# Акт определения уровня защищённости ПДн: образец и порядок составления

> Источник: https://ftex.pro/blog/akt-opredeleniya-urovnya-zashchishchennosti/  
> Опубликовано: 08.10.2026  
> Раздел: Персональные данные  
> Описание: Акт определения уровня защищённости ПДн: формы в законе нет. Что требует ПП № 1119, как определить уровень, образец акта, кто подписывает, когда пересматривать.  
> Издатель: Финансово-технологический институт (ftex.pro), образовательная лицензия Л035-01270-29/05390506

**Коротко: формы «акта определения уровня защищённости» ни в законе, ни в постановлении № 1119, ни в приказе ФСТЭК № 21 нет, это практика.** Закон требует другого: определить угрозы (п. 1 ч. 2 ст. 19 закона № 152-ФЗ), а оператор по п. 7 Требований (постановление № 1119) определяет тип угроз, а уровень защищённости «устанавливается» по условиям п. 9–12, по нашему прочтению, оператором. Акт нужен, чтобы это было записано: кто, когда и на каких данных пришёл к уровню. Ниже образец с вымышленной организацией, порядок определения уровня и ответы на вопросы, кто подписывает и когда акт пересматривать.

 

Только документы, цену называем до договора · правки вносим до вашего «принимаю»

 

Определим тип угроз и уровень защищённости, оформим документом — от 12 900 ₽

 

[Узнать цену для моей системы →](https://ftex.pro/model-ugroz-pdn/)

 

**Главное**

 

- **Тип угроз определяет оператор** (п. 7), уровень «устанавливается» по условиям п. 9–12, по нашему прочтению, тоже оператором (постановление № 1119, пункты Требований). Форму результата закон не задаёт.
- **Акт — наша рекомендация.** Он помогает показать меры, если Роскомнадзор запросит подтверждение (ч. 4 ст. 18.1), но сам по себе закон его не называет.
- **Уровень определяют для каждой системы отдельно,** по нашему прочтению: условия в п. 9–12 сформулированы «для информационной системы».
- **Самое спорное — тип угроз.** Его, наша рекомендация, стоит обосновывать моделью угроз, а не выбирать «как у всех».
- **Срок пересмотра закон не называет.** Разумно пересматривать при изменении системы или данных.

 

## Что именно требует закон

 

Обеспечение безопасности данных достигается, в частности, определением угроз безопасности в информационных системах и применением мер, исполнение которых обеспечивает установленные Правительством уровни защищённости (п. 1 и 2 ч. 2 ст. 19). Правительство уровни установило в постановлении № 1119. Дальше текст говорит о трёх действиях оператора.

 

- **Определить тип угроз** (1-й, 2-й или 3-й). Это делает оператор с учётом оценки возможного вреда по п. 5 ч. 1 ст. 18.1 (п. 7).
- **Установить необходимость обеспечения уровня** при наличии хотя бы одного из условий, названных для этого уровня (п. 9–12).
- **Выполнить требования этого уровня** (п. 13–16).

 

В каком виде записать результат, ни один из этих пунктов не сообщает. Поэтому акт, приказ, раздел в положении или таблица в перечне систем — всё это допустимые формы. Мы советуем отдельный акт по каждой системе, потому что его удобно приложить к [положению о защите персональных данных](https://ftex.pro/blog/polozhenie-o-zashchite-personalnyh-dannyh/) и показать по запросу. Оператор обязан представить документы и (или) иным образом подтвердить принятие мер по ч. 1 ст. 18.1 по запросу Роскомнадзора (ч. 4 ст. 18.1); в числе этих мер названо применение мер защиты по ст. 19 (п. 3 ч. 1). По нашему прочтению, акт — один из способов такое подтверждение дать. Утверждать, что без акта «будет нарушение», мы не можем: такой нормы нет.

