Title: Приказ об утверждении перечня ИСПДн — пустой бланк

______, ИНН ______, ОГРН ______, адрес: ______.
Место издания: ______. Номер приказа: ______. Дата издания: ______.
Об утверждении перечня информационных систем персональных данных.
Подписант: ______ ______.
ПРИКАЗ ОБ УТВЕРЖДЕНИИ ПЕРЕЧНЯ ИСПДН
г. ______	«__» __________ ____ г.
1. Основание издания приказа
1.1. Оператором персональных данных является ______.
1.2. Приказ издаётся по вопросам учёта информационных систем, в которых оператор обрабатывает персональные данные.
1.3. Оператор самостоятельно определяет состав и перечень мер, необходимых и достаточных для выполнения обязанностей, установленных законодательством о персональных данных (ст. 18.1 152-ФЗ).
1.4. Оператор обязан принимать правовые, организационные и технические меры для защиты персональных данных при их обработке в информационных системах (ст. 19 152-ФЗ).
1.5. Требования к защите персональных данных при обработке в информационных системах и уровни защищённости установлены постановлением Правительства (ПП РФ 1119 —).
1.6. Состав и содержание мер защиты определяются исходя из установленного для каждой системы уровня защищённости (Приказ ФСТЭК 21 —).
1.7. Учёт информационных систем является исходной точкой всей системы защиты: пока система не учтена, для неё не определён уровень защищённости и не выбраны меры защиты.
1.8. Настоящий приказ утверждает перечень как документ и устанавливает порядок работы с ним.
1.9. Содержание самого перечня приведено в приложении № 1.
2. Утверждение перечня информационных систем персональных данных
2.1. ПРИКАЗЫВАЮ: утвердить перечень информационных систем персональных данных ______ согласно приложению № 1 к настоящему приказу.
2.2. Ввести перечень в действие с ______ и применять его при определении уровня защищённости систем, разработке моделей угроз и подготовке уведомления в уполномоченный орган.
2.3. Установить, что обработка персональных данных в информационной системе, не включённой в перечень, не допускается.
2.4. Признать утратившим силу приказ ______ со дня введения в действие перечня, утверждённого настоящим приказом.______Перечень информационных систем персональных данных утверждается впервые.
2.5. Утратившая силу редакция перечня хранится вместе с настоящим приказом и предъявляется при проверках наравне с действующей.
3. Назначение ответственного за ведение перечня
3.1. ПРИКАЗЫВАЮ: возложить ведение перечня информационных систем персональных данных на ______ ______.
3.2. Возложить на ответственного за ведение перечня обязанность вносить в перечень сведения о новых системах, об изменении состава обрабатываемых в них данных и об исключении систем из эксплуатации.
3.3. Возложить на ответственного за ведение перечня обязанность хранить действующую и утратившие силу редакции перечня и представлять их по требованию уполномоченного органа.
3.4. Возложить на ответственного за ведение перечня обязанность сверять сведения перечня с актами определения уровня защищённости и моделями угроз при каждой актуализации.
3.5. Ответственный за ведение перечня подотчётен ответственному за организацию обработки персональных данных ______ и представляет ему сведения об изменениях перечня (ст. 22.1 152-ФЗ).
3.6. На время отсутствия ответственного за ведение перечня его обязанности исполняет работник, замещающий его по должности, без издания отдельного приказа.
3.7. Ознакомить ответственного за ведение перечня с настоящим приказом под подпись в день его издания.
4. Сроки актуализации перечня
4.1. ПРИКАЗЫВАЮ: вносить сведения о новой информационной системе в перечень в течение ______ рабочих дней со дня ввода её в эксплуатацию или начала обработки в ней персональных данных.
4.2. Вносить изменения в перечень в тот же срок при изменении состава обрабатываемых данных, категорий субъектов, целей обработки, мест хранения данных или ответственного подразделения.
4.3. Проводить плановую актуализацию перечня ______ независимо от наличия изменений и оформлять её результат отметкой о проверке.
4.4. Утверждать изменённую редакцию перечня приказом руководителя оператора в порядке, установленном для утверждения настоящего перечня.
4.5. Фиксировать каждое изменение перечня в листе учёта изменений с указанием основания и существа изменения.
4.6. Актуализировать перечень также по результатам внутреннего контроля обработки персональных данных и по результатам проверок уполномоченного органа (ст. 18.1 152-ФЗ).
5. Порядок согласования ввода новых информационных систем
5.1. ПРИКАЗЫВАЮ: руководителям подразделений согласовывать с ответственным за организацию обработки персональных данных ввод в эксплуатацию любой информационной системы, в которой предполагается обработка персональных данных.
5.2. Согласование проводится до начала обработки данных в системе по заявке, форма которой приведена в приложении № 3 к настоящему приказу.
5.3. Согласованию подлежат также подключение внешних сервисов, перенос данных в облачную инфраструктуру и передача данных в системы контрагентов.
