# Уровни защищённости персональных данных: как определить

> Источник: https://ftex.pro/blog/urovni-zashchishchennosti-pdn/  
> Опубликовано: 08.10.2026  
> Раздел: Персональные данные  
> Описание: Четыре уровня защищённости ПДн по ПП № 1119: таблицы условий (тип угроз, категория данных, порог 100 000), примеры для магазина, клиники и школы, как оформить.  
> Издатель: Финансово-технологический институт (ftex.pro), образовательная лицензия Л035-01270-29/05390506

**Коротко: постановление Правительства № 1119 устанавливает четыре уровня защищённости персональных данных (п. 8). Уровень зависит от трёх вещей: какие данные обрабатываются, какой тип угроз актуален для информационной системы и сколько в ней людей, не являющихся работниками оператора (порог 100 000). Уровень «устанавливается» по этим условиям, по нашему прочтению, оператором.** Для небольшой системы с обычными данными и угрозами 3-го типа условия п. 12 дают 4-й уровень.

 

Только документы · типичная система: сайт, CRM, 1С · цену называем до договора

 

Определим тип угроз и уровень защищённости — от 12 900 ₽

 

[Узнать цену для моей системы →](https://ftex.pro/model-ugroz-pdn/)

 

**Главное об уровнях защищённости**

 

- **Уровней четыре:** 4-й требует меньше всего, 1-й больше всего (п. 13–16 наслаиваются).
- **Условия в п. 9–12:** тип угроз, категория данных, работники или нет, число субъектов.
- **Порог — 100 000 субъектов,** не считая работников оператора. Случай «ровно 100 000» в тексте не назван.
- **Определяет оператор,** оформление актом — практика, не норма.
- **Уровень относится к системе,** а не к организации: в одной организации могут быть разные уровни.

 

## Что значит «уровень защищённости»

 

Закон определяет уровень защищённости как комплексный показатель, характеризующий требования, исполнение которых нейтрализует определённые угрозы безопасности при обработке данных в информационных системах (ч. 11 ст. 19 закона № 152-ФЗ). Сами уровни устанавливает Правительство в зависимости от угроз (п. 1 ч. 3 ст. 19), а требования к каждому уровню — тоже Правительство (п. 2 ч. 3), составом мер занимаются ФСБ и ФСТЭК (ч. 4).

 

Чем выше уровень, тем больше требований. Это следует из того, как построены п. 13–16 постановления:

 

| Уровень | Что требуется (п. 13–16 постановления № 1119) |
|---|---|
| 4-й | Режим помещений, сохранность носителей, документ руководителя с перечнем лиц, имеющих доступ, средства защиты с оценкой соответствия, когда они нужны для нейтрализации актуальных угроз (п. 13) |
| 3-й | Всё из 4-го плюс назначено должностное лицо (работник), ответственное за безопасность данных в системе (п. 14) |
| 2-й | Всё из 3-го плюс доступ к содержанию электронного журнала сообщений только у тех, кому это нужно для работы (п. 15) |
| 1-й | Всё из 2-го плюс автоматическая регистрация в электронном журнале безопасности изменения полномочий по доступу и подразделение, ответственное за безопасность, либо возложение таких функций на одно из подразделений (п. 16) |

 

Разбор самих требований смотрите в статье [о постановлении № 1119 по пунктам](https://ftex.pro/blog/postanovlenie-1119-trebovaniya-k-zashchite-pdn/). Контроль за выполнением требований проводят не реже одного раза в 3 года (п. 17).

 

## От чего зависит уровень

 

Чтобы пользоваться таблицами, нужно ответить на четыре вопроса. Подробно о них в статье [про ИСПДн и классификацию](https://ftex.pro/blog/ispdn-chto-eto-i-klassifikaciya/).

 

1. **Какой тип угроз актуален?** 1-й, 2-й или 3-й (п. 6). Определяет оператор (п. 7).
2. **Какие категории данных в системе?** Специальные, биометрические, общедоступные или иные (п. 5).
3. **Это данные работников оператора или не только?** Если в системе есть не только данные работников, она считается системой с данными «не сотрудников».
4. **Сколько в системе людей, не являющихся работниками?** Менее 100 000 или более 100 000.