 

## Как определить уровень шаг за шагом

 

| Шаг | Что установить | Опора |
|---|---|---|
| 1 | Какие системы у вас есть и что в каждой | Перечень: [перечень ИСПДн](https://ftex.pro/blog/perechen-ispdn/) |
| 2 | Категории данных в системе: специальные, биометрические, общедоступные, иные | П. 5 постановления № 1119 |
| 3 | Чьи это данные: только работников оператора или и других людей | П. 5 |
| 4 | Сколько субъектов, не являющихся работниками: меньше или больше 100 000 | П. 9–12 |
| 5 | Оценка возможного вреда | П. 7; п. 5 ч. 1 ст. 18.1 |
| 6 | Тип угроз: 1-й, 2-й или 3-й | П. 6–7 |
| 7 | Сверить с условиями уровней и записать вывод | П. 9–12 |

 

Разные категории данных в одной системе не создают пересечения уровней: п. 5 Требований сам выбирает категорию (если есть специальные данные, это система со специальными данными; биометрическая только при отсутствии специальных; общедоступная только если данные получены исключительно из общедоступных источников; иное относится к иным; данные работников учитывают, только если в системе исключительно данные работников). По условиям п. 9–12 для каждого сочетания выходит один уровень. Единственный пробел в тексте — ровно 100 000 субъектов (в норме «более чем» и «менее чем»); при сомнениях, по нашему прочтению, берут более высокий уровень. Для сравнения: обычные данные клиентов, менее 100 000 субъектов и угрозы 3-го типа дают 4-й уровень (п. 12 «б»); те же данные при угрозах 2-го типа дают 3-й (п. 11 «б»). Полная таблица условий: [уровни защищённости персональных данных](https://ftex.pro/blog/urovni-zashchishchennosti-pdn/).

 

## Образец акта

 

Образец, подставьте свои данные. Организация и система вымышленные. Тип угроз в образце принят 3-м только для иллюстрации: для вашей системы его нужно обосновать, см. [модель угроз безопасности персональных данных](https://ftex.pro/blog/model-ugroz-bezopasnosti-pdn/). Образец не является утверждённой формой.

 

> **ООО «Образец»**
> Акт № __ от «__» ________ 20__ г.
> **определения типа угроз и уровня защищённости персональных данных при их обработке в информационной системе «CRM «Клиенты»»**
> 
>  
> 
> **1. Основание.** Акт составлен для фиксации результатов определения типа угроз безопасности персональных данных и уровня защищённости по п. 7–12 Требований, утверждённых постановлением Правительства РФ от 01.11.2012 № 1119, в целях исполнения ст. 19 Федерального закона № 152-ФЗ.
> 
>  
> 
> **2. Система.** «CRM «Клиенты»»: учёт заказов и обращений клиентов. Размещение: облачный сервис, серверы на территории РФ, договор от __.__.20__. Ответственный за систему: ________ (должность).
> 
>  
> 
> **3. Исходные данные и вывод.**
> 
>  
> 
> | Показатель | Значение | Основание |
> |---|---|---|
> | Категории данных | Иные: ФИО, телефон, электронная почта, адрес доставки. Специальные и биометрические не обрабатываются | п. 5 |
> | Чьи данные | Клиентов и работников оператора с учётными записями | п. 5 |
> | Число субъектов, не являющихся работниками | около 4 500 (менее 100 000) | п. 11, 12 |
> | Оценка возможного вреда | Проведена, документ от __.__.20__ | п. 7; п. 5 ч. 1 ст. 18.1 |
> | Тип актуальных угроз | 3-й. Обоснование: в модели угроз от __.__.20__ не признаны актуальными угрозы, связанные с недокументированными возможностями системного и прикладного ПО | п. 6, 7 |
> | Необходимый уровень защищённости | 4-й | п. 12 «б» |
> 
>  
> 
> **4. Требования уровня (п. 13).**
> 
>  
> 
> | Требование | Как выполняется | Ответственный | Срок |
> |---|---|---|---|
> | Режим помещений (п. 13 «а») | Описание режима: ________ | ________ | __.__.20__ |
> | Сохранность носителей (п. 13 «б») | Учёт носителей, место хранения: ________ | ________ | __.__.20__ |
> | Документ с перечнем лиц, имеющих доступ (п. 13 «в») | Приказ руководителя от __.__.20__ | ________ | __.__.20__ |
> | Средства защиты с оценкой соответствия (п. 13 «г») | Нужны / не нужны для нейтрализации актуальных угроз: ________ (обоснование) | ________ | __.__.20__ |
> 
>  
> 
> **5. Пересмотр.** Акт пересматривается при изменении категорий данных, числа субъектов, состава системы, места размещения данных или типа актуальных угроз.
> 
>  
> 
> Подготовил: ________ / ________ 
> Утверждаю: руководитель ________ / ________   «__» ________ 20__ г.

