Приказ о назначении ответственного за реагирование на инциденты информационной безопасности

Документ, которым руководитель назначает человека, отвечающего за действия организации в первые часы после инцидента. Единственный приказ комплекта, цена которого измеряется не качеством работы, а временем.

Закон отсчитывает 24 часа с момента, когда об инциденте стало известно оператору. Кто в организации является «оператором» для целей этого отсчёта, определяет именно приказ — больше нигде это не написано.

Статусобязателен на практике Основаниеч. 3.1 ст. 21 152-ФЗ Публичностьвнутренний Кто утверждаетруководитель организации Обновленоиюль 2026

Содержание

01 Назначение

Зачем нужен документ

Закон даёт оператору 24 часа на то, чтобы сообщить в Роскомнадзор о произошедшем инциденте, и 72 часа — на сообщение о результатах внутреннего расследования. Оба срока считаются с одного момента: с того, когда об инциденте стало известно оператору. И вот здесь возникает вопрос, который в тексте закона не решается никак.

Оператор — это организация, а организация ничего не «узнаёт». Узнают люди. Системный администратор, увидевший ночью подозрительную выгрузку. Работник, которому клиент написал, что получил чужой договор. Руководитель, прочитавший письмо в понедельник утром. Какой из этих моментов считается моментом, когда узнал оператор, — вопрос не теоретический: от ответа зависит, уложилась организация в срок или просрочила его на двое суток. Приказ о назначении ответственного за реагирование — единственный документ комплекта, который на этот вопрос отвечает.

Вторая функция приказа не менее практична: он даёт полномочие. Уведомление в Роскомнадзор о собственной утечке — сообщение, которое никто не хочет подписывать по своей инициативе. Без прямо названного в приказе права направить его самостоятельно ответственный идёт согласовывать: к юристу, к руководителю, иногда к учредителю. Согласование съедает те самые часы, ради которых документ и существует. Приказ снимает вопрос заранее — в спокойной обстановке, а не в ночь инцидента.

Что делать по шагам после обнаружения инцидента — в регламенте реагирования. Приказ процедуру не пересказывает: он отвечает только на вопросы «кто» и «с какой секунды».

02 Ответственность

Чем грозит отсутствие

За отсутствие приказа отдельного наказания нет. Наказывается пропущенный срок — и наказывается он независимо от того, была утечка крупной или мелкой, устранили её за час или за неделю.

ч. 11 ст. 13.11 КоАП РФ — неуведомление или просрочка уведомления

Юридическое лицо1 000 000 – 3 000 000 ₽

Должностное лицо400 000 – 800 000 ₽

Граждане50 000 – 100 000 ₽

Эта часть встречается и в других карточках комплекта — там, где речь о формах уведомлений, журналах и регламенте. Повтор осознанный, потому что состав один, а причины просрочки разные. В тех карточках срок срывается из-за того, что нечем зафиксировать событие или не по чему действовать. Здесь — из-за того, что неизвестно, чьё знание считать знанием оператора и чья подпись достаточна для отправки. Подменять состав другим, «похожим по смыслу», ради разнообразия мы не станем: это была бы выдумка в юридическом блоке.

Санкция за утечку считается отдельно и стоит дороже. Пороги по числу пострадавших субъектов начинаются от 3–5 млн ₽ для организаций. Уведомление вовремя не отменяет этой ответственности, но просрочка добавляет к ней вторую.

Двое суток — типовой размер потери. Инцидент, обнаруженный в пятницу вечером без назначенного ответственного, доходит до принятия решения в понедельник. Срок к этому моменту истёк, и восстановить его нечем.

Просрочка фиксируется по вашим же документам. Дата обнаружения берётся из журнала регистрации инцидентов и переписки, дата уведомления — из отметки регулятора. Разница между ними арифметическая и не обсуждается.

Неопределённость полномочий не оправдывает. Довод «ждали решения руководителя» не работает: организация обязана быть устроена так, чтобы решение принималось в течение суток.

