С 30 мая 2025 года в России действует обязательный порядок подачи уведомления о намерении осуществлять обработку персональных данных (далее – Уведомление) в Роскомнадзор. Одним из ключевых разделов этой формы является раздел «Средства обеспечения безопасности». В нём оператор (владелец сайта‚ интернет‑магазин‚ ИТ‑компания и т.п.) обязан подробно описать‚ какие организационные и технические меры он применяет для защиты персональных данных (ПДн) от несанкционированного доступа‚ изменения‚ уничтожения и других угроз.

Правовая база

• Федеральный закон № 152‑ФЗ «О персональных данных» (ст. 19‚ ст. 22).
• Постановление Правительства РФ № 261‑ФЗ «Об утверждении требований к защите персональных данных»‚ вступившее в силу 25 июля 2011 года.
• Приказ ФСТЭК № 21 «Об утверждении состава организационных и технических мер в зависимости от уровня защищённости».
• Инструкции Роскомнадзора (п. 11 статьи 22 ФЗ‑152‚ дополнения 2025‑2026 гг.)

Эти нормативные акты определяют‚ что в Уведомлении необходимо указать:

1. Перечень лиц‚ имеющих доступ к ПДн‚ и их полномочия.
2. Организационные меры (политика доступа‚ обучение персонала‚ назначение ответственного).
3. Технические средства (антивирусы‚ межсетевые экраны‚ средства шифрования‚ система контроля доступа и т.д.).
4. Наличие программно‑технических средств‚ прошедших оценку соответствия.

Что именно считается «средствами обеспечения безопасности»?

Согласно Приказу ФСТЭК № 21 и рекомендациям Роскомнадзора‚ в Уведомление следует включать как минимум следующие категории:

Технические средства

• Антивирусная защита – программные решения‚ обнаруживающие и блокирующие вредоносный код.
• Средства межсетевого экранирования (фаерволы) – аппаратные или программные‚ контролирующие входящий/исходящий трафик.
• Системы обнаружения и предотвращения вторжений (IDS/IPS).
• Средства шифрования данных – SSL/TLS для передачи‚ шифрование баз данных (AES‑256‚ RSA).
• Системы контроля доступа (ACL‚ RBAC) – разграничение прав пользователей.
• Средства поиска уязвимостей – сканеры (Nessus‚ OpenVAS) и регулярные пентесты;
• Средства защиты виртуализированных сред – гипервизоры с интегрированными модулями безопасности.
• Средства резервного копирования и восстановления – автоматические бэкапы‚ проверка целостности.
• Средства аудита и журналирования – SIEM‑системы‚ сбор логов‚ мониторинг событий.

Организационные меры

• Назначение Ответственного за обеспечение безопасности ПДн (DPO).
• Ведение реестра доступа к персональным данным.
• Регулярное обучение персонала правилам работы с ПДн и требованиям информационной безопасности.
• Разработка и утверждение политики паролей (длина‚ сложность‚ периодическая смена).
• Проведение оценки рисков и планов реагирования на инциденты.
• Оформление документов о контроле доступа (приказы‚ инструкции).

Как правильно оформить раздел в Уведомлении?

Ниже – пошаговая инструкция‚ основанная на рекомендациях Контур.Экстерн и GetCourse:

1. Определите уровень защищённости (низкий‚ средний‚ высокий) в соответствии с Приказом ФСТЭК № 21.
2. Составьте список всех технических средств‚ которые уже задействованы в вашей ИТ‑инфраструктуре. Укажите:
   • Наименование продукта (например‚ Kaspersky Endpoint Security).
   • Версию.
   • Краткое назначение (антивирус‚ фаервол‚ шифрование).
3. Отметьте‚ прошли ли эти средства оценку соответствия (сертификация ФСТЭК‚ ISO 27001 и т.п.). Если нет – укажите план получения.
4. Опишите организационные меры:
   • Кто отвечает за безопасность (ФИО‚ должность).
   • Как осуществляется контроль доступа (роли‚ права).
   • Как проводится обучение персонала (частота‚ темы).
5. Укажите процедуры реагирования на инциденты (план действий‚ контактные лица).
6. Проверьте‚ чтобы информация была полной и достоверной. Роскомнадзор может запросить подтверждающие документы.
7. Заполните форму Уведомления через портал Роскомнадзора (без электронной подписи‚ если позволяет порядок).

Пример заполнения раздела «Средства обеспечения безопасности»

Ниже – условный пример‚ который можно адаптировать под свою компанию.