 

Формулировки строк «Как выполняется» подставьте под свою систему. Если требований не хватает, это не повод скрывать их: запишите срок исправления, а оставшееся закройте до утверждения акта. Структура акта выше наша рекомендация, закон её не задаёт.

 

## Кто подписывает акт

 

Закон подписантов не называет. Единственное место, где постановление требует утверждения руководителем, это документ с перечнем лиц, доступ которых к данным необходим для работы (п. 13 «в»). Начиная с 3-го уровня нужно назначить ответственного за безопасность данных в системе (п. 14). Наша рекомендация: готовит ответственный за систему вместе с ИТ-специалистом, утверждает руководитель. Это тот же круг людей, что в [приказе о назначении ответственного](https://ftex.pro/blog/prikaz-o-naznachenii-otvetstvennogo-za-pdn/) и [инструкции ответственного](https://ftex.pro/blog/instrukciya-otvetstvennogo-za-obrabotku-pdn/).

 

## Когда пересматривать

 

Ни закон, ни постановление № 1119 срока пересмотра не называют. Но уровень зависит от условий, которые меняются: категории данных, число субъектов, тип угроз (п. 9–12). По нашему прочтению, акт стоит пересмотреть, если:

 

- в систему стали вносить новые категории данных (например, данные о здоровье);
- число субъектов, не являющихся работниками, приблизилось к 100 000;
- сменился хостинг, облако или программа, которая обрабатывает данные;
- появились новые способы доступа, например [удалённая работа сотрудников](https://ftex.pro/blog/zashchita-pdn-pri-udalennoj-rabote/);
- изменилась модель угроз.

 

Не путайте с контролем: контроль выполнения требований проводится не реже 1 раза в 3 года (п. 17 постановления № 1119), и оценка эффективности мер тоже (п. 6 приказа ФСТЭК № 21). Это другие процедуры, акт их не заменяет.

 

## Акт, модель угроз и аттестация: не одно и то же

 

| Что | Что это | Требует ли закон |
|---|---|---|
| Акт определения уровня | Запись результата: тип угроз, категории, уровень | Форму не задаёт; определить уровень нужно (п. 7–12) |
| Модель угроз | Описание актуальных угроз для системы, из которого следует тип угроз | Определять угрозы нужно (п. 1 ч. 2 ст. 19); название документа закон не задаёт |
| Аттестация | Лицензируемая услуга (п. 4 Положения, ПП № 79) | В постановлении № 1119 не названа; мы её не оказываем |

 

Общую картину защиты собирает хаб [защита персональных данных](https://ftex.pro/blog/zashchita-personalnyh-dannyh/), а требования по пунктам разобраны в статье о [постановлении № 1119](https://ftex.pro/blog/postanovlenie-1119-trebovaniya-k-zashchite-pdn/).

 

## Как мы помогаем

 

Акт у нас не отдельный продукт, а часть услуги [«Модель угроз персональных данных»](https://ftex.pro/model-ugroz-pdn/). Мы описываем вашу систему, определяем тип угроз и уровень защищённости по постановлению № 1119, оформляем это документом, готовим модель угроз и перечень мер, соответствующих уровню, без внедрения. Цена от 12 900 ₽ для типичной малой системы (сайт, CRM, 1С), называем её после разбора и до договора; правки вносим до вашего «принимаю». Мы делаем только документы: аттестацию, установку и настройку средств защиты, мониторинг не берём. Критическую информационную инфраструктуру, государственные системы и криптографию тоже. Если нужен весь комплект бумаг по 152-ФЗ, это [документы по 152-ФЗ](https://ftex.pro/dokumenty-po-152-fz/) за 9 900 ₽.