 

## Таблицы: условия и уровень

 

Таблицы собраны по тексту п. 9–12 постановления. В каждой ячейке указан пункт, откуда взят результат.

 

**Угрозы 1-го типа** (недокументированные возможности в системном ПО)

 

| Категория данных | Данные работников оператора | Не работники, менее 100 000 | Не работники, более 100 000 |
|---|---|---|---|
| Специальные | **УЗ-1** (п. 9 «а») | **УЗ-1** (п. 9 «а») | **УЗ-1** (п. 9 «а») |
| Биометрические | **УЗ-1** (п. 9 «а») | **УЗ-1** (п. 9 «а») | **УЗ-1** (п. 9 «а») |
| Иные | **УЗ-1** (п. 9 «а») | **УЗ-1** (п. 9 «а») | **УЗ-1** (п. 9 «а») |
| Общедоступные | **УЗ-2** (п. 10 «а») | **УЗ-2** (п. 10 «а») | **УЗ-2** (п. 10 «а») |

 

**Угрозы 2-го типа** (недокументированные возможности в прикладном ПО)

 

| Категория данных | Данные работников оператора | Не работники, менее 100 000 | Не работники, более 100 000 |
|---|---|---|---|
| Специальные | **УЗ-2** (п. 10 «б») | **УЗ-2** (п. 10 «б») | **УЗ-1** (п. 9 «б») |
| Биометрические | **УЗ-2** (п. 10 «в») | **УЗ-2** (п. 10 «в») | **УЗ-2** (п. 10 «в») |
| Общедоступные | **УЗ-3** (п. 11 «а») | **УЗ-3** (п. 11 «а») | **УЗ-2** (п. 10 «г») |
| Иные | **УЗ-3** (п. 11 «б») | **УЗ-3** (п. 11 «б») | **УЗ-2** (п. 10 «д») |

 

**Угрозы 3-го типа** (угрозы не связаны с такими возможностями в системном и прикладном ПО)

 

| Категория данных | Данные работников оператора | Не работники, менее 100 000 | Не работники, более 100 000 |
|---|---|---|---|
| Специальные | **УЗ-3** (п. 11 «в») | **УЗ-3** (п. 11 «в») | **УЗ-2** (п. 10 «е») |
| Биометрические | **УЗ-3** (п. 11 «г») | **УЗ-3** (п. 11 «г») | **УЗ-3** (п. 11 «г») |
| Общедоступные | **УЗ-4** (п. 12 «а») | **УЗ-4** (п. 12 «а») | **УЗ-4** (п. 12 «а») |
| Иные | **УЗ-4** (п. 12 «б») | **УЗ-4** (п. 12 «б») | **УЗ-3** (п. 11 «д») |

 

Где число и принадлежность субъектов в условии не названы (биометрия, общедоступные данные при некоторых типах угроз, любые данные при угрозах 1-го типа), результат одинаков для всех трёх столбцов.

 

## Как читать таблицы

 

1. Выберите таблицу по типу угроз.
2. Найдите строку со своей категорией данных. Если в системе разные категории, по нашему прочтению ориентируйтесь на более «тяжёлую»: п. 9–12 говорят об уровне «при наличии хотя бы одного» из условий, а требования уровней наслаиваются.
3. Выберите столбец. Если в системе только данные ваших работников, это первый столбец. Если есть клиенты, кандидаты или контрагенты-физлица, смотрите второй или третий.
4. Запишите уровень и пункт.

 

Две оговорки. Первая: в п. 9–12 написано «более чем 100000» и «менее чем 100000». Ровно 100 000 субъектов не относится ни к одному условию, разъяснения мы не нашли. Если вы близки к порогу, лучше обсудить расчёт со специалистом. Вторая: все таблицы начинаются с типа угроз, а он определяется не по таблице, а по оценке угроз (п. 7). Мы методику ФСТЭК 2021 года для этой статьи не разбирали и не пересказываем.