03 Синонимы и поисковые названия

Как ещё называют этот документ

—Приказ о назначении ответственного за реагирование на инциденты

—Приказ об ответственном за инциденты информационной безопасности образец

—Приказ о назначении ответственного за уведомление РКН об утечке

—Приказ о группе реагирования на инциденты ИБ

—Кто уведомляет Роскомнадзор об утечке персональных данных

—Приказ об ответственном за инциденты по 152-ФЗ

—Приказ о назначении ответственного за расследование инцидентов

—Распоряжение о назначении ответственного за реагирование на утечки

Отдельно про то, чем этот приказ отличается от приказа о назначении ответственного за обеспечение безопасности персональных данных в информационных системах. Второй — про постоянную работу: меры защиты, контроль, взаимодействие с подрядчиками. Этот — про часы после события. Совмещать роли в одном человеке можно и обычно правильно, но приказ всё равно нужен отдельный: у него другое содержание — полномочия, замещение и точка отсчёта срока, которых в приказе о безопасности ИСПДн нет и быть не должно.

04 Обязательное содержание

Что должно быть в документе

Приказ помещается на страницу, и три пункта из семи — те, ради которых он пишется: момент отсчёта, право подписи и замещение.

Основание. Ссылка на ч. 3.1 ст. 21 152-ФЗ. Она же объясняет работникам, откуда взялись 24 и 72 часа, — цифры, которые иначе воспринимаются как внутренняя придирка.

Ответственный и его заместитель. Фамилии и должности. Заместитель здесь не формальность: сутки не приостанавливаются на отпуск, больничный и командировку, а инциденты происходят преимущественно в нерабочее время.

Момент, с которого начинается отсчёт. Ключевой пункт: сообщение о признаках инцидента любому работнику считается известным оператору с момента поступления ответственному, а канал поступления назван в приказе — телефон, адрес почты, дежурная линия. Это превращает расплывчатое «оператору стало известно» в проверяемый факт.

Право направить уведомление. Прямо записанное полномочие подписать и отправить уведомление в Роскомнадзор без дополнительных согласований. Пункт, который экономит больше времени, чем все остальные вместе.

Обязанность работников сообщать. Каждый, кто обнаружил признаки инцидента, немедленно сообщает ответственному по указанному каналу. Без этого пункта информация идёт по служебной вертикали и теряет часы на каждом уровне.

Право привлекать специалистов. Полномочие подключать администраторов, подрядчиков и, при необходимости, приостанавливать обработку в системе. Ответственный без прав останавливать процесс наблюдает за инцидентом.

Ознакомление под подпись и отмена предыдущего приказа. Знать канал сообщения обязаны все, а не только назначенный. Прежний приказ признаётся утратившим силу, иначе в организации два ответственных и ни одного отвечающего.

Чего в приказе быть не должно: порядка действий при инциденте. Встречается вариант, где в приказ переносят весь алгоритм из регламента. Результат — документ, который переиздаётся при каждом изменении процедуры, хотя менялась не она, а последовательность шагов.

05 Правовая база

Требования законодательства

ч. 3.1 ст. 21 152-ФЗуведомление уполномоченного органа в течение 24 часов

ч. 3.1 ст. 21 152-ФЗрезультаты внутреннего расследования — в течение 72 часов

ст. 21 152-ФЗвзаимодействие с государственной системой обнаружения атак

ч. 1 ст. 19 152-ФЗоператор принимает меры для защиты от неправомерного доступа

п. 2 ч. 1 ст. 18.1 152-ФЗоператор издаёт локальные акты по вопросам обработки

ч. 11 ст. 13.11 КоАПнеуведомление или просрочка уведомления

Обязанности назначить ответственного за реагирование закон не устанавливает — в отличие от ответственного за организацию обработки, которого 152-ФЗ называет прямо. Мы говорим об этом честно: приказ существует не потому, что его требует норма, а потому что норма устанавливает срок в часах. Срок, отсчитываемый от момента, которого никто не зафиксировал, невыполним по устройству. Отсюда критерий достаточности: по приказу должно быть понятно, кому сообщают, с какой минуты пошёл счёт и кто вправе отправить уведомление, ни с кем не согласовывая.

Отдельно об уведомлении субъектов. Закон обязывает сообщить об инциденте уполномоченному органу, но не обязывает уведомлять самих людей — это добровольное решение оператора, и мы не выдаём его за требование. Право принять такое решение полезно закрепить в приказе явно: в первые сутки обсуждать полномочия поздно.