 

Описание системы, тип угроз, уровень, перечень мер · внедрение средств защиты не входит

 

Уровень защищённости и модель угроз — от 12 900 ₽

 

[Оставить заявку →](https://ftex.pro/model-ugroz-pdn/)

 

## Нормативные документы

 

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

 

- [Постановление Правительства РФ от 01.11.2012 № 1119 — тип угроз (п. 6, 7), уровни защищённости (п. 8–12), требования (п. 13–16)](https://base.garant.ru/70252506/)
- [Закон № 152-ФЗ, ст. 19 — меры по обеспечению безопасности персональных данных](https://www.consultant.ru/document/cons_doc_LAW_61801/ca9e5658710519f09ab2fdb8196fcb3eb024a051/)
- [Закон № 152-ФЗ, ст. 18.1 — меры оператора, оценка вреда, подтверждение мер по запросу](https://www.consultant.ru/document/cons_doc_LAW_61801/eeeebe22bf738fd65bb66b95cc278911ae2525ee/)
- [Приказ ФСТЭК России от 18.02.2013 № 21 — состав и содержание мер по обеспечению безопасности персональных данных](https://www.consultant.ru/document/cons_doc_LAW_146520/)
- [Постановление Правительства РФ от 03.02.2012 № 79 — лицензирование деятельности по технической защите конфиденциальной информации](https://www.consultant.ru/document/cons_doc_LAW_125798/)

## Частые вопросы

### Обязателен ли акт определения уровня защищённости?

Форма акта нигде не установлена, и названия «акт» закон не знает. Обязательно другое: определить тип угроз и уровень защищённости (п. 7–12 постановления № 1119). Акт — удобный способ записать результат, это наша рекомендация.

### Кто определяет уровень защищённости персональных данных?

Тип угроз определяет оператор (п. 7 Требований, постановление № 1119), а необходимость обеспечения уровня устанавливается по условиям п. 9–12; кто именно устанавливает, прямо не сказано, по нашему прочтению, оператор. Подготовить документы может внешний специалист, ответственность остаётся на операторе.

### Стоит ли составлять акт для каждой информационной системы?

По нашему прочтению, да: условия уровней в п. 9–12 сформулированы «для информационной системы», то есть оценивать нужно каждую. Одинаковые системы можно описать в одном акте, если все исходные данные совпадают.

### Какой уровень защищённости у небольшой организации?

Для обычных данных клиентов и работников, менее 100 000 субъектов и угроз 3-го типа это 4-й уровень (п. 12 «б»). При угрозах 2-го типа те же данные дают 3-й (п. 11 «б»). Данные о здоровье и биометрия меняют картину.

### Кто должен подписывать акт определения уровня защищённости?

Закон подписантов не называет. Наша рекомендация: готовит ответственный за систему с ИТ-специалистом, утверждает руководитель. Начиная с 3-го уровня необходим назначенный ответственный за безопасность данных в системе (п. 14).

### Как часто нужно пересматривать акт?

Срок закон не задаёт. Пересматривайте при изменении категорий данных, числа субъектов, состава или места размещения системы, типа угроз. Контроль требований по п. 17 постановления № 1119 проводится не реже раза в 3 года.

### Нужен ли акт при проверке Роскомнадзора?

Закон такого акта не называет. Но по запросу оператор обязан представить документы и (или) иным образом подтвердить принятие мер (ч. 4 ст. 18.1). По нашему прочтению, акт помогает показать, как определён уровень.

### Заменяет ли акт модель угроз?

Нет. Акт фиксирует результат, а модель угроз описывает угрозы, из которых следует тип угроз. Разные документы, но связанные: обоснование типа угроз в акте берётся из модели.

### Сколько стоит определить уровень защищённости и оформить акт?

Определение типа угроз и уровня по постановлению № 1119 вместе с моделью угроз и перечнем мер для типичной малой системы стоит от 12 900 ₽. Цену называем до договора, правки до «принимаю». Внедрение средств защиты не входит.