Нужно ли всем работникам проходить обучение по информационной безопасности? Разбираем требования для обычного ООО, государственных и муниципальных систем, персональных данных и значимых объектов КИИ: кому достаточно ознакомления, где нужна оценка знаний, а когда обязательны повышение квалификации или профпереподготовка.
Представим обычную организацию: директор, бухгалтерия, отдел кадров, несколько менеджеров и системный администратор. Работники используют электронную почту, хранят документы на компьютерах и передают сведения через интернет. Нужно ли всем срочно проходить обучение по информационной безопасности? А если это не офис, а завод или муниципальное учреждение — ответ будет другим?
Да, условия будут различаться. И именно здесь возникает большая часть ошибок: требования к защите персональных данных, подготовке пользователей государственных информационных систем и квалификации специалистов по безопасности критической информационной инфраструктуры часто смешивают в одно «обязательное обучение по ИБ». Хотя это разные обязанности, установленные разными нормативными актами.
Главное правило: в России нет общего требования, обязывающего всех работников любой организации получать удостоверение о повышении квалификации по информационной безопасности. Но для отдельных категорий работников предусмотрены ознакомление с правилами, обучение пользователей, оценка знаний и требования к профессиональной подготовке специалистов. Сначала определяем статус информационных систем и функции работников, затем — конкретную норму и форму подготовки.
Информационная безопасность — это защита сведений и информационных систем от неправомерного доступа, утраты, изменения, блокирования и других угроз. Основа общего регулирования — Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации» (в частности, ст. 16).
На практике угрозы выглядят совсем не как в кино про хакеров. Бухгалтер открывает поддельное письмо со «счетом», кадровик отправляет файл с паспортными данными не тому адресату, менеджер использует один пароль для рабочей почты и стороннего сервиса. Поэтому недостаточно установить антивирус: работники должны понимать правила обращения с информацией в пределах своих функций.
Но содержание подготовки не может быть одинаковым. Пользователю нужно безопасно работать с документами и учетной записью; руководителю — понимать обязанности организации; специалисту по защите информации — уметь оценивать угрозы, организовывать защиту и реагировать на инциденты. И законодательство не всегда требует для этого одинаковый документ об обучении.
Прежде всего нужно разделить требования в зависимости от правового основания. В этой таблице речь идет именно об обязанностях по подготовке людей, а не обо всем комплексе технической защиты информации.
Ситуация | Что требуется в части подготовки | Нормативное основание |
|---|---|---|
Обычная коммерческая организация обрабатывает персональные данные | Ознакомление непосредственно обрабатывающих персональные данные работников с требованиями и внутренними актами и (или) их обучение. Всеобщая обязанность получать удостоверения не установлена. | П. 6 ч. 1 ст. 18.1 Закона № 152-ФЗ |
Государственная или муниципальная информационная система; иные системы госоргана, ГУП, госучреждения в сфере применения приказа № 117 | Мероприятия по повышению осведомленности пользователей, оценка знаний; требования к компетенциям специалистов по защите информации. | Пп. 1–3, 19–20, 56–57 Требований ФСТЭК № 117 |
Значимый объект критической информационной инфраструктуры (КИИ) | Особые требования к образованию специалистов по безопасности и повышению квалификации не реже одного раза в 3 года; ежегодные мероприятия для работников. | Пп. 12, 15 Требований ФСТЭК № 235 |
Иные специальные системы и режимы, например сведения, составляющие гостайну | Проверяются отдельные требования к допуску, персоналу и защите соответствующей информации; общих выводов по одному названию организации недостаточно. | Специальные нормативные акты для конкретного режима |
Вывод из таблицы простой: выражение «обучение обязательно» без пояснения, для кого, по какой программе и на основании какого пункта, почти ничего не говорит. Далее разберем реальные организационные ситуации.
Пять примеров ниже — условные. Они показывают, почему одного названия организации недостаточно для определения обязательного обучения.
Возьмем условное ООО на 25 человек. Компания оказывает услуги. У нее есть сайт, клиентская база, 1С, корпоративная почта, бухгалтер и специалист по кадрам. Собственной государственной информационной системы и значимого объекта КИИ нет.
Обязано ли это ООО обучать весь персонал по программе «Информационная безопасность» с выдачей удостоверений? Нет, такого общего требования не установлено. Но организация является оператором персональных данных, поскольку обрабатывает сведения о работниках и, вероятно, о клиентах. Значит, требования Федерального закона от 27.07.2006 № 152-ФЗ к ней применяются.
Пункт 6 части 1 статьи 18.1 Закона № 152-ФЗ предусматривает ознакомление работников оператора, непосредственно осуществляющих обработку персональных данных, с законодательством, требованиями к защите данных и локальными документами и (или) обучение этих работников. Эта конструкция не равнозначна обязательной профессиональной переподготовке или повышению квалификации в учебном центре.
Что это означает для конкретных должностей?
Кадровик и бухгалтер должны знать, какие персональные данные они вправе обрабатывать, кому могут передавать документы, как соблюдать установленный порядок доступа и хранения. Менеджеров, которые работают с базой клиентов, также надо охватить соответствующими мероприятиями. Для работника, вообще не допущенного к обработке персональных данных, обязанность по п. 6 ч. 1 ст. 18.1 нельзя устанавливать автоматически лишь потому, что он состоит в штате.
Пример оформления: организация актуализирует локальные документы по обработке персональных данных, знакомит под подпись непосредственно работающих с данными сотрудников, проводит внутреннее занятие по типичным ошибкам, сохраняет доказательства ознакомления. Само занятие полезно, но отдельного диплома или удостоверения только на основании статьи 18.1 не требуется.
