Техническое задание на систему защиты ПДн (СЗПДн) 2026
Обязанность оператора — принять меры, достаточные для защиты данных (ст. 19 152-ФЗ), а состав мер задан ПП РФ № 1119 и приказом ФСТЭК № 21.
Что документ закрепляет
- Гриф утверждения
- Заказчик и реквизиты
- Основания разработки технического задания
- Цель создания СЗПДн
- Объект защиты: состав и границы информационных систем
- Исходные данные для проектирования
- Порядок определения уровня защищённости
Настраивается под вашу ситуацию
Ненужные пункты выключаются, условные — появляются сами по вашим ответам.
Что внутри документа
Бланк или готовый документПустой бланк — бесплатно
- Ответы подставятся в текст — от руки ничего писать не нужно
- Лишние пункты уберутся, нужные добавятся по вашим ответам
- Word, PDF, ODT и RTF без водяного знака — сразу после оплаты
PDF с прочерками — распечатать и заполнить от руки. Пришлём на почту.
Образец заполнения — смотреть на сайтеО документе
Обязанность оператора — принять меры, достаточные для защиты данных (ст. 19 152-ФЗ), а состав мер задан ПП РФ № 1119 и приказом ФСТЭК № 21. Техническое задание переводит эти требования на язык конкретной организации: связывает уровень защищённости и модель угроз с подсистемами, средствами защиты и сроками. Без него работы принимаются «на глаз», а несовпадение ожиданий заказчика и исполнителя выясняется на приёмке, когда деньги уже потрачены.
Вы перечисляете свои ИСПДн с назначением, категориями субъектов и числом пользователей, указываете категорию данных, число субъектов и тип актуальных угроз — и выбираете требуемый уровень защищённости. В документ подставится ветка ровно того уровня, который вы выбрали, с составом обязательных мер именно для него. Дальше идут требования по семи подсистемам — управление доступом, регистрация событий, антивирус, обнаружение вторжений, контроль целостности, защита каналов и резервное копирование, — требования к сертификации средств, состав документации, стадии работ и порядок приёмки. Форма подтверждения соответствия тоже выбирается: оценка эффективности или аттестация. В приложениях — ведомость средств защиты с сертификатами и ведомость выполнения требований для приёмки.
Границы ИСПДн описаны словами «все системы организации» — на приёмке заказчик и исполнитель понимают объём работ по-разному, и спор решается не в пользу того, кто писал ТЗ. Требования сформулированы неизмеримо («обеспечить надлежащую защиту») — проверить их нельзя, ведомость приёмки заполняется формально. Уровень защищённости занижен ради экономии на средствах защиты — при проверке оператор отвечает за фактические условия обработки, а не за заявленные. Куплены средства с истекающим сертификатом — через полгода система формально перестаёт соответствовать. Забыты резервные копии: незашифрованный бэкап с персональными данными — одна из самых частых причин утечек, а данные в копии не уничтожаются вместе с основной базой.
Комментарии юриста к пунктам
Как заполнить и применить документ. В готовый файл эти пояснения не попадают.
Основания разработки технического задания
ТЗ на СЗПДн должно опираться на модель угроз и акт определения уровня защищённости – проверяющие смотрят цепочку «акт → модель → ТЗ → внедрение». Разрыв цепочки обнуляет доказуемость мер.
Порядок определения уровня защищённости
Занижение уровня защищённости ради экономии на средствах защиты – самостоятельное нарушение: меры должны соответствовать фактическим условиям обработки.
Подсистема регистрации и учёта событий безопасности
Журналы – то, что оператор предъявляет при расследовании утечки; без них доказать отсутствие неправомерного доступа невозможно.
Частые вопросы
Что такое ТЗ на СЗПДн?
Документ, определяющий цель, требования к подсистемам защиты, документацию и сроки создания системы защиты персональных данных.
На чём основано ТЗ?
На уровне защищённости (ПП РФ № 1119), классификации ИСПДн и модели угроз, с составом мер по Приказу ФСТЭК № 21.
Какие подсистемы включает СЗПДн?
Реализующие группы мер: ИАФ, УПД, ОЦЛ, РСБ, АВЗ, МЭ, ЗНИ, ОДТ, ЗТС и другие.
Нужны ли сертифицированные средства защиты?
В требуемом для уровня защищённости объёме — да; применяются средства, прошедшие оценку соответствия.
Как часто оценивать эффективность мер?
Не реже одного раза в три года — отдельным актом оценки эффективности.
Нормативная база
-
152-ФЗ ст. 22.1 — Лицо, ответственное за организацию обработки данных
-
152-ФЗ ст. 19 — Меры по обеспечению безопасности данных
-
152-ФЗ ст. 18.1 — Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом
-
ПП РФ 1119 ст. от ст. 01.11.2012
-
Приказ ФСТЭК 21 ст. от ст. 18.02.2013
-
Метод. документ ФСТЭК ст. от ст. 05.02.2021
-
149-ФЗ ст. 16 — Защита информации
-
152-ФЗ ст. 10 — Специальные категории персональных данных
-
152-ФЗ ст. 11 — Биометрические персональные данные
-
152-ФЗ ст. 24 — Ответственность за нарушение закона о ПДн
-
КоАП РФ ст. 13.11 — Нарушение законодательства о персональных данных