Приказ об утверждении перечня помещений СКЗИ

Приказ, которым руководитель организации называет конкретные помещения режимными и тем самым проводит границу: внутри этих стен действуют требования к хранению ключей и порядку доступа, снаружи — не действуют.

Помещение становится режимным не приказом, а фактом: в нём установили криптосредство или положили ключевой носитель. Приказ этот факт признаёт и делает управляемым — но не создаёт и не отменяет.

Статусобязательный при использовании СКЗИ Основаниеп. 4.1 ТТ ФСБ № 149/6/6-622, п. 5(а) приказа ФСБ № 378 Публичностьвнутренний Кто утверждаетруководитель организации Обновленоиюль 2026

Содержание

01 Назначение

Зачем нужен документ

Требования к режимным помещениям написаны безлично: прочные двери, металлические хранилища, учёт ключей, порядок окончания рабочего дня. Все они адресованы «помещениям» — и до тех пор, пока не сказано, каким именно, читать их можно как угодно. Приказ отвечает на этот вопрос: вот эти кабинеты по адресу и номеру, и дальше всё написанное относится к ним.

Критерий включения задаёт не оператор. Помещение считается режимным, если в нём установлено криптосредство или хранятся ключевые документы к нему. Второе условие и делает список неожиданным: техника стоит там, где её поставили, а ключевые носители переезжают вместе с людьми — в сейф бухгалтерии, в тумбу кадровика, в шкаф юриста. Каждое такое перемещение меняет состав режимных помещений организации независимо от того, знает ли об этом руководитель.

Отсюда главная особенность документа, из-за которой его так часто ведут неправильно. Этим перечнем нельзя управлять — им можно только отчитываться. Список не создаёт режим и не отменяет его: он фиксирует уже сложившееся положение вещей. Чтобы режимных помещений стало меньше, надо переносить ключи, а не вычёркивать строки; вычеркнутый кабинет, в котором остался носитель, не перестаёт быть режимным — он просто перестаёт быть учтённым.

Единственный законный способ вывести помещение из-под требований, не трогая при этом ключи, назван в самих требованиях: они могут не предъявляться, если это предусмотрено правилами пользования конкретным криптосредством, согласованными с ФСБ России. То есть основание для сокращения списка ищут в эксплуатационной документации на средство, а не в собственном приказе.

02 Ответственность

Чем грозит отсутствие

Отдельного штрафа за неутверждённый перечень помещений в законодательстве нет, и мы говорим об этом прямо: карточка не станет убедительнее, если приписать документу чужую санкцию. Цена отсутствия здесь другая и считается в две ступени.

Первая ступень — требования, которым не к чему приложиться. Обязанность организовать режим безопасности помещений установлена действующим приказом ФСБ и обязательна без оговорок. Проверяется она через документы: проверяющий спрашивает, какие помещения оператор считает режимными, и если ответа в бумагах нет, дальнейший разговор идёт не о перечне, а о невыполнении требований по защите информации. Это штраф от 50 до 100 тысяч рублей для организации по криптографической статье — он разобран в карточках парных документов, здесь мы его не дублируем.

Вторая ступень дороже на два порядка. Неучтённое помещение живёт без режима на законных основаниях: никто не обязан запирать то, что нигде не названо. Ключ, взятый оттуда, открывает всё, что этим ключом подписывается и расшифровывается, а объём утечки считают не по помещению, а по данным, к которым получен доступ. В диапазоне от тысячи до десяти тысяч субъектов организация платит от 3 до 5 миллионов рублей, свыше десяти тысяч — от 5 до 10 миллионов.

Между документом и реальностью всегда есть разрыв. Вопрос только в том, измеряет его организация сама или это делает проверяющий с её же журналом поэкземплярного учёта в руках.

Неучтённое помещение не охраняется никем. Ответственный за него не назначен, хранилище не требуется, вечерняя сдача под охрану не предусмотрена — и всё это без единого нарушения внутренних правил.

Перечень — это ещё и обязательство. Каждый внесённый кабинет обязан соответствовать требованиям к дверям, окнам и хранилищам. Список, написанный «на вырост», проверяют по нему же.

Чужие стены ничего не отменяют. Аренда, коворкинг и обслуживание подрядчиком не выводят помещение из режима: требования распространяются и на лицо, которому оператор поручил обработку.

