Кто может разработать документы по ИБ: нужна ли лицензия ФСТЭК в Самаре

Руководителю или ответственному за информационную безопасность в компании часто приходится выбирать между тремя сценариями: подготовить организационно-распорядительные документы силами штатного юриста и ИТ-отдела, привлечь консультанта по 152-ФЗ и 98-ФЗ или заказать весь комплекс у организации с лицензией ФСТЭК на техническую защиту конфиденциальной информации (ТЗКИ). Непонимание разницы между этими вариантами приводит либо к лишним затратам, либо к претензиям регуляторов и отказу контрагентов.

Из этого материала вы узнаете, какие документы можно сделать самим, где закон действительно требует привлечения лицензиата ТЗКИ, что вправе делать консультант без лицензии и как не ошибиться при выборе подрядчика для вашей организации в Самаре.

Что можно сделать своими силами

Если ваша организация обрабатывает персональные данные клиентов или работников, закон изначально исходит из того, что оператор сам определяет состав и содержание мер. Часть 1 статьи 18.1 152-ФЗ прямо говорит: оператор самостоятельно выбирает перечень действий — «в частности», назначает ответственного, издаёт политику и локальные акты, проводит внутренний контроль и оценку вреда.

Своими силами реально подготовить базовый правовой контур:

• политику обработки персональных данных и разместить её на страницах сбора;
• локальные акты по каждой цели обработки — с категориями ПДн, сроками и порядком уничтожения;
• приказ о назначении ответственного за организацию обработки;
• формы согласий на обработку и на распространение — отдельными документами, как требует ст. 9 152-ФЗ с 01.09.2025;
• поручения на обработку подрядчикам и регламенты ответов на запросы субъектов.

Однако есть нюансы. Часть 2 ст. 18.1 152-ФЗ обязывает любого оператора, включая ИП, опубликовать политику или иным способом обеспечить неограниченный доступ к ней. Нарушение этого требования — административный штраф для юрлиц от 30 до 60 тысяч рублей по ч. 3 ст. 13.11 КоАП РФ. Если ПДн собираются через сайт, политика должна размещаться именно на страницах сбора, а не в недрах футера. Кроме того, при обработке ПДн без автоматизации нужно учитывать ПП № 687 — типовые формы, журналы и печатные носители.

Техническую часть — определение уровня защищённости, модель угроз, настройку средств защиты информации — силами неспециалистов делать опасно: ошибки в выборе типа угроз или мер приводят к неверному уровню защищённости и претензиям при проверках или инцидентах. Здесь уже встаёт вопрос о лицензировании.

Где нужна лицензия ТЗКИ

Лицензирование технической защиты конфиденциальной информации регулируется ПП РФ № 79 от 03.02.2012. Закрытый перечень лицензируемых работ в п. 4 включает:

• контроль защищённости информации от утечки по техническим каналам;
• контроль защищённости от несанкционированного доступа;
• мониторинг информационной безопасности;
• аттестационные испытания и аттестацию объектов информатизации;
• проектирование в защищённом исполнении;
• установку, монтаж, наладку, испытания и ремонт средств защиты информации.

Если сторонняя организация по договору выполняет именно такие работы — у неё должна быть лицензия ФСТЭК. Важно, что разработка организационно-распорядительных документов как таковая в перечень не входит. Но есть ситуации, когда закон прямо предписывает привлекать только лицензиатов.

Для ИСПДн: п. 2 приказа ФСТЭК № 21 допускает привлечение на договорной основе организаций и ИП, имеющих лицензию ТЗКИ, для выполнения работ по безопасности персональных данных в информационной системе. Поверка выполнения требований ПП № 1119 (п. 17) — тоже оператором самостоятельно или с привлечением лицензиата.

