Аттестация ИСПДн: в каких случаях нужен аттестат, а когда достаточно проверить эффективность защиты

Для государственных и муниципальных систем персональных данных предусмотрена обязательная аттестация. Эти системы включены в область применения приказа ФСТЭК России № 77 с учетом изменений, внесенных приказом № 60 и действующих с 1 сентября 2026 года.

Для коммерческих ИСПДн общего требования об аттестации нет. Оператору необходимо оценивать эффективность внедренных защитных мер не реже одного раза в три года. Сделать это можно самостоятельно либо с помощью организации – лицензиата ФСТЭК России. Аттестация тоже позволяет выполнить такую оценку, но предполагает наиболее формализованную и затратную процедуру.

Запрос на аттестацию не всегда означает необходимость аттестата. После обследования нередко выясняется, что компании достаточно более доступной оценки эффективности. Бывает и наоборот: госучреждение считает кадровую программу «обычной ИСПДн» и узнает о необходимости аттестации только во время проверки.

Рассмотрим, как статус системы влияет на требования, какой способ проверки защиты выбрать и когда добровольная аттестация полезна бизнесу.

Какие обязанности установлены для оператора персональных данных

Требования выстроены в трехуровневую систему. Обязанность обеспечивать безопасность персональных данных закреплена в статье 19 Федерального закона от 27.07.2006 № 152-ФЗ. Постановление Правительства РФ от 01.11.2012 № 1119 определяет четыре уровня защищенности и основания для их установления. Состав организационных и технических мер для этих уровней раскрывает приказ ФСТЭК России от 18.02.2013 № 21.

Здесь и возникает смешение процедур. Аттестация подтверждает выполнение требования об оценке по более формализованным правилам, но не становится от этого обязательной для всех. Большинство коммерческих операторов вправе выбрать другой способ проверки эффективности защиты.

Как уровень защищенности определяет состав мер

Уровень выбирают по совокупности факторов: категории данных, типу актуальных угроз, числу субъектов и тому, являются ли они работниками оператора.

Уровень определяет и требуемый класс сертифицированных средств защиты. Необоснованное повышение ведет к лишним закупкам, занижение – к недостаточной защите и несоответствиям при проверке. Поэтому выбор уровня требует обоснования, а не формального оформления акта.

В каких ситуациях без аттестации не обойтись

Обязательность определяется правовым статусом системы, а не только объемом или чувствительностью данных. Проверить нужно принадлежность ИСПДн и дополнительные требования к ней.

Государственные и муниципальные системы персональных данных

Для этой категории систем вопрос получил прямое нормативное закрепление с 1 сентября 2026 года. Приказ ФСТЭК России от 27.02.2026 № 60 скорректировал область действия Порядка аттестации, утвержденного приказом № 77. В перечне объектов обязательной аттестации прямо указаны государственные и муниципальные ИСПДн.

Раньше вопрос часто связывали с включением ИСПДн в состав ГИС, что порождало споры. Например, программа школы или поликлиники могла не иметь оформленного статуса ГИС, хотя обрабатывала данные в государственном учреждении. После уточнения перечня важна принадлежность самой ИСПДн, а не только ее связь с более крупной системой.

Если ИСПДн входит в ГИС, одновременно действуют приказ № 117 для государственной системы и приказ № 21 для персональных данных. Аттестацию необходимо пройти до начала обработки и хранения информации.

Аттестат предусмотрен договором или внутренними правилами группы

Основание может возникнуть из договора, а не из закона. Аттестат вправе предусмотреть государственный заказчик в контракте, головная организация для дочерних обществ или владелец системы для подключаемого участника. Принятое условие обязательно для исполнителя.

Условия подключения следует изучать заранее: отдельные государственные ресурсы требуют аттестованного рабочего места или сегмента. Если выяснить это перед запуском, процедура может сорвать сроки.

Когда организация выбирает аттестацию добровольно

Коммерческий оператор может инициировать аттестацию даже без прямого предписания. Обычно такое решение связано с одной из трех задач.

• Получить доступ к закупкам. В документации тендера может быть предусмотрен аттестат, а заказчик вправе уделять внимание тому, как участник подтверждает качество информационной безопасности.

• Подтвердить надежность перед крупным партнером. Заказчики с собственными стандартами ИБ проверяют подрядчиков, и независимая аттестация дает им понятное документальное основание для оценки защиты.

• Сократить неопределенность при регуляторных разбирательствах. При работе со значительными массивами чувствительной информации важно подтвердить, что защитные меры проверял лицензированный независимый исполнитель. Сам по себе аттестат не отменяет ответственность за утечку, но документирует проведенную работу.

Как проводится оценка эффективности защиты

Если обязательных оснований для аттестации нет, это не освобождает оператора от проверки внедренных мер. Требование выполняют через оценку эффективности. Поскольку приказ № 21 не устанавливает единую форму этой процедуры, на практике используют два основных подхода.

• Внутренняя оценка. Оператор назначает комиссию, проверяет свой набор мер и оформляет акт либо заключение. Это дешевле, но требует специалиста, способного подтвердить фактическое выполнение требований. Общая декларация о соответствии без описания проверок не заменяет оценку.

• Оценка независимым лицензиатом. Исполнитель с лицензией ФСТЭК России на техническую защиту конфиденциальной информации обследует систему и оформляет заключение с результатами проверок и несоответствиями. Внешняя работа требует бюджета, зато дает аргументы для общения с регулятором и помогает выявить недостатки, которые внутри организации не замечали.

Обе процедуры проверяют действующие защитные меры, а не только документы. Отличаются требования к исполнителю, регламент и результат: акт или заключение при оценке, аттестат соответствия при аттестации.