06 Связи в комплекте

Как связан с другими документами

Приказ — вершина цепочки реагирования: он даёт человека, остальные документы дают ему процедуру, формы и следы.

Регламент реагирования — процедура. Регламент описывает шаги: фиксация, локализация, оценка масштаба, расследование. Приказ называет того, кто эти шаги запускает, и не повторяет их.

Уведомление за 24 часа — то, что он подписывает. Форма уведомления готовится заранее; приказ даёт право отправить её без согласований. Готовая форма без полномочия работает так же плохо, как полномочие без формы.

Ответственный за безопасность ПДн в ИСПДн — соседняя роль. Приказ о назначении закрывает постоянную работу по защите. Роли часто совмещают в одном человеке, но приказы держат раздельно: у них разное содержание.

Журнал инцидентов — доказательство даты. Момент обнаружения, зафиксированный в журнале, и есть та точка, от которой считают 24 часа. Приказ определяет, кто и по какому каналу вносит в него запись.

07 Актуализация

Когда обновлять документ

Приказ пересматривают не по календарю, а по событиям, которые ломают его рабочую часть: канал сообщения, замещение и полномочие.

Сменился ответственный или его заместитель

Переиздание в тот же день. До переиздания непонятно, чьё знание считается знанием оператора, — а именно от этого зависит начало отсчёта.

Изменился канал сообщения

Сменили корпоративную почту, отказались от дежурного телефона, перешли в другой мессенджер — приказ переиздаётся вместе с каналом, иначе сообщения уходят в пустоту.

Появились филиалы или удалённые подразделения

Сотрудник в другом городе должен знать, кому звонить в ночь инцидента. Обычно требуется назначить локальных лиц, передающих сообщение основному ответственному.

ИТ передали на аутсорс

Признаки инцидента первым видит подрядчик. В приказе появляется обязанность сообщать, а в договоре с подрядчиком — срок такого сообщения.

Прошли учения или реальный инцидент

Лучший повод для правки: разбор показывает, где именно потерялись часы. Обычно выясняется, что не хватало права подписи или замещения.

Изменились сроки в законодательстве

Сроки уведомления регулятора менялись и могут меняться снова. Приказ ссылается на норму, но конкретные часы в тексте стоит держать под контролем.

08 Проверка

Что спросит проверяющий

Этот приказ смотрят прицельно и только в одном случае — когда инцидент уже был. Зато тогда его читают построчно.

Когда организация узнала об инциденте. Первый и главный вопрос. Ответ ищут в журнале инцидентов, переписке и логах, а приказ показывает, чьё знание считается знанием оператора.

Кто подписал уведомление и на каком основании. Если уведомление подписал не руководитель, полномочие должно следовать из приказа. Иначе документ подписан неуполномоченным лицом со всеми последствиями.

Кто действовал, пока ответственный был недоступен. Вопрос про замещение задают, когда дата обнаружения приходится на выходные или отпуск.

Знали ли работники, кому сообщать. Проверяется листом ознакомления и опросом. Назначенный, о котором никто не знает, не сокращает путь информации.

Соответствует ли приказ фактическому порядку. Если в приказе указан канал, которым давно не пользуются, документ считается формальным — и объяснить просрочку им уже не получится.

09 Разбор эксперта

Разбор эксперта

В законе о персональных данных немного норм, где счёт идёт на часы. Двадцать четыре часа на сообщение о факте инцидента и семьдесят два на результаты расследования — почти единственный такой случай. И почти всегда организации теряют эти сроки не потому, что медленно разбирались с техникой, а потому, что не было ответа на процедурный вопрос: кто вправе сказать регулятору, что у нас утечка. Технически инцидент локализуют за час. Решение об уведомлении принимают двое суток.

Типичная картина выглядит так. В пятницу вечером администратор замечает странную выгрузку и пишет об этом в рабочий чат. Руководитель читает сообщение в понедельник, спрашивает юриста, юрист просит время оценить риски и подготовить формулировки. К моменту, когда уведомление уходит, срок истёк более чем вдвое. При этом каждый участник действовал разумно: никто не тянул специально, просто ни у кого не было полномочия действовать самостоятельно. Приказ не делает людей быстрее — он убирает необходимость спрашивать разрешение.

