Проверка по информационной безопасности и ПДн: что смотрят РКН, ФСТЭК и ЦБ в Самаре

Приходит уведомление о проверке, запрос от регулятора или претензия от клиента — и только тогда выясняется, что политика обработки персональных данных не опубликована, приказ об ответственном не подписан, а согласия собирались «как получится». Для многих компаний в Самаре это не гипотетический сценарий, а рабочая ситуация: документы по ИБ и ПДн существуют где-то в папках, не обновляются и не доводятся до сотрудников.

В статье разберём, кто из регуляторов что именно контролирует, какие документы запрашивают в первую очередь, где заканчивается обязательность и начинается рекомендация, и как подготовиться к проверке без лишних затрат. Материал построен по нормам 152-ФЗ, приказам ФСТЭК № 117, 235, 239 и положениям Банка России, актуальным на дату публикации.

Кто кого проверяет

Важное разграничение: технические меры защиты коммерческой ИСПДн ФСТЭК не контролирует. Согласно ч. 8 ст. 19 152-ФЗ этот контроль относится к ГИС ПДн и госорганам. Поэтому обычной компании, которая обрабатывает ПДн в CRM, 1С или на сайте, нужно готовиться прежде всего к проверке РКН — по документам и локальным актам.

Что запрашивает РКН

По ч. 4 ст. 18.1 152-ФЗ оператор обязан по запросу РКН представить документы и локальные акты, подтверждающие принятие мер. Перечень мер в ч. 1 ст. 18.1 открытый, но на практике первым делом смотрят:

• Политику обработки ПДн. Документ должен быть опубликован или иным образом доступен неограниченному кругу лиц. Если ПДн собираются через сайт — политика размещается на страницах сбора.
• Локальные акты по целям обработки. Для каждой цели нужно зафиксировать категории и перечень ПДн, категории субъектов, способы, сроки обработки и порядок уничтожения.
• Приказ о назначении ответственного за организацию обработки ПДн. Для юридического лица это прямое требование ст. 22.1 152-ФЗ.
• Оценку вреда субъектам ПДн — по требованиям приказа РКН от 27.10.2022 № 178.
• Документы о порядке уничтожения ПДн — по требованиям приказа РКН от 28.10.2022 № 179: акт об уничтожении и (или) выгрузка из журнала.
• Согласия на обработку ПДн. С 01.09.2025 согласие оформляется отдельно от иных документов, которые подписывает субъект, — отдельной формой, а не пунктом договора или анкеты.
• Уведомление в РКН о намерении обрабатывать ПДн. Подаётся до начала обработки. Исключение, действовавшее раньше для обработки только данных работников, утратило силу с 01.09.2022.
• Поручения на обработку подрядчикам: службам доставки, CRM-провайдерам, рассылочным сервисам, бухгалтерии на аутсорсе.

Если обработка ведётся без средств автоматизации, дополнительно работают требования ПП РФ № 687 от 15.09.2008: журнал или реестр пропуска на территорию, перечень мест хранения носителей, перечень лиц с доступом, типовые формы документов. РКН ориентируется на проверочный лист, утверждённый приказом РКН от 24.12.2021 № 253; по имеющимся данным, готовится его актуализация с акцентом на уничтожение, обезличивание и содержание согласий.

Что смотрит ФСТЭК (ГИС, КИИ)

ФСТЭК проверяет не всех подряд. Обычные коммерческие ИСПДн под плановый контроль ФСТЭК не попадают. В зоне надзора три группы:

1. ГИС и информационные системы госорганов, госучреждений, ГУП

С 01.03.2026 действует приказ ФСТЭК № 117. Он требует оформить документально:

• Политику защиты информации — именно такой термин, а не «политика безопасности». Документ учитывает все ИС оператора и ИТ-инфраструктуру, утверждается руководителем или ответственным лицом.
• Приказ об ответственном лице с обязанностями в должностной инструкции.
• Положение о подразделении защиты информации или иной документ о функциях специалистов.
• Внутренние стандарты и внутренние регламенты по защите информации: порядок реализации мер, процессы, требования к подрядчикам.
• План мероприятий по совершенствованию защиты информации с наименованиями, сроками и ответственными.
• С 01.03.2027 — документы по расчёту Кзи (не реже раза в 6 месяцев) и Узи подрядчиков до допуска и раз в 2 года.

По ПП РФ № 676 от 06.07.2015 организационно-распорядительные документы входят в состав мероприятий при вводе ГИС в эксплуатацию и проверяются при аттестации. Исполнителем работ по ГИС может быть только лицензиат ФСТЭК на ТЗКИ.

2. Субъекты КИИ и значимые объекты КИИ

Для всех юридических лиц — субъектов КИИ действует Указ Президента РФ № 250: нужно назначить заместителя руководителя, ответственного за ИБ, создать структурное подразделение и привлекать исключительно лицензиатов ТЗКИ. На уровне документов это приказ о назначении и положение о подразделении ИБ. Типовые формы утверждены ПП РФ № 1272 от 15.07.2022.

