличие уведомления. ФСТЭК контролирует техническую защиту только в государственных информационных системах, на объектах КИИ и в лицензируемой деятельности — к вашей удалёнке это не относится, если вы не работаете с такими системами. Банк России — только для финансовых организаций.

Типовые запросы при проверке РКН:

• Политика обработки ПДн опубликована на странице сбора данных? (штраф за отсутствие — ч. 3 ст. 13.11 КоАП: юрлицам от 30 до 60 тыс. ₽)
• Есть ли локальные акты по каждой цели обработки (ПДн работников, ПДн контрагентов, ПДн посетителей сайта)?
• Назначен ли ответственный за организацию обработки ПДн и ознакомлены ли с ним работники?
• Есть ли письменные поручения на обработку ПДн с каждым подрядчиком, который имеет доступ к вашим базам?
• Подано ли уведомление в РКН, и актуальны ли в нём сведения о целях обработки?
• Как оформлено согласие на обработку ПДн — отдельным документом, а не «галочкой» внутри оферты?

Как мы готовим комплект

Мы не присылаем «типовой шаблон», который вы потом подгоняете под себя. Сначала вы заполняете опросный лист о структуре удалённой работы, используемых системах, подрядчиках и целях обработки ПДн. На его основе специалист готовит проекты, учитывающие ваши процессы. Утверждаете документы вы своей подписью.

Когда подключается партнёр-лицензиат ФСТЭК. Если в ходе анализа выясняется, что ваша ИСПДн требует технических мер (определение уровня защищённости, модель угроз, оценка эффективности), мы не делаем это под ключ, а выполняем методическое сопровождение: передаём структуру документа, указываем на типовые ошибки, консультируем. Сам технический документ готовит ваш специалист или привлечённый лицензиат. Для ГИС, объектов КИИ и Указа 250 работы по ИБ выполняет только партнёр с лицензией ФСТЭК — мы помогаем с правовой частью (ПДн, КТ) и организационной подготовкой.

Особенности, о которых забывают

• Поручение обработки ПДн подрядчику — не «приложение к договору на всякий случай». Без него передача ПДн аутсорсеру, бухгалтеру или CRM-сервису будет квалифицироваться как незаконная обработка. Штраф по ч. 1 ст. 13.11 КоАП: юрлицам от 150 до 300 тыс. ₽.
• Согласие отдельно от договора. С 1 сентября 2025 года нельзя прятать согласие на обработку ПДн в тексте трудового договора или оферты. Оно оформляется отдельным документом или отдельной формой с подписью.
• Личные устройства удалённого сотрудника. По ст. 312.6 ТК РФ работник вправе использовать своё оборудование с согласия работодателя. Если вы не регламентировали правила, сложно требовать от сотрудника соблюдения ИБ и удалять корпоративные данные после увольнения.
• Журналирование доступа к ПДн. Статья 19 152-ФЗ требует регистрации и учёта действий с ПДн. Для удалённого доступа это особенно актуально: в случае инцидента без журналов невозможно установить, кто и когда просматривал данные. Зафиксируйте обязательность журналов в регламенте.
• Подрядчики обязаны сообщать вам об утечках. По ч. 3.1 ст. 21 152-ФЗ обработчик должен немедленно уведомить оператора об инциденте. Пропишите это в поручении, чтобы соблюсти сроки уведомления РКН (24 часа первичное, 72 часа итоги).

Разбор на примере: сервисная компания с ИТ на аутсорсе

Как работали:

Что будет без документов

Прямого штрафа «за отсутствие комплекта ОРД» в КоАП нет. Ответственность наступает за конкретные нарушения. Основные составы по ст. 13.11 КоАП РФ:

Отдельный штраф за отсутствие локальных актов по ПДн прямо не установлен, но на практике РКН может квалифицировать такое бездействие как незаконную обработку по ч. 1 ст. 13.11. При утечке персональных данных штрафы кратно выше — вплоть до оборотных по ч. 15 и ч. 18 ст. 13.11 (до 500 млн ₽ для юрлиц при повторных нарушениях). Смягчение оборотного штрафа возможно только при подтверждённых расходах на ИБ через лицензиатов ФСТЭК/ФСБ — наши документы на это не влияют.

Кроме административной, есть риски в трудовых отношениях и судах:

• Уволить сотрудника за разглашение коммерческой тайны по п. 6 «в» ч. 1 ст. 81 ТК РФ вы сможете, только если документально доказали, что сведения были охраняемой тайной: перечень, расписка, гриф. Без этого увольнение оспорят.
• Взыскать убытки с подрядчика за утечку данных без письменного поручения обработки ПДн и NDA практически невозможно.
• Работник, использующий личное устройство без правил, при увольнении может не вернуть корпоративные данные, и вы не сможете доказать, что он обязан их удалить.

Чем поможем и сколько это стоит

Мы готовим правовой и организационный пакет документов под ключ дистанционно по всей России, в том числе в Самаре. Состав комплекта для удалённой работы и подрядчиков:

• Политика обработки персональных данных (для сайта и внутренняя).
• Положение об обработке ПДн работников, положение об обработке ПДн контрагентов.
• Приказ о назначении ответственного за организацию обработки ПДн.
• Формы согласий на обработку и распространение ПДн (отдельными документами).
• Поручения на обработку ПДн подрядчикам.
• Регламент ответов на запросы субъектов ПДн и порядок уничтожения.
• Регламент реагирования на инциденты с ПДн (24/72 часа).
• Регламент удалённого доступа и правила использования личных устройств.
• Соглашение о конфиденциальности (NDA) для сотрудников и подрядчиков.
• Документы режима коммерческой тайны (перечень, положение, обязательства работников, гриф, журналы).

Почему дешевле среднего рынка: мы работаем дистанционно, используем отработанные типовые решения и не раздуваем смету за счёт командировок или «премиального» бренда. Документы готовит специалист, а не конвейер. Техническую часть по ИСПДн (акт уровня защищённости, модель угроз под ключ) мы не делаем — это зона лицензиата ФСТЭК, и мы честно об этом предупреждаем. Правовой контур — наша специализация.

Частые вопросы

Чтобы не собирать документы по кускам, посмотрите наш комплект документов по ИБ, отдельно — документы по персональным данным и уведомление в РКН. Если нужна только база, начните с образцов документов — это быстрее, чем разбираться с нуля.