# Постановление № 1119: требования к защите персональных данных по пунктам

> Источник: https://ftex.pro/blog/postanovlenie-1119-trebovaniya-k-zashchite-pdn/  
> Опубликовано: 08.10.2026  
> Раздел: Персональные данные  
> Описание: Постановление № 1119 по пунктам: тип угроз, 4 уровня защищённости, требования п. 13–16, лицензиат в п. 17. Что нужно малому оператору и чего в тексте нет.  
> Издатель: Финансово-технологический институт (ftex.pro), образовательная лицензия Л035-01270-29/05390506

**Коротко: постановление Правительства № 1119 от 01.11.2012 — это набор требований к защите персональных данных в информационных системах и четыре уровня защищённости.** Оператор определяет тип угроз, по нему, по категориям данных и числу людей находит свой уровень (п. 8–12), а для уровня — перечень требований (п. 13–16). Требования накапливаются: каждый следующий уровень добавляет новые к предыдущему. Для самого низкого, 4-го уровня, Требования называют четыре меры; по нашему опыту, большинство из них выполнимы силами небольшой организации, кроме случая, когда по п. 13 «г» нужны средства защиты информации с оценкой соответствия.

 

Только документы: описание системы, уровень, модель угроз, перечень мер · цену называем до договора

 

Определим тип угроз и уровень защищённости по ПП № 1119 — от 12 900 ₽

 

[Узнать цену для моей системы →](https://ftex.pro/model-ugroz-pdn/)

 

**Главное**

 

- **Постановление работает для информационных систем** персональных данных (п. 1; определение — п. 10 ст. 3 закона № 152-ФЗ). Бумажные картотеки регулирует постановление № 687.
- **Тип угроз определяет оператор** (п. 7 Требований), уровень «устанавливается» по условиям п. 9–12, по нашему прочтению, тоже оператором. Освобождения для малого бизнеса в тексте нет, есть порог 100 000 субъектов.
- **Требования наслаиваются:** 4-й уровень — п. 13, 3-й добавляет п. 14, 2-й — п. 15, 1-й — п. 16.
- **Лицензиат упомянут в п. 17** только для тех, кого вы привлекаете к контролю. Сам оператор может проводить его самостоятельно, не реже 1 раза в 3 года.
- **Формы акта, аттестации и слов «модель угроз» в постановлении нет.** Акт и модель угроз — практика вокруг п. 6–12 Требований, аттестация — отдельная лицензируемая работа.

 

## Что это за документ и кого он касается

 

Постановление принято во исполнение ст. 19 закона № 152-ФЗ: Правительство устанавливает уровни защищённости и требования, исполнение которых их обеспечивает (ч. 3 ст. 19). Требования утверждены приложением к постановлению и охватывают обработку в информационных системах (п. 1). Информационная система персональных данных — совокупность данных в базах и обеспечивающих их обработку технологий и технических средств (п. 10 ст. 3). По нашему прочтению, сюда попадают и 1С, и CRM, и база заявок сайта; подробнее в статье [об ИСПДн и их классификации](https://ftex.pro/blog/ispdn-chto-eto-i-klassifikaciya/).

 

Безопасность данных в системе обеспечивает оператор или лицо, которому он поручил обработку по договору; договор должен предусматривать его обязанность обеспечить безопасность данных (п. 3). Если у вас облачная CRM или хостинг, это стоит проверить в договоре. Про такие случаи: [облачные сервисы и персональные данные](https://ftex.pro/blog/oblachnye-servisy-i-pdn/).

 

## Требования по пунктам

 

Сам текст постановления состоит из двух пунктов: утвердить Требования и признать утратившим силу прежнее постановление № 781. Пункты 1–17, о которых идёт речь ниже, это пункты Требований.

 

| Пункты | О чём | Что важно |
|---|---|---|
| 1 | Предмет: требования к защите и уровни защищённости | Документ про информационные системы |
| 2 | Система защиты ПДн | Нейтрализует актуальные угрозы; включает организационные и (или) технические меры, определённые с их учётом |
| 3 | Кто обеспечивает безопасность | Оператор или уполномоченное лицо; договор с ним должен это предусматривать |
| 4 | Выбор средств защиты информации | Оператор выбирает их по актам ФСБ и ФСТЭК, принятым во исполнение ч. 4 ст. 19 |
| 5 | Категории данных и субъектов | Специальные, биометрические, общедоступные, иные; данные только работников оператора или иных лиц |
| 6–7 | Актуальные угрозы и три типа угроз | Тип определяет оператор с учётом оценки вреда (п. 5 ч. 1 ст. 18.1) и актов, принятых во исполнение ч. 5 ст. 19 (отраслевые угрозы) |
| 8–12 | Четыре уровня защищённости | Условия по типу угроз, категориям и порогу 100 000 субъектов |
| 13–16 | Требования для каждого уровня | Накапливаются от 4-го уровня к 1-му |
| 17 | Контроль выполнения | Не реже 1 раза в 3 года; самостоятельно и (или) с лицензиатом |

 

Как читать п. 6–12 на примере. Система хранит обычные данные клиентов (не специальные и не биометрические), субъектов меньше 100 000, угрозы 3-го типа: это 4-й уровень (п. 12 «б»). Если по итогам оценки актуальны угрозы 2-го типа, те же данные дают 3-й уровень (п. 11 «б»). Тип угроз тут решает всё, поэтому его надо обосновывать. Таблицу условий разбираем в статье [об уровнях защищённости](https://ftex.pro/blog/urovni-zashchishchennosti-pdn/), оформление результата — в статье [об акте определения уровня](https://ftex.pro/blog/akt-opredeleniya-urovnya-zashchishchennosti/).