Для значимых объектов требования к ОРД заданы приказами ФСТЭК № 235 и № 239. Состав и формы ОРД определяет сам субъект, но они должны включать политику безопасности, модель угроз, регламенты по 17 группам мер «Регламентация правил и процедур», ежегодный план мероприятий и отчёт о его выполнении, порядок реагирования на инциденты, инструкции пользователей и администраторов. С 30.01.2026 по приказу ФСБ № 547 значимому объекту нужен план реагирования на компьютерные инциденты: он готовится в течение 90 дней после включения в реестр, копия направляется в НКЦКИ за 7 дней.

3. Лицензиаты ТЗКИ и работы с гостайной

Их проверяют на соответствие лицензионным требованиям, включая наличие внутренней документации по защите информации. Для остальных коммерческих компаний проверки ФСТЭК — не типовой сценарий.

ЦБ для финсектора

Для кредитных организаций с 29.03.2025 действует Положение Банка России № 851-П, которое заменило 683-П. Оно устанавливает уровни защиты: усиленный — для системно значимых и значимых на рынке платёжных услуг кредитных организаций, стандартный — для остальных. Оценка соответствия проводится по ГОСТ Р 57580.2-2018 с привлечением проверяющих организаций не реже раза в 2 года, уровень соответствия должен быть не ниже 4-го.

Для защиты информации при переводах денежных средств применяется 821-П, для некредитных финансовых организаций — 757-П. По имеющимся данным, с 01.10.2026 усиливаются требования Указания № 7220-У по переводам, с 01.01.2027 обновляются требования для НФО по Указанию № 7219-У. Операционная надёжность кредитных организаций регулируется 787-П, НФО — 779-П.

Документы финсектора — это не «пакет по ПДн», а система защиты информации по ГОСТ Р 57580.1: политики, процессы планирования, реализации, контроля и совершенствования мер, плюс документы по операционной надёжности. Поэтому для банка или МФО подготовка ИБ-документов под ключ не может выполняться нелицензиатом. МелданаСБ в финсекторе помогает только с правовой частью: ПДн, коммерческая тайна, организационная подготовка.

Чек-лист подготовки

Типовые ошибки

• ✗ «ФСТЭК оштрафует обычную компанию за отсутствие политики ИБ». Как правильно: коммерческие ИСПДн ФСТЭК не проверяет. За документами по ПДн приходит РКН; ФСТЭК работает с госсектором, КИИ и лицензиатами.
• ✗ «Политика ПДн и политика ИБ — одно и то же». Как правильно: политика обработки ПДн публикуется и обязательна для всех операторов. Политика ИБ для коммерческой компании — внутренний документ, рекомендуемый практикой, а в госсекторе и для значимых объектов КИИ — обязательный иной документ.
• ✗ «Уведомление в РКН не нужно, если обрабатываем только работников». Как правильно: такое исключение утратило силу с 01.09.2022. Подайте уведомление до начала обработки, если обработка не исключительно бумажная.
• ✗ «Режим коммерческой тайны действует, если сотрудник подписал NDA». Как правильно: режим считается установленным только после принятия всех мер ст. 10 98-ФЗ: перечень сведений, положение, учёт лиц, договорные условия, гриф. Без них NDA не защитит сведения как коммерческую тайну в суде.
• ✗ «Документы можно подписать задним числом перед проверкой». Как правильно: работники должны быть ознакомлены под роспись до начала обработки, журналы и акты — датироваться реальными событиями. Несовпадение дат и версий легко выявляется.

Чем поможет МелданаСБ

МелданаСБ дистанционно готовит правовой и организационный пакет документов по ПДн и коммерческой тайне. Вы заполняете опросный лист о деятельности, целях обработки, системах, сотрудниках и контрагентах — специалист адаптирует документы под ваши процессы, а не отдаёт пустой шаблон. Документы утверждает руководитель заказчика.

В состав услуг входят:

• Политика обработки ПДн для сайта и внутренняя, положение об обработке ПДн, положение о ПДн работников, приказ об ответственном, формы согласий отдельными документами, поручения на обработку, регламент ответов субъектам, порядок уничтожения.
• Политика ИБ и правила использования ИТ для коммерческой компании, документы по удалённой работе и NDA.
• Режим коммерческой тайны: положение, перечень сведений, приказ, обязательства работников, гриф, журналы, условия для контрагентов.
• Методическое сопровождение технической части ИСПДн: модель угроз, акт определения уровня защищённости, инструкции по СЗИ — шаблон, указания, проверка. Документ готовит и утверждает специалист заказчика или лицензиат ФСТЭК.

Техническую часть ИСПДн, ГИС и работы для субъектов КИИ МелданаСБ выполняет только с партнёром-лицензиатом ФСТЭК. Мы не обещаем подготовку модели угроз или аттестацию под ключ — это зона лицензируемой ТЗКИ. Правовая часть и организационная подготовка остаются за нами.

Частые вопросы

Подготовиться к проверке можно без переплат и бюрократического хаоса. Посмотрите документы по информационной безопасности, изучите актуальную нормативную базу и используйте образцы документов, чтобы заранее проверить себя. В Самаре это дешевле, чем ждать запрос от РКН.