Первая статья была про риски: штрафы до 6 млн ₽, блокировка деятельности, уголовная ответственность. Всё это реально, если игнорировать новые требования (Приказ ФСТЭК №117, действует с 1 марта 2026 года).
Теперь — о том, что делать конкретно. Без паники, но без промедления.
Вот три шага, которые руководитель должен запустить в первую очередь.
Шаг 1. Назначьте ответственного за защиту информации
По пунктам 17–18 требований:
- Либо вы назначаете приказом ответственного за организацию защиты информации.
- Либо сами становитесь этим ответственным (руководитель по умолчанию).
Что проще? Назначить.
Кого можно назначить:
- штатного ИБ-специалиста (если есть);
- системного администратора;
- юриста, который разбирается в 152-ФЗ;
- любого толкового сотрудника — главное, чтобы он понимал, что это не «галочка», а реальная работа.
Важное уточнение для большинства госорганов и госкомпаний
Указ Президента №250 от 01.05.2022 устанавливает особые требования для федеральных органов власти, государственных фондов, корпораций, стратегических предприятий и субъектов КИИ. Там чётко сказано: ответственным за информационную безопасность должен быть заместитель руководителя, и это нужно оформить отдельным распорядительным документом.
Если ваша организация подпадает под действие этого указа, назначать ответственного из числа рядовых специалистов недостаточно — нужен именно заместитель. Это важно, потому что такая должность обычно подразумевает больше полномочий и доступа к ресурсам, которые необходимы для полноценной работы по ИБ.
Как оформить (общие правила):
- Издать приказ о назначении.
- Внести обязанности в должностную инструкцию или трудовой договор.
- Указать, что этот сотрудник организует, управляет и контролирует защиту информации.
- Для организаций под Указ №250 — оформить возложение полномочий по обеспечению ИБ на заместителя руководителя отдельным документом.
Важно: если не назначите — отвечаете лично. Удобнее, когда есть конкретный исполнитель (или заместитель) с чёткими полномочиями.
Шаг 2. Выделите ресурсы (хотя бы минимальные)
Пункт 27 требований обязывает руководителя выделить организационные, технические и иные ресурсы для защиты информации.
Что это значит на практике:
- Время сотрудников (отдела ИБ, IT, юристов) на разработку документов.
- Бюджет на средства защиты информации (СЗИ с сертификатом ФСТЭК).
- Доступ к информации о конфигурациях ИС, обновлениях, сетях.
Что нужно сделать прямо сейчас:
- Выслушать обоснованное предложение от ваших ИТ- или ИБ-специалистов (или от назначенного ответственного).
- Если ресурсов в бюджете нет — зафиксировать это документально. Но лучше найти минимум. Проверяющие будут смотреть не только на деньги, но и на организационные меры.
Шаг 3. Разработайте и утвердите Политику защиты информации
Пункты 14–15 требований называют Политику защиты информации главным локальным актом.
Это не «ещё одна бумажка». Это документ, который определяет:
- Какую информацию вы защищаете.
- От каких угроз.
- Кто за что отвечает.
- Как устроена система защиты.
Без Политики нельзя:
- разработать внутренние стандарты и регламенты;
- определить класс защищенности ИС;
- выбрать сертифицированные средства защиты;
- пройти проверку ФСТЭК.
Что должно быть в Политике (минимум):
- Цели и задачи защиты информации.
- Принципы защиты.
- Перечень объектов защиты (какие ИС, оборудование, сети).
- Категории лиц, участвующих в защите.
- Их обязанности и полномочия.
- Ответственность за нарушения.
Кто утверждает: руководитель организации.
Регулятор сказал: Политику нужно разработать в первоочередном порядке. Не откладывайте на «потом».
Бонус: план перехода
В требовании №13 и в информационном сообщении ФСТЭК от 12.03.2026 прямо рекомендовано разработать план перехода к выполнению требований №117.
В плане опишите:
- какие мероприятия и меры вы будете внедрять;
- в какие сроки;
- кто за каждую меру отвечает.
Этот план утверждается руководителем. Он поможет не забыть ничего важного и показать проверяющим, что процесс идёт.
Итог: первые три шага за неделю
Шаг 1. Назначить ответственного за защиту информации (приказом)
📌 Срок — 1–2 дня.
Шаг 2. Выделить ресурсы (хотя бы зафиксировать, что нужно)
📌 Срок — 2–3 дня.
Шаг 3. Начать разработку Политики защиты информации (можно по шаблону)
📌 Срок — 3–5 дней.
Параллельно — составить план перехода.
Подписывайтесь, чтобы не пропустить следующие статьи
В ближайших выпусках:
- как разработать Политику защиты информации (пошаговый алгоритм);
- внутренние стандарты и регламенты: что писать, чтобы не ошибиться;
- как определить класс защищённости вашей ИС за один вечер;
- готовые шаблоны документов.
Если нужна помощь или готовая документация — заходите на synlawtech.ru. Там же можно пройти экспресс-тест на готовность к проверкам (за 3 минуты) или заказать бесплатную консультацию.
Появились вопросы после прочтения? Пишите в комментариях — разберём в следующих статьях.