Для государственных информационных систем и информационных систем госорганов, ГУП, госучреждений (с 01.03.2026 действует приказ ФСТЭК № 117) мероприятия по защите информации могут проводиться с привлечением специализированных организаций — то есть лицензиатов ТЗКИ (п. 24). Аттестация ГИС также проводится лицензиатом.

Особый случай — субъекты критической информационной инфраструктуры. Указ Президента РФ № 250 от 01.05.2022 (п. 1 «в») для федеральных органов, госкорпораций, стратегических и системообразующих организаций и всех юридических лиц — субъектов КИИ устанавливает жёсткое правило: привлекать для мероприятий по ИБ исключительно организации с лицензией на ТЗКИ и аккредитованные центры ГосСОПКА. Это касается даже тех субъектов КИИ, у которых нет значимых объектов. Банки, НФО, частные клиники, вузы — если они подпадают под сферы из п. 8 ст. 2 187-ФЗ, исполнитель по ИБ должен быть лицензиатом.

Отдельно стоит упомянуть смягчение оборотного штрафа за утечку ПДн. Согласно ч. 3.4-2 ст. 4.1 КоАП, штраф по ч. 15 и 18 ст. 13.11 может быть снижен до 15–50 млн рублей, если оператор в течение 3 лет подряд тратил на мероприятия по ИБ не менее 0,1% выручки, и мероприятия проводились организациями с лицензией ТЗКИ или ФСБ. Расходы на нелицензированных консультантов в этот зачёт не идут.

Что делает консультант без лицензии

Организация без лицензии ФСТЭК вправе готовить документы, которые регулируют правовые и организационные вопросы, не связанные с технической защитой информации. Это прямо следует из закрытого перечня ПП № 79: раз работы по разработке политик, положений и регламентов не названы среди лицензируемых, лицензия не нужна.

К таким документам относятся:

• политика обработки персональных данных (для сайта и внутренняя), положение об обработке ПДн, положение о ПДн работников, приказ об ответственном, формы согласий, поручения на обработку, регламент ответов субъектам, акт оценки вреда, порядок уничтожения, уведомление в РКН;
• режим коммерческой тайны по 98-ФЗ: перечень сведений, положение о КТ, обязательства работников, гриф, журналы, NDA;
• общая политика информационной безопасности и правила использования ИТ для коммерческой компании, не являющейся субъектом КИИ или ГИС;
• документы по удалённой работе, регламент удалённого доступа, обязательства о неразглашении;
• документы «по мотивам» ISO 27001 — управленческий консалтинг, не сертификация.

Техническая часть ИСПДн — акт определения уровня защищённости, модель угроз, инструкции администратора, настройка СЗИ, оценка эффективности — не может выполняться нелицензиатом как подрядная работа. Консультант без лицензии может лишь оказывать методическое сопровождение: предоставить шаблоны, указания, проверить корректность документа, который разрабатывает и утверждает сам специалист заказчика. Либо такая работа передаётся партнёру-лицензиату ФСТЭК.

Важно честно отметить: официального разъяснения ФСТЭК о том, что разработка политики ПДн или политики ИБ коммерческой компании не требует лицензии, нет. Наш вывод строится на закрытом перечне ПП № 79 и сложившейся практике, но перед публикацией корпоративных документов в спорных случаях стоит получить письменную консультацию регулятора или юридическое заключение.

Как проверить подрядчика

При выборе исполнителя в Самаре или дистанционно по всей России проверяйте следующие моменты.

• Наличие лицензии ФСТЭК. Запросите реквизиты и сверьте номер в реестре на официальном сайте ФСТЭК России. Убедитесь, что лицензия действующая и в ней указаны пункты работ, которые вам нужны (контроль защищённости, аттестация, проектирование).
• Статус вашей организации. Если вы субъект КИИ, госучреждение, ГУП или банк — закон требует только лицензиата. Нелицензированный консультант не вправе выполнять для вас даже часть технических работ.
• Границы ответственности. Чётко разделите в договоре, что именно готовит исполнитель: правовой контур (ПДн, КТ) или технические документы. Для технических документов должен быть либо лицензиат, либо методическое сопровождение с вашим специалистом.
• Опыт и кейсы. Попросите примеры аналогичных проектов. Хороший признак — вопросы о ваших процессах, а не обещание «универсального пакета за 2 дня».
• Прозрачность формулировок. Остерегайтесь фраз «согласуем во ФСТЭК» или «документы для аттестации ГИС» от нелицензиата — для ОРД согласование не требуется, а аттестация — лицензируемая работа.