С чего начать проверку своей системы

1. Уточните статус системы. Государственная, муниципальная, коммерческая или часть ГИС – от этого зависит выбор процедуры.

2. Проверьте уровень защищенности. Акт должен обосновывать выбор по ПП РФ № 1119. Завышение увеличивает расходы, занижение создает несоответствия.

3. Обновите модель угроз. Подготовка нового приказа не отменяет текущих требований; модель должна учитывать действующую архитектуру.

4. Проверьте дату последней оценки. Если трехлетний срок истек, подходит к концу или оценку вообще не проводили, организуйте ее в первую очередь.

5. Пересмотрите договоры с обработчиками. Требования к защите данных, переданных подрядчику по поручению оператора, закрепляются в договоре.

6. Настройте уведомление об инцидентах. Первичное сообщение Роскомнадзору направляется в течение 24 часов с момента выявления, результаты расследования – в течение 72 часов. Обязанность действует независимо от уровня защищенности и наличия аттестата.

Какие изменения предлагает ФСТЭК России

Проект замены приказа № 21 опубликован ФСТЭК России 24 июля 2026 года. Обсуждение завершилось 8 августа. По состоянию на начало ноября документ не подписан и не зарегистрирован Минюстом России, поэтому применяется действующий приказ № 21.

Опубликованная редакция предполагает следующие изменения:

• Сохранение четырех уровней защищенности при другом подходе к мерам. Прежнюю жесткую зависимость фиксированного набора от уровня предлагается пересмотреть.

• Переход от таблицы мер к направлениям деятельности. По построению будущие требования приближаются к приказу № 117, который применяется к государственным системам.

• Оценку зрелости вместо оценки эффективности. Ее планируется выполнять перед началом обработки, затем как минимум один раз в три года, а также после компьютерного инцидента.

• Учет современных технологических сред. Отдельное внимание уделяется облакам, контейнеризации, API, интернету вещей и решениям с искусственным интеллектом.

• Требования к привлеченным обработчикам. Оператору предлагается определять необходимый уровень зрелости организаций, которым он поручает работу с персональными данными.

• Закрепление взаимодействия с ГосСОПКА. Такое взаимодействие включается в состав предусмотренных мер безопасности.

В государственном контуре аналогичный подход уже применяется. Изменения, внесенные в приказ № 117 приказом ФСТЭК России от 08.05.2026 № 137, закрепили обозначение Узи для показателя уровня зрелости вместо ранее использовавшегося Пзи. Методика оценки утверждена 7 августа 2026 года. Для ИСПДн, которая работает в составе государственной системы, эти правила относятся не к перспективе, а к текущим задачам обеспечения безопасности.

Какие санкции возможны при нарушениях

За неисполнение обязанностей в сфере персональных данных предусмотрена ответственность по статье 13.11 КоАП РФ. При этом наиболее значимые финансовые последствия сегодня связаны с утечками. Размер взыскания зависит от обстоятельств нарушения, категории данных и масштаба затронутой обработки.

Для биометрии и специальных категорий данных нет минимального порога по числу затронутых субъектов: значение имеет сама утечка. При повторной утечке штраф рассчитывается от выручки и начинается с 20 млн рублей, поэтому чувствителен для операторов любого размера.

Полномочия органов различаются. Роскомнадзор проверяет соблюдение закона о персональных данных всеми операторами. ФСТЭК России контролирует техническую защиту информации в государственных системах, а не общую деятельность коммерческих компаний. Государственное учреждение может столкнуться с двумя проверками одной системы, но с разными предметами контроля.

Часто задаваемые вопросы

Нет, если ИСПДн не является государственной, муниципальной или частью ГИС. Достаточно оценки эффективности не реже раза в три года – самостоятельно или с участием лицензиата ФСТЭК России. Договорные требования проверяются отдельно.

Да, для государственных и муниципальных ИСПДн предусмотрена обязательная аттестация. С 1 сентября 2026 года они прямо указаны в области применения приказа № 77 с изменениями, которые внес приказ № 60.

Оценку оператор вправе провести сам, выбрав форму и оформив акт либо заключение. Аттестацию выполняет лицензированный орган по правилам приказа № 77. Результатом становятся аттестат соответствия и внесение сведений в реестр ФСТЭК России.

Не реже одного раза в три года. Проверка после существенной модернизации или компьютерного инцидента также полезна, но действующий приказ № 21 прямо ее для этих случаев не предписывает.

Да. Приказ № 21 разрешает самостоятельную оценку, но ее нужно документировать: указать проверенные меры, способы проверки и выявленные отклонения. Декларации о соответствии без результатов недостаточно.

На начало ноября 2026 года – да. Проект замены опубликован 24 июля, обсуждение завершено 8 августа, но документ еще не подписан и не зарегистрирован Минюстом России.

Этот показатель позволяет перейти от качественных выводов о выполнении мер к измеримой оценке. Для государственных систем подход закреплен приказом № 117, используется обозначение Узи. Применительно к остальным ИСПДн переход предусмотрен проектом замены приказа № 21 и будет связан с принятием нового документа.

Нет. Аттестат подтверждает независимую проверку защиты лицензированным исполнителем и может учитываться при разбирательстве, но не освобождает оператора от ответственности за нарушение.

Изменения архитектуры или средств защиты предполагают дополнительные испытания. Повышение уровня защищенности требует повторной аттестации. Влияние модернизации на аттестат стоит оценить заранее.

Соблюдение закона о персональных данных всеми операторами проверяет Роскомнадзор. Вопросы технической защиты информации в государственных системах входят в сферу контроля ФСТЭК России. Предметы проверок различаются, даже когда речь идет об одной информационной системе.