Дисклеймер: Статья носит информационный характер и не является юридической консультацией. Актуальность: октябрь 2026. Учтены изменения ФЗ № 420-ФЗ от 30.11.2024 (действуют с 30.05.2025).
Владелец стоматологической клиники получает от подрядчика-айтишника коммерческое предложение: «Защита ИСПДн, уровень УЗ-3, сертифицированные средства, от 400 000 ₽». Владелец интернет-магазина носков получает похожее письмо, только с цифрой поменьше. Оба не понимают, что такое УЗ-3, почему именно он и можно ли обойтись без дорогих железок. Разобраться несложно: уровни защищённости персональных данных определяются по четырём входным параметрам, и для большинства малого бизнеса результат оказывается самым мягким из возможных.
Ниже — как устроена система уровней по Постановлению Правительства № 1119 от 01.11.2012, как посчитать свой уровень за вечер и что именно из этого следует.
Что такое ИСПДн и почему от этого зависит всё остальное
Информационная система персональных данных — это не обязательно сервер в подвале. По определению из ст. 3 152-ФЗ это совокупность содержащихся в базах данных ПДн и технологий, которые их обрабатывают. На практике ИСПДн — это 1С с карточками контрагентов, CRM с лидами, Excel-файл с клиентами на общем диске, облачная бухгалтерия, даже мессенджер, если вы переписываетесь там с клиентами и храните историю.
Одна компания обычно владеет несколькими ИСПДн: кадровой, клиентской, бухгалтерской, сайтовой. Уровень защищённости определяется для каждой отдельно. Это важная деталь: у ИП с интернет-магазином может быть УЗ-4 по клиентской базе и УЗ-4 по кадровой, и никто не заставляет защищать всё как банк.
Основание — ст. 19 152-ФЗ («Меры по обеспечению безопасности персональных данных при их обработке») и ПП № 1119. Если ст. 18.1 говорит про общие организационные меры оператора, то ст. 19 и 1119-е постановление отвечают на вопрос «как технически защищать». Кстати, перечень внутренних документов без акта определения уровня защищённости будет неполным: проверяющие просят именно его.
От чего зависит уровень: четыре параметра
Постановление № 1119 (п. 5–11) строит уровень из трёх вещей плюс одной оговорки.
Категория данных. Специальные (ст. 10: здоровье, судимость, убеждения), биометрические (ст. 11), «иные» (всё остальное: ФИО, телефон, адрес, e-mail) и общедоступные (то, что субъект сам сделал публичным). Чем чувствительнее данные, тем выше уровень.
Количество субъектов. Граница проходит по 100 000 человек. Меньше — один сценарий, больше — другой. Для специальных и «иных» данных отдельно учитывается, чьи это данные: сотрудников самого оператора или посторонних людей.
Тип актуальных угроз. Это самое непонятное место, поэтому объясню отдельно.
Оговорка про сотрудников. Если вы обрабатываете данные только собственных работников, уровень, как правило, ниже, чем при обработке данных клиентов того же объёма.
Три типа угроз без юридического тумана
Тип угроз — это про то, есть ли у вас основания опасаться «закладок» в программном обеспечении.
Угрозы 1-го типа актуальны, когда в системном ПО (операционная система, СУБД) могут быть недокументированные возможности. Угрозы 2-го типа — то же самое, но в прикладном ПО (бухгалтерская программа, CRM, сайт). Угрозы 3-го типа — те, которые к недокументированным возможностям не относятся: вирусы, ошибки сотрудников, кража ноутбука, взлом пароля.
Тип определяет сам оператор в модели угроз. Если вы работаете на обычной Windows или Linux, используете типовые программы из официальных источников и не обрабатываете данные в интересах государственной тайны, то 1-й и 2-й типы, как правило, неактуальны. Остаётся 3-й. С ним и живёт подавляющее большинство коммерческих компаний.
Подчеркну: это вывод оператора, а не автоматическая норма. Его нужно записать и обосновать в модели угроз. Для малого бизнеса достаточно короткого документа на две-три страницы, но пустой строки «угрозы 3 типа» в акте проверяющий не оценит.
Как посчитать уровень: таблица для типичных случаев
Полная матрица в п. 7–11 Постановления № 1119 состоит из десятков ячеек. Практический минимум для 3-го типа угроз — самого частого — выглядит так.
| Что обрабатываете | Субъекты | Уровень |
|---|---|---|
| «Иные» данные (ФИО, телефон, e-mail) | до 100 000 человек, клиенты или сотрудники | УЗ-4 |
| «Иные» данные | более 100 000 человек | УЗ-3 |
| Специальные данные | сотрудники или менее 100 000 человек | УЗ-3 |
| Специальные данные | более 100 000 человек, не сотрудники | УЗ-2 |
| Биометрические данные | любое количество | УЗ-3 |
Для 2-го типа угроз уровни выше на ступень, для 1-го — на две. Если у вас нестандартный случай, смотрите первоисточник, а не таблицу из блога: ячейки там тонкие.
Что получается на примерах. Интернет-магазин с базой в 30 000 покупателей: «иные» данные, 3-й тип угроз, менее 100 000 субъектов — УЗ-4. Стоматологическая клиника с картотекой пациентов: сведения о здоровье, специальные данные по ст. 10, пациенты — не сотрудники, менее 100 000 — УЗ-3. Фитнес-клуб с распознаванием лиц на турникете: биометрия, ст. 11 — тоже УЗ-3, хотя клиентов всего пара сотен. Отдел кадров на 80 человек: «иные» данные сотрудников — УЗ-4.