Типовые ошибки

• ✗ Считать, что для разработки любых документов по ПДн нужна лицензия ТЗКИ.
  Как правильно: для правового контура (политика, положения, согласия, приказы) лицензия не требуется. Лицензия нужна для технического контура — модели угроз, настройки СЗИ, аттестации.
• ✗ Полагать, что политика ИБ обязательна для каждой коммерческой компании.
  Как правильно: политика ИБ обязательна для госучреждений (приказ ФСТЭК № 117) и значимых объектов КИИ (приказ ФСТЭК № 235). Для обычной коммерческой организации без ПДн, КИИ и ГИС это рекомендация, а не норма.
• ✗ Привлекать нелицензиата для технических работ по ИСПДн или ГИС.
  Как правильно: для технического контура привлекайте организацию с лицензией ТЗКИ. Консультант без лицензии может помочь только методически — шаблон, консультации, проверка.
• ✗ Думать, что организационно-распорядительные документы нужно согласовать во ФСТЭК или РКН.
  Как правильно: ОРД утверждает руководитель организации. В РКН подаётся уведомление, а не документы. Согласованию с ФСТЭК/ФСБ подлежат только модель угроз и техзадание для ГИС.
• ✗ Игнорировать Указ № 250, если организация — субъект КИИ.
  Как правильно: все юрлица-субъекты КИИ обязаны привлекать только лицензиатов ТЗКИ. Даже если у вас нет значимых объектов, нарушение этого требования влечёт риски, включая претензии ФСТЭК.

Чем поможет МелданаСБ

Компания «МелданаСБ» работает дистанционно по всей России, в том числе с организациями в Самаре. Мы готовим правовой и организационный пакет, который закрывает требования ст. 18.1, 22.1, 22 152-ФЗ и ТК РФ по персональным данным, а также режим коммерческой тайны по 98-ФЗ. Документы адаптируются под ваши процессы на основе опросного листа, а не отдаются пустым шаблоном. Утверждает пакет руководитель вашей организации.

Что входит в правовой контур:

• политика обработки ПДн (для сайта и внутренняя), положение об обработке ПДн, положение о ПДн работников;
• приказ об ответственном за организацию обработки;
• формы согласий отдельными документами, поручения на обработку, регламент ответов субъектам и порядок уничтожения;
• режим коммерческой тайны: перечень сведений, положение, обязательства, гриф, журналы, NDA;
• общая политика ИБ и правила использования ИТ для коммерческой компании;
• документы по удалённой работе и подрядчикам.

Техническую часть ИСПДн (акт определения уровня защищённости, модель угроз, система защиты, инструкции по СЗИ, оценка эффективности) мы ведём методически или передаём партнёру-лицензиату ФСТЭК. Для ГИС, КИИ, банков и НФО наши специалисты помогают с правовой частью (ПДн, КТ) и организационной подготовкой, а работы по ИБ выполняет партнёр-лицензиат.

Частые вопросы

Чтобы правильно выбрать вариант подготовки документов по информационной безопасности, сначала определите правовой контур (ПДн, коммерческая тайна, политика для сотрудников) и технический контур (системы, средства защиты, аттестация). Если вам нужен комплект документов по персональным данным, обратите внимание на услугу по документам по ПДн, а для понимания технических требований изучите методическое сопровождение модели угроз. Заказать полный правовой пакет можно на странице документы по информационной безопасности.