03 Синонимы и поисковые названия

Как ещё называют этот документ

—Перечень помещений СКЗИ образец

—Как составить приказ об утверждении перечня режимных помещений

—Какие помещения считаются режимными при использовании криптосредств

—Список кабинетов, где хранятся ключевые носители

—Режимные помещения 152-ФЗ перечень

—Перечень помещений с криптосредствами приказ ФСБ 378

—Нужно ли включать арендованный офис в перечень режимных помещений

—Приказ о режимных помещениях организации форма

Три документа комплекта говорят про помещения, и различие между ними проходит по разным основаниям, а не по стилю названия. Перечень помещений с информационными системами очерчивает границу по технике: где стоит оборудование, обрабатывающее данные. Этот приказ очерчивает границу по ключам: где лежит то, чем данные подписываются и расшифровываются. А Порядок доступа в помещения СКЗИ начинается там, где перечень заканчивается: он описывает, каким должен быть режим внутри уже названных помещений. Списки пересекаются далеко не всегда: серверная с криптошлюзом попадёт в оба, кабинет с сейфом для токенов — только во второй.

04 Обязательное содержание

Что должно быть в документе

Приказ короткий, вся работа — в приложении-таблице. Требования к самим помещениям сюда не переписывают: они живут в порядке доступа. Здесь только то, что позволяет опознать помещение на местности и понять, почему оно в списке.

Адрес и номер помещения. Не «бухгалтерия» и не «второй этаж», а адрес, офис и номер кабинета по плану. Строка перечня должна работать как указание дороги: проверяющий по ней идёт.

Основание включения. Ровно одно из двух: в помещении размещено криптосредство либо в нём хранятся ключевые документы. Графа выглядит формальной, но именно она не даёт списку разрастись до всего офиса.

Что конкретно находится внутри. Наименование криптосредств и место хранения носителей — сейф, металлический шкаф, хранилище с номером. Это связывает перечень с журналом поэкземплярного учёта: у каждого носителя появляется адрес.

Правовой статус помещения. Собственное, арендованное, предоставленное по договору обслуживания; для арендованного — реквизиты договора. Графа редкая, но она сразу показывает, где режим придётся согласовывать с чужой службой эксплуатации.

Ответственный за помещение. Работник, отвечающий за закрытие, опечатывание и хранилище. Обычно это один из пользователей криптосредств, работающих в этом кабинете, — назначать «дежурного по этажу» бессмысленно.

Дата включения и дата исключения с основанием. Исключение допустимо только с указанием, куда переехали криптосредства и ключи. Строка «исключено» без ответа на этот вопрос — самая заметная ошибка в документе.

Запрет на хранение вне перечня. Прямая формулировка в тексте приказа: размещать криптосредства и хранить ключевые документы в помещениях, не включённых в перечень, не допускается. Она превращает список из описи в правило и даёт основание требовать перенос.

Порядок актуализации. Кто и в какой срок инициирует изменение — как правило, ответственный пользователь криптосредств, который первым узнаёт о выдаче нового носителя и о том, куда он поехал.

Схему или выкопировку из плана этажа многие считают излишеством, а она решает практическую задачу. По плану видно, где проходит контролируемая зона, какие помещения смежные, есть ли общая стена с арендатором и куда выходят окна. Все вопросы к дверям, окнам и сигнализации решаются потом по этой картинке, а не повторным обходом с рулеткой.

05 Правовая база

Требования законодательства

ст. 19 152-ФЗобязанность принимать меры защиты, включая криптографические

приказ ФСБ № 378, п. 5(а)режим безопасности помещений против неконтролируемого проникновения и пребывания

ТТ ФСБ № 149/6/6-622, приложение 1режимное помещение — где установлены криптосредства или хранятся ключевые документы

ТТ ФСБ № 149/6/6-622, п. 4.1требования могут не предъявляться, если так предусмотрено правилами пользования средством, согласованными с ФСБ

ТТ ФСБ № 149/6/6-622, п. 4.2размещение в пределах контролируемой зоны

ТТ ФСБ № 149/6/6-622, п. 1.3требования обязательны и для лица, которому поручена обработка

приказ ФАПСИ № 152, пп. 62–66спецпомещения пользователей: режим по согласованию с органом криптозащиты

Оговорка из пункта 4.1 — единственная дверь, ведущая наружу из всей этой конструкции, и пользоваться ею умеют немногие. Она означает, что перечень сокращается не решением руководителя, а документацией на средство: если правила пользования, согласованные с ФСБ России, допускают эксплуатацию вне режимного помещения, помещение в список не попадает. Именно так живут многие облачные и встроенные в сервисы криптосредства, а вместе с ними — организации, у которых своих ключевых носителей на руках просто нет. Проверять это нужно по эксплуатационной документации конкретного продукта, а не по общему рассуждению о том, что «это же в облаке».