 

## Требования по уровням: п. 13–16

 

| Уровень | Что добавляется | Пункт |
|---|---|---|
| 4-й | Режим помещений, препятствующий неконтролируемому проникновению; сохранность носителей; документ, утверждённый руководителем, с перечнем лиц, доступ которых необходим для работы; средства защиты информации с оценкой соответствия, когда они нужны для нейтрализации актуальных угроз | 13 «а»–«г» |
| 3-й | К требованиям 4-го: назначено должностное лицо (работник), ответственное за обеспечение безопасности данных в системе | 14 |
| 2-й | К требованиям 3-го: доступ к содержанию электронного журнала сообщений только у работников, которым он нужен для выполнения обязанностей | 15 |
| 1-й | К требованиям 2-го: автоматическая регистрация в электронном журнале безопасности изменения полномочий сотрудников по доступу; структурное подразделение, ответственное за безопасность, либо возложение этих функций на одно из подразделений | 16 «а», «б» |

 

Две оговорки. Во-первых, средства защиты нужны не всегда: п. 13 «г» говорит о них «в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз». Это снова упирается в определение угроз. Во-вторых, определения «электронного журнала сообщений» в постановлении нет, и как его понимать в вашей системе, лучше обсудить с ИТ-специалистом.

 

Для 4-го уровня часть пунктов закрывается документами. Перечень лиц с доступом удобно вести в [перечне ИСПДн с матрицей доступа](https://ftex.pro/blog/perechen-ispdn/), носители — в [журнале учёта носителей](https://ftex.pro/blog/zhurnal-ucheta-nositelej-pdn/). Журналы и перечни закон по названию не требует, это наша рекомендация.

 

## «Лицензиат» в п. 17: что это значит для малого оператора

 

Пункт 17 говорит: контроль за выполнением требований организует и проводит оператор «самостоятельно и (или) с привлечением на договорной основе» организаций и ИП, имеющих лицензию на деятельность по технической защите конфиденциальной информации; проводится он не реже 1 раза в 3 года, сроки определяет оператор. По нашему прочтению, постановление не обязывает привлекать лицензиата: оно говорит, что если вы привлекаете подрядчика, у него должна быть лицензия. Приказ ФСТЭК № 21 формулирует так же для оценки эффективности мер (п. 6) и для работ по обеспечению безопасности (п. 2: привлекаться «могут»).

 

Какие виды деятельности лицензируются, перечислено в п. 4 Положения, утверждённого постановлением № 79: контроль защищённости, мониторинг безопасности, аттестационные испытания и аттестация, проектирование в защищённом исполнении, установка и наладка средств защиты. Эти услуги ФТИ не оказывает. Подробнее о лицензии: [хаб «Защита персональных данных»](https://ftex.pro/blog/zashchita-personalnyh-dannyh/).

 

## Что постановление не требует

 

- **Формы «акта определения уровня».** В тексте её нет. Тип угроз определяет оператор (п. 7 Требований), а необходимость уровня «устанавливается» по условиям п. 9–12; кто именно устанавливает, прямо не сказано, по нашему прочтению, оператор (п. 3). В каком виде фиксировать, не сказано.
- **Документа под названием «модель угроз».** Слов «модель угроз» в постановлении и в приказе № 21 мы не нашли; говорится об определении актуальных угроз (п. 2, 6, 7). Разбор: [модель угроз безопасности персональных данных](https://ftex.pro/blog/model-ugroz-bezopasnosti-pdn/).
- **Аттестации.** Слова «аттестация» нет ни в постановлении, ни в приказе № 21. Нужна ли она по другим основаниям, зависит от типа системы; мы этим не занимаемся.
- **Скидок по размеру бизнеса.** Деление идёт по данным, угрозам и числу субъектов, а не по численности организации.
- **Защиты бумаги по этим правилам.** Обработка без средств автоматизации — постановление № 687; по нему для каждой категории данных определяются места хранения носителей и перечень лиц с доступом (п. 13).

 

Состав мер, которые обеспечивают выбранный уровень, задаёт не постановление, а акты ФСТЭК и ФСБ (ч. 4 ст. 19); для некриптографических мер это приказ ФСТЭК № 21. Разбор по группам мер: [приказ ФСТЭК № 21 о мерах защиты](https://ftex.pro/blog/prikaz-fstek-21-mery-zashchity-pdn/). Положение, которое собирает меры в один акт: [положение о защите персональных данных](https://ftex.pro/blog/polozhenie-o-zashchite-personalnyh-dannyh/).