Второе, что стоит понимать про этот документ: он определяет момент, от которого считается срок. Формулировка закона — «стало известно оператору» — на практике всегда толкуется не в пользу организации, если внутри нет собственного правила. Когда в приказе прямо написано, что сообщение о признаках инцидента считается поступившим оператору с момента получения ответственным по указанному каналу, у организации появляется своя, документированная точка отсчёта. Она не отменяет оценку регулятора, но даёт основание для позиции, а не для оправданий.

И про подбор человека. Ответственным за реагирование часто назначают руководителя ИТ-службы — логично, но неполно: он умеет остановить утечку и не обязан разбираться, надо ли о ней сообщать. Обратный вариант, юрист, знает про обязанность уведомить и не понимает масштаб происходящего. Рабочая конструкция — один ответственный с правом привлекать обоих: технического специалиста и юриста, — но решение об уведомлении остаётся за ним и не требует ничьей визы.

Что мы советуем при подготовке комплекта

Запишите в приказе три вещи, которые обычно пропускают: канал, по которому сообщается о признаках инцидента, момент, с которого сообщение считается поступившим оператору, и прямое право направить уведомление в Роскомнадзор без дополнительных согласований. Обязательно назначьте заместителя — сутки не приостанавливаются на выходные. И проведите одни учения на бумаге: сымитируйте обнаружение инцидента в пятницу в 19:00 и посмотрите, через сколько часов дойдёт до подписи. Это самая дешёвая проверка комплекта, которую можно сделать за один вечер.

Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об эксперте

10 Частые вопросы

Частые вопросы

Обязательно ли назначать ответственного за реагирование на инциденты?

Прямой обязанности в 152-ФЗ нет — закон называет только ответственного за организацию обработки персональных данных. Но сроки уведомления считаются в часах, и без назначенного лица отсчёт начинается непонятно когда, а решение принимается дольше срока.

С какого момента считаются 24 часа?

С момента, когда об инциденте стало известно оператору. Организация вправе определить этот момент внутренним документом: сообщение считается поступившим оператору с момента получения ответственным по каналу, названному в приказе.

Можно ли совместить эту роль с ответственным за безопасность ПДн в ИСПДн?

Можно и чаще всего правильно — это близкие компетенции. Приказы при этом держат раздельно: у них разное содержание, и переиздаются они по разным поводам.

Кого лучше назначать — ИТ-специалиста или юриста?

Одного ответственного с правом привлекать обоих. ИТ-специалист остановит утечку, но не обязан оценивать обязанность уведомить; юрист знает про срок, но не видит масштаба. Решение об уведомлении должно приниматься без чьей-либо визы.

Нужен ли заместитель?

Да, и это не формальность. Сутки не приостанавливаются на выходные, отпуск и больничный, а инциденты чаще обнаруживаются в нерабочее время.

Обязаны ли мы сообщать об утечке самим людям?

Закон обязывает уведомить уполномоченный орган, а не субъектов. Уведомление людей — добровольное решение оператора; право его принять полезно закрепить в приказе заранее, чтобы не обсуждать полномочия в первые сутки.

Что делать, если инцидент обнаружил подрядчик на аутсорсе?

Обязанность немедленно сообщить ответственному прописывается в приказе, а срок такого сообщения — в договоре с подрядчиком. Иначе организация узнаёт о собственном инциденте последней.

Уведомление подписывает руководитель или ответственный?

Кто угодно из них, но полномочие должно следовать из документа. Если подписывает ответственный, право направить уведомление без согласований записывается в приказе прямо — иначе документ подписан неуполномоченным лицом.

Связанные документы

Регламент реагирования на инциденты информационной безопасностиИнструкции и регламенты Уведомление Роскомнадзора об утечке ПДн (в течение 24 часов)Уведомления в Роскомнадзор Приказ о назначении ответственного за обеспечение безопасности ПДн в ИСПДнПриказы

Все документы комплекта

Приказ об ответственном за инциденты — одна из 139 позиций комплекта

Эксперты Комитета разрабатывают комплект под фактическую деятельность организации. Проверьте бесплатно, какие документы обязательны для вас, — по ИНН, за минуту.

или по телефону +7 (812) 240-81-66