 

## Три примера

 

Образцы. Организации вымышленные, тип угроз для примеров принят условно 3-м: в своём случае его определяете вы.

 

**Магазин.** ООО «Образец», интернет-магазин одежды. Система: CRM и личные кабинеты, 30 000 покупателей, иные категории данных. Таблица 3-го типа, строка «Иные», столбец «Не работники, менее 100 000»: **4-й уровень** (п. 12 «б»). Если база вырастет до 150 000 покупателей, условие п. 11 «д» даст **3-й уровень** и потребуется назначить ответственного за безопасность в системе. Подробности для этого бизнеса: [персональные данные в интернет-магазине](https://ftex.pro/blog/personalnye-dannye-v-internet-magazine/).

 

**Клиника.** Частная клиника, медицинская информационная система, 15 000 пациентов. Сведения о состоянии здоровья — специальные категории (п. 5). Таблица 3-го типа, «Специальные», менее 100 000: **3-й уровень** (п. 11 «в»). Если для системы актуальны угрозы 2-го типа, при тех же данных п. 10 «б» назовёт **2-й уровень**. Разбор отрасли: [персональные данные в медицинской организации](https://ftex.pro/blog/personalnye-dannye-v-medicinskoj-organizacii/).

 

**Школа.** Электронный журнал на 900 учеников и родителей, данные об успеваемости и контактах. Это иные категории, субъекты не являются работниками школы, число менее 100 000. Таблица 3-го типа: **4-й уровень** (п. 12 «б»). Если в той же системе хранят сведения о состоянии здоровья детей (группа здоровья, справки), система уже обрабатывает специальные категории: **3-й уровень** (п. 11 «в»). Подробнее: [персональные данные в школе](https://ftex.pro/blog/personalnye-dannye-v-shkole/).

 

## Кто определяет уровень и как это зафиксировать

 

Тип угроз определяет оператор (п. 7 постановления № 1119), а необходимость обеспечения того или иного уровня устанавливается при наличии условий п. 9–12. В постановлении не сказано, что уровень кому-то присваивает или утверждает внешний орган. По нашему прочтению, это решение оператора.

 

Формы документа об определении уровня в законе и постановлении нет. На практике результат оформляют актом, и это наша рекомендация, а не норма: акт помогает показать, как вы пришли к выводу, ведь по запросу Роскомнадзора оператор обязан представить документы и иным образом подтвердить принятие мер (ч. 4 ст. 18.1). Образец акта и порядок подписания разобраны в статье [про акт определения уровня защищённости](https://ftex.pro/blog/akt-opredeleniya-urovnya-zashchishchennosti/).

 

Пересматривать уровень разумно при смене состава данных, росте базы, подключении нового сервиса. Срок пересмотра закон не называет, это наша рекомендация.

 

## Что дальше после определения уровня

 

- Выбрать меры по приказу ФСТЭК № 21: [состав мер по уровням](https://ftex.pro/blog/prikaz-fstek-21-mery-zashchity-pdn/).
- Подготовить [модель угроз](https://ftex.pro/blog/model-ugroz-bezopasnosti-pdn/), на которой держится определение типа угроз.
- Свести всё в общую картину по [защите персональных данных](https://ftex.pro/blog/zashchita-personalnyh-dannyh/).
- Если поручаете обработку облаку или подрядчику, посмотрите [про облачные сервисы](https://ftex.pro/blog/oblachnye-servisy-i-pdn/).

 

## Как мы помогаем

 

Мы определяем тип угроз и уровень защищённости по постановлению № 1119 и оформляем результат документом. Затем готовим модель угроз и перечень мер, соответствующих уровню. Цена **от 12 900 ₽** для типичной системы: сайт, CRM, 1С. Цену называем до договора и фиксируем. Только документы: проектирование и внедрение средств защиты не берём, аттестацию и мониторинг не продаём, на них нужна лицензия ФСТЭК. Критическую информационную инфраструктуру, государственные информационные системы и системы с криптографией не берём. Если вашей ситуации нужен лицензиат, скажем об этом до договора.