 

## Как мы помогаем

 

Мы готовим документы: описание системы, тип угроз и уровень защищённости по постановлению № 1119, модель угроз и перечень мер, соответствующих уровню, без внедрения. Для типичной малой системы (сайт, CRM, 1С) цена от 12 900 ₽, называем её после разбора и до договора. Правки вносим, пока вы не скажете «принимаю». Аттестацию, установку и настройку средств защиты, мониторинг не берём: на них нужна лицензия ФСТЭК. Критическую информационную инфраструктуру, государственные системы и системы с криптографией тоже не берём. Если вам нужен весь комплект для 152-ФЗ, смотрите [документы по 152-ФЗ](https://ftex.pro/dokumenty-po-152-fz/) (9 900 ₽).

 

Описание системы, уровень по ПП № 1119, модель угроз, перечень мер · внедрение не входит

 

Модель угроз персональных данных — от 12 900 ₽

 

[Оставить заявку →](https://ftex.pro/model-ugroz-pdn/)

 

## Нормативные документы

 

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

 

- [Постановление Правительства РФ от 01.11.2012 № 1119 — требования к защите персональных данных в информационных системах](https://base.garant.ru/70252506/)
- [Закон № 152-ФЗ, ст. 19 — меры по обеспечению безопасности персональных данных](https://www.consultant.ru/document/cons_doc_LAW_61801/ca9e5658710519f09ab2fdb8196fcb3eb024a051/)
- [Закон № 152-ФЗ, ст. 3 — основные понятия, в том числе информационная система персональных данных](https://www.consultant.ru/document/cons_doc_LAW_61801/4f41fe599ce341751e4e34dc50a4b676674c1416/)
- [Закон № 152-ФЗ, ст. 18.1 — меры оператора, оценка вреда](https://www.consultant.ru/document/cons_doc_LAW_61801/eeeebe22bf738fd65bb66b95cc278911ae2525ee/)
- [Приказ ФСТЭК России от 18.02.2013 № 21 — состав и содержание мер по обеспечению безопасности персональных данных](https://www.consultant.ru/document/cons_doc_LAW_146520/)
- [Постановление Правительства РФ от 15.09.2008 № 687 — обработка персональных данных без средств автоматизации](https://base.garant.ru/193875/)
- [Постановление Правительства РФ от 03.02.2012 № 79 — лицензирование деятельности по технической защите конфиденциальной информации](https://www.consultant.ru/document/cons_doc_LAW_125798/)

## Частые вопросы

### Что такое постановление 1119 простыми словами?

Это требования Правительства к защите персональных данных в информационных системах. Оператор определяет тип угроз и находит уровень защищённости из четырёх, а для уровня постановление называет набор требований (п. 13–16).

### Кому нужно выполнять постановление № 1119?

Оператору, который обрабатывает данные в информационной системе (п. 1, п. 3). Исключений по размеру бизнеса в тексте нет. Если данные только на бумаге, действует постановление № 687.

### Какие требования для 4-го уровня защищённости?

Режим помещений, сохранность носителей, утверждённый руководителем документ с перечнем лиц, доступ которых необходим для работы, и средства защиты с оценкой соответствия, когда они нужны для нейтрализации актуальных угроз (п. 13).

### Чем отличаются требования 3-го, 2-го и 1-го уровней?

Они добавляются к требованиям предыдущего уровня: на 3-м — ответственный за безопасность данных в системе (п. 14), на 2-м — ограничение доступа к электронному журналу сообщений (п. 15), на 1-м — автоматическая регистрация изменения полномочий и подразделение по безопасности (п. 16).

### Нужна ли лицензия ФСТЭК оператору по постановлению 1119?

Постановление требует лицензию только у организаций и ИП, которых оператор привлекает к контролю (п. 17). Самому оператору при самостоятельном контроле она в тексте постановления не названа.

### Как часто нужно проверять выполнение требований?

Контроль проводится не реже 1 раза в 3 года в сроки, которые определяет оператор (п. 17). Оценку эффективности мер приказ ФСТЭК № 21 тоже называет не реже одного раза в 3 года (п. 6).

### Есть ли в постановлении форма акта определения уровня защищённости?

Нет. Форма акта не установлена ни постановлением № 1119, ни приказом ФСТЭК № 21. Акт — практика оформления результата, подробности в нашей статье об акте.

### Нужна ли аттестация по постановлению 1119?

В тексте постановления и приказа № 21 аттестации нет. Нужна ли она вам по иным основаниям, зависит от типа системы. Аттестацию мы не оказываем: это лицензируемая деятельность.

### Сколько стоит определить уровень защищённости?

Определение типа угроз и уровня по ПП № 1119 вместе с моделью угроз и перечнем мер для типичной малой системы стоит от 12 900 ₽. Цену называем до договора, правки до «принимаю» включены. Внедрение средств защиты не входит.