06 Связи в комплекте

Как связан с другими документами

Перечень стоит первым в цепочке из трёх документов о помещениях: сначала граница, потом режим внутри неё, потом люди, которым туда можно.

Режим пишется по этому списку. Порядок доступа в помещения СКЗИ описывает двери, хранилища, учёт ключей и окончание рабочего дня — и всё это адресовано помещениям, названным здесь. Готовить его раньше перечня — значит писать правила неизвестно для чего.

Список людей строится следом. Приказ о доступе лиц в помещения с СКЗИ определяет, кто вправе входить в каждое из помещений перечня, включая тех, кто к самим криптосредствам не допущен.

Пользователи задают географию. Перечень пользователей СКЗИ отвечает на вопрос, у кого носители на руках; их рабочие места и есть кандидаты в этот перечень. Два списка сверяют друг с другом при каждом кадровом событии.

Ответственный пользователь ведёт перечень в работе. Инструкция ответственного пользователя СКЗИ даёт ему полномочия по режиму помещений и лицевым счетам — он первым узнаёт, что носитель переехал в другой кабинет.

Соседний список по технике. Перечень помещений с ИСПДн и границы контролируемой зоны описывают тот же офис по другому основанию. Сводить их в одну таблицу не стоит: критерии включения разные, и при слиянии теряется именно криптографический.

07 Актуализация

Когда обновлять документ

Перечень меняется не тогда, когда меняется офис, а тогда, когда переезжает ключ. События, после которых документ устаревает в тот же день:

Получено новое криптосредство

До ввода в эксплуатацию решается, где оно будет размещено, и помещение вносится в перечень заранее. Обратный порядок — установили, потом оформили — оставляет разрыв, который видно по датам в журнале поэкземплярного учёта.

Работника пересадили в другой кабинет

Самое частое и самое незаметное событие: носитель уехал вместе с человеком, приказ остался прежним. Пересадка внутри офиса требует изменения перечня так же, как переезд организации.

Изменено место хранения носителей

Купили сейф, освободили шкаф, объединили хранение в одной комнате. Меняется не только адрес — иногда список сокращается, и это единственный правильный способ его сократить.

Организация отказалась от криптосредства

Помещение исключается только после того, как средства и ключевые документы физически вывезены и списаны с лицевых счетов, а не с даты решения об отказе.

Изменились условия аренды или собственник помещения

Новый арендодатель, новая управляющая компания, смена подрядчика по клинингу — проверяется, сохранились ли условия, при которых оператор вообще может отвечать за режим в этом помещении.

Обработка передана подрядчику

Помещения подрядчика в перечень оператора не вносятся: он ведёт собственный. Обязанность соблюдать требования распространяется на него через договор поручения обработки — это и проверяют.

08 Проверка

Что спросит проверяющий

Перечень проверяют встречной сверкой: его сравнивают с учётными документами по ключам, а потом идут смотреть на кабинеты. Расхождение обычно находится в первые десять минут.

Сверка с журналом поэкземплярного учёта. У каждого носителя в журнале есть держатель, у каждого держателя — рабочее место. Место, которого нет в перечне, — готовый вопрос.

Основание включения по каждой строке. Пустая или общая графа («для обеспечения безопасности») означает, что критерий не применялся, а список составлен по памяти.

Статус помещений. Арендованное помещение в перечне — повод спросить про дубликаты ключей, доступ службы эксплуатации и порядок уборки. Ответ «у нас же договор аренды» вопрос не закрывает.

Есть ли запрет хранить вне перечня. Без этой формулировки документ остаётся описью и не даёт основания требовать переноса носителя из случайного кабинета.

Строки об исключении. Проверяют не наличие, а объяснение: куда переехало то, ради чего помещение было режимным.

Обход по списку. Финальная часть — пройти по указанным кабинетам и по одному-двум, в перечень не попавшим, но выбранным проверяющим самостоятельно.

09 Разбор эксперта

Разбор эксперта

Разговор о перечне помещений почти всегда упирается в аренду, и это самая дорогая часть темы. Организация сидит в бизнес-центре, занимает три кабинета, вносит их в перечень — и на этом считает вопрос закрытым. Между тем у арендодателя есть мастер-ключ и обязанность попасть внутрь при аварии, вечером приходит клининг по своему графику, инженеры обслуживают вентиляцию и кондиционеры, а при срабатывании сигнализации помещение вскрывает охрана здания. Требования устроены ровно наоборот: дубликаты ключей лежат у оператора, вскрывать помещение вправе только допущенные лица. Получается, что утверждённый перечень работает против самой организации — она назвала помещением с режимом то, режимом в чём не управляет.

