Документы по защите информации для государственного учреждения в Самаре: требования приказа ФСТЭК № 117

С 1 марта 2026 года вместо приказа ФСТЭК № 17 начал действовать приказ ФСТЭК России от 11.04.2025 № 117 «Об утверждении Требований о защите информации, содержащейся в государственных информационных системах, информационных системах государственных органов, государственных унитарных предприятий и государственных учреждений». Если ваше учреждение — школа, больница, дом культуры, администрация или иное государственное (муниципальное) учреждение в Самаре, и учредитель требует привести документы по информационной безопасности в соответствие с новыми требованиями — эта статья поможет разобраться, что действительно обязательно, а что можно отложить.

Разберём состав организационно-распорядительных документов по приказу № 117, что изменилось по сравнению со старым приказом № 17, как выполнить требования по ГосСОПКА для госсектора и какие документы по персональным данным обязательны параллельно. Также покажем, как получить комплект без лишних затрат и в разумные сроки.

Какие документы по ИБ обязательны: государственное или муниципальное учреждение

Государственные и муниципальные учреждения в Самаре находятся под действием сразу нескольких нормативных актов в области защиты информации. Ключевые из них:

• Приказ ФСТЭК № 117 от 11.04.2025 (в ред. приказа № 137 от 08.05.2026) — устанавливает требования к защите информации в информационных системах госорганов, госучреждений и ГУП, а также в государственных информационных системах (ГИС).
• Постановление Правительства № 676 от 06.07.2015 — для учреждений, эксплуатирующих ГИС: организационно-распорядительные документы по защите информации включаются в состав мероприятий при вводе системы в эксплуатацию.
• Федеральный закон № 152-ФЗ «О персональных данных» — если учреждение обрабатывает ПДн (работники, посетители, учащиеся), обязательны документы по ст. 18.1, 19, 22.1.
• Часть 4 статьи 9 Федерального закона № 187-ФЗ — обязывает госорганы, госучреждения, ГУП и госкорпорации взаимодействовать с ГосСОПКА и сообщать об инцидентах независимо от статуса объекта КИИ.
• Трудовой кодекс РФ, ст. 86–88 — для ПДн работников: локальный нормативный акт, ознакомление под роспись, перечень лиц с доступом.

Ниже — сводная таблица, где видно, что обязательно по норме, а что относится к рекомендациям или практике.

Некоторые документы, например журнал учёта машинных носителей ПДн, приказ о перечне лиц с доступом к ПДн, акт оценки вреда — тоже важны, но их обязательность вытекает из общего требования обеспечить безопасность ПДн (ст. 19 152-ФЗ, приказ РКН № 178) и практики проверок. Мы рекомендуем включать их в комплект.

Состав комплекта для вашей организации

Для удобства мы свели типовой состав документов по ИБ для государственного или муниципального учреждения в таблицу. Учитывайте, что точный перечень зависит от того, есть ли у вас ГИС, обрабатываете ли вы ПДн, подключены ли вы к ГосСОПКА и есть ли структурное подразделение по защите информации.

Все документы утверждает руководитель учреждения. Работники знакомятся под роспись с политиками, регламентами и локальными актами в части, которая их касается. Если подрядчик получает доступ к вашим системам или данным, его обязанность соблюдать ваши стандарты и регламенты закрепляется в договоре (п. 16, 26 приказа № 117).

Кто проверяет и что смотрят

Для государственных и муниципальных учреждений контролирующих инстанций несколько:

• ФСТЭК России — плановые и внеплановые проверки соблюдения требований приказа № 117, аттестация ГИС, контроль за лицензированием привлекаемых подрядчиков.
• Роскомнадзор — проверки по персональным данным (политика, согласия, ответственный, локальные акты, уведомление).
• Прокуратура — надзор за исполнением законодательства о защите информации и персональных данных.
• Вышестоящий орган (учредитель) — ведомственный контроль, внутренние проверки.

На практике инспекторы чаще всего запрашивают:

1. Утверждённую политику защиты информации и доказательства ознакомления работников.
2. Приказы о назначении ответственных лиц (за защиту информации и за организацию обработки ПДн).
3. Положение о подразделении по защите информации или документ о возложении этих функций на конкретных специалистов.
4. Внутренние стандарты и регламенты (особенно по управлению доступом, антивирусной защите, резервному копированию).
5. План мероприятий по совершенствованию защиты информации и отчёты о его выполнении.
6. Документы по ГосСОПКА: регламент взаимодействия, журнал инцидентов, доказательства уведомления НКЦКИ.
7. По ПДн: опубликованная политика, согласия, приказ об ответственном, локальные акты по целям обработки, оценка вреда.

Как мы готовим комплект

МелданаСБ работает дистанционно по всей России. Для госучреждений мы предлагаем два варианта: правовой контур (ПДн, коммерческая тайна, если есть) — полностью под ключ, и организационно-методическое сопровождение по приказу № 117 (шаблоны, консультации, проверка проектов), а техническую часть (разработка политики ЗИ, стандартов, регламентов, модель угроз, аттестация ГИС) выполняет наш партнёр-лицензиат ФСТЭК. Ниже — как строится работа.