Средства обеспечения безопасности персональных данных

Технические средства:
 • Антивирус «Kaspersky Endpoint Security»‚ версия 12.3 – защита рабочих станций и серверов.
 • Межсетевой экран (Cisco ASA 5506‑X) – контроль входящего и исходящего трафика.
 • Система обнаружения вторжений (Snort) – мониторинг подозрительных пакетов.
 • Шифрование данных в базе (AES‑256) – реализовано через модуль Transparent Data Encryption (Microsoft SQL Server).
 • Система резервного копирования Veeam Backup & Replication – ежедневные инкрементные бэкапы‚ хранение в зашифрованном виде.
 • SIEM‑платформа (Splunk Enterprise) – сбор и корреляция логов‚ формирование отчётов о событиях безопасности.
 • Сканер уязвимостей Nessus – ежемесячный аудит инфраструктуры.

Организационные меры:
 • Назначен ответственный за безопасность ПДн – Иванов И.И.‚ должность «Главный специалист по информационной безопасности».
 • Введён реестр доступа к ПДн‚ в котором указаны ФИО сотрудников‚ уровни доступа и дата последнего изменения прав.
 • Политика паролей: минимум ‚ обязательное использование заглавных букв‚ цифр и спецсимволов; смена каждые 90 дней.
 • Обучение персонала: раз в квартал проводится семинар «Работа с персональными данными и кибербезопасность»‚ обязательное для всех сотрудников‚ имеющих доступ к ПДн.
 • План реагирования на инциденты: «Incident Response Plan v.3.2»‚ включает уведомление Роскомнадзора в течение 24 часов после обнаружения факта нарушения.

Оценка соответствия:
 • Все вышеуказанные средства прошли сертификацию ФСТЭК (сертификаты № 12345‑2024‚ № 67890‑2025).
 • Компания имеет сертификат ISO 27001 (2024 г.) – подтверждает соответствие международным требованиям к информационной безопасности.

Что делать‚ если у вас «нет» некоторых средств?

Роскомнадзор допускает‚ что у небольших операторов могут отсутствовать сложные решения. В этом случае необходимо указать базовые‚ но обязательные меры:

• Пароли и их политика (обязательно указать).
• Антивирусная защита (даже бесплатный продукт‚ но с актуальными обновлениями).
• Разграничение прав доступа (например‚ использование групп в Active Directory).
• Регулярное резервное копирование.
• Обучение персонала (хотя бы один раз в год).

Важно подчеркнуть‚ что даже «базовые» меры должны быть задокументированы и реализованы на практике – иначе Роскомнадзор может расценить их как недостаток и наложить штраф.

Часто задаваемые вопросы (FAQ)

Нужно ли указывать каждую отдельную программу?

Да. В Уведомлении требуется перечислить все средства‚ которые непосредственно участвуют в защите ПДн. Если их много‚ их можно сгруппировать по типу (антивирусы‚ фаерволы‚ шифрование и т.д.).

Как оформить «оценку соответствия»?

Указывайте номер сертификата ФСТЭК‚ дату выдачи и срок действия. При отсутствии сертификата – опишите план получения и сроки.

Можно ли использовать облачные сервисы?

Да‚ но необходимо указать‚ какие меры защиты предоставляет облачный провайдер (шифрование при хранении‚ контроль доступа‚ сертификаты ISO 27001‚ SOC 2 и т.п.). Также необходимо оформить договор с провайдером‚ где прописаны обязательства по защите ПДн.

Как часто нужно обновлять сведения о средствах?

При любом изменении (добавление/удаление программы‚ изменение версии‚ получение новой сертификации) необходимо подать дополнительное уведомление в Роскомнадзор в течение 30 дней.

Правильное и полное описание средств обеспечения безопасности в Уведомлении Роскомнадзора – это не только формальность‚ но и доказательство того‚ что ваш бизнес соблюдает требования закона о защите персональных данных. При подготовке раздела следует:

1. Определить уровень защищённости и соответствующие ему меры.
2. Перечислить все технические средства (антивирусы‚ фаерволы‚ шифрование‚ резервные копии‚ SIEM и др.).
3. Подробно описать организационные меры (ответственные лица‚ реестр доступа‚ обучение‚ политика паролей).
4. Указать наличие сертификатов и оценок соответствия.
5. Обновлять сведения при любых изменениях.

Следуя этой инструкции‚ вы сможете быстро и без ошибок подготовить Уведомление‚ избежать штрафов и‚ главное‚ обеспечить надёжную защиту персональных данных ваших клиентов.

Дата актуализации: 19 апреля 2026 г.