Правильный ход здесь не «не вносить в перечень» — от этого доступ арендодателя никуда не денется, а нарушение станет ещё и незадокументированным. Ход обратный: сжать границу до размеров, которые оператор действительно контролирует. На практике это означает свести хранение ключевых носителей к одному помещению вместо трёх, поставить туда собственный замок, вписать в договор аренды условие о доступе представителей арендодателя только в присутствии работника организации и убрать носители в хранилище, которое опечатывается. Помещений в перечне после такой работы обычно остаётся одно или два, и каждое из них можно защитить по-настоящему, а не на бумаге.

Стоит понимать и экономику списка. Каждая строка перечня — это обязательства: металлическое хранилище, учёт ключей, ответственный, порядок закрытия вечером, а для части помещений ещё и сигнализация. Организации, которые вносят кабинеты «на всякий случай, пусть будут», подписываются на объём работ, который никогда не выполнят, и приходят к проверке со списком собственных невыполненных обещаний. Поэтому проектировать надо не документ, а размещение ключей: сначала решить, где они лежат и почему именно там, и только потом записать результат в приказ. Документ, составленный в обратном порядке, начинает расходиться с реальностью в первый же месяц.

Что мы советуем при подготовке комплекта

Начните с ревизии по журналу поэкземплярного учёта: выпишите все ключевые носители и напротив каждого — кабинет, где он физически лежит. Это и есть черновик перечня, и он почти всегда длиннее ожидаемого. Дальше сокращайте не список, а географию: сведите хранение в минимальное число помещений, которыми вы реально управляете, и только оставшееся вносите в приказ. Обязательно добавьте в текст запрет хранить криптосредства и ключевые документы вне перечня — без него документ не работает. И отдельно проверьте арендованные помещения: доступ арендодателя и клининга решается условием в договоре, а не молчанием.

Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об эксперте

10 Частые вопросы

Частые вопросы

По какому признаку помещение попадает в перечень?

Признак один из двух: в помещении размещено криптосредство либо в нём хранятся ключевые документы к нему. Второе основание срабатывает чаще: кабинет с сейфом для ключевых носителей попадает в перечень так же, как и серверная.

Можно ли сократить перечень, если помещений получилось слишком много?

Только переносом криптосредств и ключевых носителей в меньшее число помещений. Вычеркнутый кабинет, где остался носитель, статус режимного не теряет — меняется лишь то, что организация об этом больше не пишет.

Нужно ли включать в перечень арендованное помещение?

Да, если в нём размещены криптосредства или хранятся ключи. Аренда не выводит помещение из-под требований, но заставляет решить вопрос доступа арендодателя, клининга и службы эксплуатации — обычно условием в договоре о входе только в присутствии работника организации.

А если криптосредство облачное и носителей на руках нет?

Тогда перечень может оказаться пустым, и это законный результат. Требования к помещениям могут не предъявляться, если так предусмотрено правилами пользования средством, согласованными с ФСБ России. Основание берут из эксплуатационной документации на конкретный продукт.

Можно ли объединить этот перечень с перечнем помещений с ИСПДн?

Технически можно, практически не стоит. У списков разные критерии включения: один строится по размещению информационных систем, другой по хранению ключей. При объединении в общую таблицу криптографический критерий теряется первым.

Считается ли режимным рабочее место сотрудника на удалёнке?

Требования писались под офис и прямого ответа не дают. Практически вопрос решается не признанием квартиры режимным помещением, а решением о том, покидает ли ключевой носитель территорию организации, и порядком его выноса, который согласуется с ответственным пользователем.

Отдельный это приказ или можно включить перечень в порядок доступа?

Допустимы оба варианта. Отдельным приказом удобнее: перечень меняется от кадровых и хозяйственных событий несколько раз в год, а порядок доступа — раз в несколько лет, и переутверждать объёмный документ каждый раз неудобно.

Кто должен готовить перечень?

Проект готовит ответственный пользователь криптосредств — он ведёт учёт носителей и знает, где они физически находятся. Утверждает перечень руководитель организации своим приказом.

Связанные документы

Порядок доступа в помещения СКЗИ (при использовании СКЗИ)Инструкции и регламенты Приказ о доступе лиц в помещения с СКЗИ (при использовании СКЗИ)Приказы Приказ об утверждении перечня пользователей СКЗИ (при использовании СКЗИ)Приказы

Все документы комплекта

Приказ об утверждении перечня помещений СКЗИ — одна из 139 позиций комплекта

Эксперты Комитета разрабатывают комплект под фактическую деятельность организации. Проверьте бесплатно, какие документы обязательны для вас, — по ИНН, за минуту.

или по телефону +7 (812) 240-81-66