Что делается с партнёром-лицензиатом ФСТЭК: разработка политики защиты информации, внутренних стандартов и регламентов, плана мероприятий по приказу № 117, модель угроз ГИС, подготовка к аттестации — эти работы выполняет только организация с лицензией на техническую защиту конфиденциальной информации. Мы помогаем собрать исходные данные, подготовить правовую часть (ПДн, КТ), скоординировать взаимодействие и проверить комплектность перед утверждением.

Особенности, о которых забывают

• ✓ Приказ № 17 больше не действует. С 01.03.2026 все ссылки в документах, шаблонах и договорах нужно заменить на приказ № 117. Термин «политика безопасности» заменяется на «политика защиты информации».
• ✓ ГосСОПКА обязательна для всех госучреждений. Даже если ваше учреждение не является субъектом КИИ, ч. 4 ст. 9 187-ФЗ обязывает взаимодействовать с ГосСОПКА и информировать об инцидентах. Нужен регламент и назначенные ответственные.
• ✓ Аттестация ГИС — только лицензиат. Проводить аттестацию своими силами нельзя. Заранее планируйте бюджет и сроки: привлечение лицензиата обязательно.
• ✓ С 01.03.2027 вводятся Кзи и Узи. Показатель защищённости (Кзи) нужно рассчитывать каждые 6 месяцев, уровень зрелости подрядчиков (Узи) — до допуска и раз в 2 года. Это потребует новых документов и процедур.
• ✓ Подрядчики должны соблюдать ваши документы. В договоры с ИТ-подрядчиками, разработчиками, обслуживающими организациями включайте обязанность выполнять политику ЗИ, стандарты и регламенты (п. 16, 26 приказа № 117).

Разбор на примере: подведомственное учреждение культуры с региональной ГИС

Как работали:

1. Направили опросный лист, выяснили состав ИС, перечень обрабатываемых ПДн, наличие ГИС и подрядчиков.
2. Проанализировали цели обработки ПДн, подготовили правовой пакет (политика ПДн, согласия, приказы).
3. Передали партнёру-лицензиату исходные данные для разработки документов по приказу № 117.
4. Организовали согласование проектов с руководством учреждения, внесли правки.
5. Помогли утвердить документы, оформить листы ознакомления, выдали памятку по поддержанию и взаимодействию с ГосСОПКА.

Что будет без документов

Прямого штрафа «за отсутствие политики защиты информации по приказу № 117» в КоАП РФ нет, но последствия всё равно серьёзные:

• Предписание ФСТЭК и приостановка эксплуатации ГИС. Без утверждённой политики, стандартов и регламентов систему не аттестуют, а эксплуатация неаттестованной ГИС — нарушение ПП № 676.
• Дисциплинарная ответственность руководителя со стороны учредителя за неисполнение требований по защите информации.
• По персональным данным штрафы реальны: неопубликованная политика ПДн — для юрлиц 30 000–60 000 ₽ (ч. 3 ст. 13.11 КоАП); обработка без законных оснований — 150 000–300 000 ₽ (ч. 1); утечка ПДн — от 3 млн до 20 млн ₽ за первый случай, повторно до 500 млн ₽.
• При инциденте с ГосСОПКА: несвоевременное уведомление об инциденте может повлечь административную ответственность, а для должностных лиц — вплоть до дисквалификации (по смежным составам).
• В гражданско-правовых спорах отсутствие документов о режиме защиты (например, коммерческой тайны, если она есть) лишает возможности доказать сохранность сведений и взыскать убытки с виновных.

Мы намеренно не запугиваем: часть рисков управленческая, а не карательная. Но практика проверок 2025–2026 годов показывает, что госучреждениям без комплекта документов всё сложнее проходить даже плановые проверки.

Чем поможем и сколько это стоит

МелданаСБ — компания-интегратор по документальному сопровождению ИБ. Мы честно разделяем: правовой контур (ПДн, коммерческая тайна) делаем под ключ, а техническую часть по приказу № 117 — только методически или с партнёром-лицензиатом. Ниже — состав нашей помощи.

• Анализ деятельности учреждения и состава обрабатываемых ПДн (опросный лист + консультация).
• Правовой пакет по ПДн: политика обработки ПДн (для сайта и внутренняя), положение об обработке ПДн, положение о ПДн работников, приказ об ответственном, формы согласий, поручения на обработку, регламент ответов субъектам, порядок уничтожения, оценка вреда.
• Режим коммерческой тайны (если есть): положение, перечень сведений, приказ, обязательства работников, гриф, журналы, NDA для контрагентов.
• Методическое сопровождение по приказу № 117: шаблоны политики ЗИ, стандартов, регламентов, плана мероприятий; консультации по заполнению; проверка проектов перед утверждением.
• Организационная помощь: координация с партнёром-лицензиатом, сбор исходных данных, подготовка к проверкам.
• Памятка по поддержанию документов и срокам актуализации.

Почему у нас дешевле: мы используем отработанные типовые решения, работаем дистанционно без выезда специалиста, документы готовит живой специалист, а не генератор. Это позволяет адаптировать документы под ваши процессы, а не отдавать пустой шаблон, и при этом экономить бюджет учреждения.

Частые вопросы

Больше о требованиях и составе документов — в разделе «Документы по информационной безопасности». Если нужна помощь с персональными данными, обратите внимание на услугу «Документы по персональным данным». Актуальная нормативная база собрана в разделе «Нормативная база».