 

Описание системы, уровень по № 1119, модель угроз, перечень мер · без внедрения

 

Модель угроз и уровень защищённости — от 12 900 ₽

 

[Узнать цену для моей системы →](https://ftex.pro/model-ugroz-pdn/)

 

Положение об обработке, приказ об ответственном, перечни, инструкции и журналы по вашей ситуации входят в [документы по 152-ФЗ](https://ftex.pro/dokumenty-po-152-fz/) за 9 900 ₽. Чтобы документы оставались актуальными при росте базы, есть [сопровождение по персональным данным](https://ftex.pro/soprovozhdenie-po-pdn/).

 

## Нормативные документы

 

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

 

- [Постановление Правительства РФ от 01.11.2012 № 1119 — требования к защите персональных данных, пункты 5–17](https://base.garant.ru/70252506/)
- [Закон № 152-ФЗ, статья 19 — меры по обеспечению безопасности персональных данных, уровни защищённости](https://www.consultant.ru/document/cons_doc_LAW_61801/ca9e5658710519f09ab2fdb8196fcb3eb024a051/)
- [Закон № 152-ФЗ, статья 18.1 — меры оператора, подтверждение по запросу Роскомнадзора](https://www.consultant.ru/document/cons_doc_LAW_61801/eeeebe22bf738fd65bb66b95cc278911ae2525ee/)
- [Приказ ФСТЭК России от 18.02.2013 № 21 — состав и содержание мер для каждого уровня защищённости](https://www.consultant.ru/document/cons_doc_LAW_146520/)

## Частые вопросы

### Сколько уровней защищённости персональных данных?

Четыре (п. 8 постановления № 1119). 4-й требует меньше всего, 1-й больше всего: требования уровней наслаиваются (п. 13–16).

### Как определить уровень защищённости?

По условиям п. 9–12 постановления № 1119: смотрят на тип угроз, категорию данных, принадлежность субъектов (работники оператора или нет) и число субъектов с порогом 100 000. Мы собрали эти условия в таблицы выше.

### Какой уровень защищённости у небольшого интернет-магазина или салона?

Если в системе иные категории данных (не специальные и не биометрические), актуальны угрозы 3-го типа и субъектов, не являющихся работниками, менее 100 000, п. 12 «б» называет 4-й уровень. Но тип угроз определяет оператор, и данные о здоровье сразу меняют картину.

### Что даёт переход с 4-го уровня на 3-й?

К требованиям 4-го уровня добавляется назначение должностного лица (работника), ответственного за обеспечение безопасности данных в системе (п. 14 постановления № 1119).

### Что значит порог 100 000 субъектов?

Это число людей, не являющихся работниками оператора. В условиях п. 9–12 записано «более чем» и «менее чем 100000». Ровно 100 000 в тексте не названо, разъяснения мы не нашли.

### Нужен ли акт определения уровня защищённости?

Формы такого акта в постановлении № 1119 и приказе ФСТЭК № 21 нет. Обеспечить установленный уровень требуют п. 2 ч. 2 ст. 19 и п. 9–12 Требований, а оформление актом — сложившаяся практика. Он помогает подтвердить меры по запросу Роскомнадзора (ч. 4 ст. 18.1).

### Можно ли иметь разные уровни в одной организации?

Да. Условия постановления сформулированы «для информационной системы», поэтому по нашему прочтению уровень определяют для каждой системы отдельно: у кадровой программы он может быть ниже, чем у системы с картотекой пациентов.

### Кто проверяет правильность определённого уровня?

Отдельной процедуры согласования уровня с госорганом мы в законе и постановлении не нашли. Оператор обязан по запросу Роскомнадзора подтвердить принятие мер (ч. 4 ст. 18.1), а контроль выполнения требований проводит оператор самостоятельно и (или) с привлечением лицензиатов не реже одного раза в 3 года (п. 17 Требований, постановление № 1119).

### Вы определяете уровень защищённости?

Да, документом: описываем систему, определяем тип угроз и уровень по постановлению № 1119, готовим модель угроз и перечень мер. От 12 900 ₽ для типичной системы, цену называем до договора. Установку средств защиты и аттестацию не берём.