5.4. Запретить самостоятельное создание работниками файлов и таблиц, содержащих массивы персональных данных, вне информационных систем, включённых в перечень.
5.5. Установить, что закупка и внедрение программного обеспечения, предполагающего обработку персональных данных, проводится только после согласования с ответственным за организацию обработки персональных данных.
5.6. Ответственному за организацию обработки персональных данных в срок до ______ провести инвентаризацию фактически используемых информационных систем и включить в перечень выявленные системы, не учтённые ранее.
5.7. Обработка персональных данных в системе, выявленной при инвентаризации и не включённой в перечень, приостанавливается до определения уровня её защищённости.
6. Поручения по уровню защищённости и моделям угроз
6.1. ПРИКАЗЫВАЮ: ответственному за организацию обработки персональных данных обеспечить по каждой системе, включённой в перечень, определение уровня защищённости персональных данных и оформление акта определения уровня защищённости.
6.2. Уровень защищённости определяется исходя из категории обрабатываемых данных, типа актуальных угроз и числа субъектов персональных данных (ПП РФ 1119 —).
6.3. Обеспечить разработку или актуализацию модели угроз безопасности персональных данных по каждой системе в срок до ______.
6.4. Модель угроз составляется по методике оценки угроз безопасности информации (Метод. документ ФСТЭК от 05.02.2021) с использованием банка данных угроз (БДУ ФСТЭК bdu.fstec.ru).
6.5. Обеспечить приведение состава применяемых мер защиты в соответствие с установленным уровнем защищённости каждой системы (Приказ ФСТЭК 21 —).
6.6. Обеспечить, чтобы сведения о системе в перечне, в акте определения уровня защищённости и в модели угроз совпадали.
6.7. Расхождение между этими документами устраняется в срок актуализации перечня.
6.8. Провести оценку эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода систем в эксплуатацию (ст. 19 152-ФЗ).
7. Поручения по уведомлению уполномоченного органа и поручению обработки
7.1. ПРИКАЗЫВАЮ: ответственному за организацию обработки персональных данных сверить сведения утверждённого перечня со сведениями, указанными в уведомлении об обработке персональных данных.
7.2. При выявлении расхождений направить в уполномоченный орган информацию об изменении ранее сообщённых сведений в установленный законом срок (ст. 22 152-ФЗ).______Подготовить и направить в уполномоченный орган уведомление об обработке персональных данных в объёме сведений, соответствующем утверждённому перечню (ст. 22 152-ФЗ).
7.3. Проверить, что первичный сбор персональных данных граждан Российской Федерации в каждой системе ведётся с использованием баз данных, находящихся на территории Российской Федерации.
7.4. Проверить наличие договоров поручения обработки персональных данных по каждой системе, к которой имеют доступ сторонние лица, и соответствие объёма поручения перечню (ст. 6 152-ФЗ ч. 3).
7.5. Обеспечить включение в договоры поручения перечня действий с данными, целей обработки, обязанности соблюдать конфиденциальность и требований к обеспечению безопасности данных.
7.6. Представить руководителю оператора отчёт о выполнении настоящего пункта в срок до ______.
8. Ознакомление работников с приказом и перечнем
8.1. ПРИКАЗЫВАЮ: ознакомить с настоящим приказом под подпись руководителей подразделений, эксплуатирующих информационные системы, и работников, допущенных к обработке персональных данных.
8.2. Ознакомление оформляется листом ознакомления, в котором работник собственноручно указывает дату и расписывается.
8.3. Работники знакомятся с перечнем в части систем, к которым они допущены.
8.4. Перечень целиком содержит сведения о защите систем и не подлежит свободному распространению.
8.5. При отказе работника от ознакомления составляется акт в присутствии двух работников.
8.6. В этом случае работник считается ознакомленным с приказом.
8.7. Работники, принимаемые на должности, связанные с обработкой персональных данных, знакомятся с приказом до подписания трудового договора (ст. 68 ТК РФ).
8.8. Работник, не ознакомленный с приказом, не может быть привлечён к ответственности за нарушение установленного этим приказом порядка (ст. 22 ТК РФ).
9. Вступление в силу и хранение приказа
9.1. Приказ вступает в силу со дня подписания, если в нём прямо не указана иная дата введения в действие.
9.2. Приказ регистрируется в журнале регистрации приказов по основной деятельности и хранится вместе с утверждённым им перечнем.
9.3. Приказ и приложения к нему хранятся в сроки, установленные для документов по вопросам защиты персональных данных, но не менее пяти лет со дня утраты силы (ст. 17 125-ФЗ).
9.4. Приложения к приказу являются его неотъемлемой частью.
9.5. ______ ______________________ ______
9.6. С приказом ознакомлен: ______ ______________________ ______ дата ____________