Обратите внимание: добавление одного поля в базу может поднять уровень. Завели в CRM пометку «аллергия на лидокаин» — и клиентская база превратилась из УЗ-4 в УЗ-3.
Что требуется на каждом уровне
Меры защиты расписаны в Постановлении № 1119 (п. 13–16) и приказе ФСТЭК № 21 от 18.02.2013. Они накапливаются: каждый следующий уровень включает всё предыдущее и добавляет своё.
УЗ-4 (самый частый). Организовать режим доступа в помещения, где стоят компьютеры с ПДн. Обеспечить сохранность носителей. Утвердить перечень сотрудников, которым доступ нужен для работы. Использовать средства защиты, прошедшие оценку соответствия, если без них не удаётся нейтрализовать актуальные угрозы. Для магазина с ноутбуком на кассе это означает: дверь закрывается, список допущенных подписан, пароли не на стикере, антивирус стоит.
УЗ-3. Всё из УЗ-4 плюс назначение должностного лица, отвечающего за безопасность ПДн в информационной системе. Ответственный за обработку и ответственный за безопасность в ИСПДн — это могут быть один человек или два разных, но приказ нужен в любом случае.
УЗ-2. Всё из УЗ-3 плюс ограничение доступа к электронному журналу сообщений: читать его могут только те, кому это необходимо для работы.
УЗ-1. Всё из УЗ-2 плюс автоматическая регистрация доступа к ПДн и отдельное структурное подразделение, отвечающее за безопасность. На такой уровень малый бизнес почти не выходит.
Отдельная история с криптографией и сертифицированными средствами. Требование использовать сертифицированные СЗИ растёт вместе с уровнем и с актуальностью конкретных угроз. Подрядчик, который продаёт сертифицированный комплекс в пакете с УЗ-4 «на всякий случай», часто продаёт лишнее. Спросите у него, какую именно угрозу из вашей модели закрывает каждый пункт сметы.
Акт определения уровня: что в нём должно быть
Уровень не присваивается автоматически и ни в каком реестре не фиксируется. Его определяет оператор сам и оформляет актом. По ст. 19 152-ФЗ и практике проверок в акте стоит указать:
- Наименование ИСПДн и её назначение.
- Категории данных и их перечень.
- Количество субъектов (с запасом на год вперёд) и чьи это данные.
- Тип актуальных угроз с короткой ссылкой на модель угроз.
- Итоговый уровень и пункт Постановления № 1119, по которому он определён.
- Состав комиссии (минимум два-три человека, включая ответственного) и дату.
Комиссию создаёт приказом руководитель. Акт пересматривается, когда меняется любой входной параметр: пошли в медицину, превысили порог субъектов, подключили биометрию, перешли на другую платформу. Если акта нет, а проверка запросила его, это уже само по себе отдельное нарушение требования об обеспечении безопасности, плюс косвенно — повод для вопросов по всей системе документов.
Перед вводом системы в эксплуатацию оператор оценивает эффективность принятых мер (п. 5 ч. 2 ст. 19). Для УЗ-4 это может быть внутренняя оценка с подписью ответственного, не обязательно внешний аудит.
Типичные ошибки
Самая частая: уровень не определён вообще. Политика есть, согласия есть, а акта нет. Вторая по популярности — скопированный акт из интернета с чужим количеством субъектов и чужой ИСПДн. Третья — «у нас УЗ-1 на всякий случай» и вытекающие из этого обязательства, которые компания физически не выполняет. Выполнить меньше, чем сама себе записала, хуже, чем честно записать УЗ-4 и выполнить его.
Четвёртая ошибка — забыть, что ИСПДн у подрядчика тоже ваша ответственность. Если данные клиентов лежат в облачной CRM, договор поручения должен быть, а обязанность по защите остаётся на вас. Здесь пригодится договор поручения. И не забудьте про локализацию: сервер должен стоять в России (ст. 18 ч. 5).
Цена ошибки — не только штраф за формальное нарушение. При утечке штрафы по ст. 13.11 КоАП после изменений ФЗ № 420-ФЗ доходят до 20 млн ₽, а при повторной — до 1–3% годовой выручки (минимум 20 млн, максимум 500 млн ₽). И первый документ, который запросят после инцидента, — как раз акт определения уровня и подтверждение выполнения мер. Порядок действий при утечке — отдельно: 24 часа и 72 часа.
Что делать прямо сейчас
Возьмите лист бумаги и выпишите свои ИСПДн: CRM, 1С, кадровая папка, формы на сайте, мессенджеры. Для каждой отметьте категорию данных, примерное число людей и тип угроз (почти наверняка 3-й). Сверьтесь с таблицей выше, а по спорным ячейкам откройте п. 7–11 Постановления № 1119. Потом оформите акт и приказ о комиссии.
Знаете ли вы, какой уровень защищённости у вашей клиентской базы и есть ли на него акт? Запустите бесплатный аудит на соответствие 152-ФЗ → Аудит покажет, каких документов и мер не хватает на вашем сайте, и подскажет, с чего начать закрывать пробелы.
Нормативные акты: ФЗ № 152-ФЗ «О персональных данных» (ст. 3, 10, 11, 18, 18.1, 19), ПП РФ № 1119 от 01.11.2012, приказ ФСТЭК России № 21 от 18.02.2013, КоАП РФ ст. 13.11 (в ред. ФЗ № 420-ФЗ от 30.11.2024).