Приложение № 1 к документу
ПРИЛОЖЕНИЕ № 1. ПЕРЕЧЕНЬ ИНФОРМАЦИОННЫХ СИСТЕМ ПЕРСОНАЛЬНЫХ ДАННЫХ
Перечень утверждён приказом ______ от ______ № ______ и введён в действие с ______.
Оператор: ______, ИНН ______, ОГРН ______.
№ | Наименование системы | Назначение и цели обработки | Категории субъектов | Число субъектов | Уровень защищённости | Ответственное подразделение
1 | | | | | |
2 | | | | | |
3 | | | | | |
4 | | | | | |
5 | | | | | |
6 | | | | | |
7 | | | | | |
8 | | | | | |

Уровень защищённости по каждой системе определяется актом определения уровня защищённости и должен совпадать с указанным в настоящем перечне.
Ведение перечня возложено на ______ ______.
______ ______________________ ______

Приложение № 2 к документу
ПРИЛОЖЕНИЕ № 2. ПЛАН-ГРАФИК МЕРОПРИЯТИЙ ПО ИНФОРМАЦИОННЫМ СИСТЕМАМ
План-график показывает, что именно должно быть сделано по каждой системе после утверждения перечня: без него приказ остаётся декларацией.
Система | Мероприятие | Срок | Ответственный | Отметка об исполнении

Обязательные мероприятия по каждой системе: определение уровня защищённости, разработка или актуализация модели угроз, приведение состава мер защиты в соответствие с уровнем защищённости, проверка прав доступа работников.
Отметка об исполнении вносится ответственным за организацию обработки персональных данных с указанием реквизитов подтверждающего документа.
Срок исполнения мероприятий по общему правилу — до ______.

Приложение № 3 к документу
ПРИЛОЖЕНИЕ № 3. ЗАЯВКА НА ВВОД ИНФОРМАЦИОННОЙ СИСТЕМЫ В ЭКСПЛУАТАЦИЮ
Заявка подаётся до начала обработки персональных данных в новой системе. По ней система вносится в перечень и для неё определяется уровень защищённости.
Подразделение-инициатор: ______________________________________________
Наименование системы и программного продукта: _________________________
Назначение системы и цели обработки данных: ___________________________
Категории субъектов персональных данных: ______________________________
Состав обрабатываемых данных: _________________________________________
Ориентировочное число субъектов: ______________________________________
Место размещения данных и серверов, страна размещения: ________________
Наличие доступа сторонних лиц и реквизиты договора поручения: _________
Планируемая дата начала обработки: ____________________________________
Руководитель подразделения ______________________ дата ____________
Заключение ответственного за организацию обработки персональных данных: согласовано / не согласовано
Система внесена в перечень под номером ______ дата внесения ____________
______ ______ ______________________

Приложение № 4 к документу
ПРИЛОЖЕНИЕ № 4. ЛИСТ ОЗНАКОМЛЕНИЯ С ПРИКАЗОМ
Приказ ______ от ______ № ______ об утверждении перечня информационных систем персональных данных.
Работник своей подписью подтверждает, что ознакомлен с приказом и с перечнем в части систем, к которым он допущен, и обязуется сообщать о вводе в эксплуатацию новых систем до начала обработки в них данных.
№ | Фамилия имя отчество | Должность | Дата ознакомления | Подпись

Лист ознакомления хранится вместе с приказом. Работники, принятые после издания приказа, вносятся в лист при приёме на работу.
Пустой бланк «Приказ об утверждении перечня ИСПДн» с сайта primadoc.ru. Документ, заполненный под вашу ситуацию, собирается в конструкторе: https://primadoc.ru/doc/prikaz-ob-utverzhdenii-perechnya-ispdn