При этом обязанности оператора не сводятся к ознакомлению персонала. Нужно исполнять и другие применимые требования Закона № 152-ФЗ, включая меры по обеспечению безопасности персональных данных (ст. 19). Если данные обрабатываются в информационной системе персональных данных, дополнительно применяются установленные требования к защите такой системы, в частности постановление Правительства РФ от 01.11.2012 № 1119 и, в соответствующей части, приказ ФСТЭК России от 18.02.2013 № 21.
Неочевидный момент: работник, который обрабатывает только бумажные личные дела, также подпадает под правила о персональных данных. Закон № 152-ФЗ охватывает обработку как с использованием автоматизации, так и без нее; для неавтоматизированной обработки дополнительно учитывают постановление Правительства РФ от 15.09.2008 № 687. Обучение по информационной безопасности и правилам обращения с бумажными документами нельзя противопоставлять друг другу.
Отдельная ситуация — передача из государственной информационной системы сведений с ограниченным по закону доступом в информационную систему частной компании. Для принимающей системы могут возникнуть специальные требования к защите информации (п. 2 Требований, утв. приказом ФСТЭК России от 11.04.2025 № 117; ч. 8.1 ст. 14 Федерального закона № 149-ФЗ). Однако вход бухгалтера на портал госуслуг или отправка отчетности еще не доказывают, что на всю офисную сеть распространяется полный комплекс требований приказа № 117. Нужно установить факт, состав, правовое основание передачи и параметры защищаемой системы.
Теперь представим небольшой цех: 80 работников, станки, производство деталей, склад, бухгалтерия, отдел кадров и компьютеризированная система учета заказов. Кажется, это уже «промышленность», а значит, обязательно нужно обучать всех работников по информационной безопасности. На практике такой вывод неверен.
Начинаем так же, как в офисе: определяем персональные данные работников, клиентов и представителей контрагентов, круг работников, которые с ними непосредственно работают, и выполняем требования Закона № 152-ФЗ. Сам факт наличия станков и производственной программы не создает универсальной обязанности направлять операторов станков, наладчиков и слесарей на курсы по ИБ.
Однако на производстве может возникнуть вопрос о критической информационной инфраструктуре (КИИ). Закон от 26.07.2017 № 187-ФЗ охватывает определенные виды информационных систем, информационно-телекоммуникационных сетей и автоматизированных систем управления в установленных сферах, в том числе металлургической промышленности. Металлообработку нельзя автоматически приравнивать к металлургии: оценивают реальный характер деятельности и систем, правовые основания владения ими, а также критерии субъекта КИИ (пп. 7–8 ст. 2 Закона № 187-ФЗ). Даже если организация — субъект КИИ, это еще не делает каждый ее объект значимым.
Если предприятие действительно является субъектом КИИ, ему нужно проверить обязанность по категорированию принадлежащих ему объектов и установленный порядок ее выполнения. Требования к квалификации специалистов по приказу ФСТЭК России от 21.12.2017 № 235 относятся к обеспечению безопасности значимых объектов КИИ. Нельзя утверждать, что любой заводской системный администратор обязан повышать квалификацию каждые три года только из-за наличия станков или автоматизированного учета.
Для наглядности сравним два условных предприятия. Первый цех обрабатывает покупные металлические заготовки, а все его информационные системы используются для обычного учета. Второй — предприятие металлургической промышленности с автоматизированными системами управления производственными процессами и значимым объектом КИИ. В первом случае по одному виду деятельности обязательное специальное обучение специалистов по приказу № 235 не подтверждается. Во втором его необходимо организовывать с учетом статуса объекта и должностных функций специалистов.
Практический вывод: вопрос не в том, «есть ли станки», а в правовой квалификации организации и информационной системы. И эту квалификацию нельзя подменять кодом ОКВЭД или общим названием «производство».
Предположим, это муниципальное бюджетное учреждение культуры. У него есть бухгалтерия, кадровая служба, электронная почта и учет посетителей. Дополнительно сотрудники работают с муниципальным электронным сервисом. Нужно ли всем проходить профессиональную переподготовку по информационной безопасности? Нет. Но ответ зависит от того, какие именно информационные системы используются.
Здесь важно не смешивать «муниципальное учреждение» и «муниципальную информационную систему». Первое — характеристика организации. Второе — правовой статус конкретной системы. Пункт 3 Требований, утвержденных приказом ФСТЭК России от 11.04.2025 № 117, устанавливает применение соответствующих требований к муниципальным информационным системам, если иное не установлено законодательством.
Следовательно, если учреждение является оператором муниципальной информационной системы, необходимо выполнить относящиеся к его функциям требования приказа № 117, включая предусмотренные меры подготовки пользователей. Если учреждение только пользуется чужой муниципальной системой, следует определить, кто является оператором, какие обязанности распределены между участниками и какие правила доступа доведены до работников. Муниципальная бухгалтерская программа не становится муниципальной информационной системой автоматически лишь из-за статуса учреждения.
Для обычного кадрового учета и обработки персональных данных применим Закон № 152-ФЗ. Если работники учреждения используют муниципальную информационную систему, нужно установить их роль и предусмотренные для этой системы обязанности. Если учреждение получает из государственной информационной системы сведения ограниченного доступа, дополнительно анализируют условия передачи и защиты такой информации (п. 2 Требований № 117).
Поэтому правильный запрос руководителю учреждения звучит не «Сколько удостоверений по ИБ нам купить?», а «Какие наши системы имеют статус муниципальных или государственных, кто ими пользуется, кто отвечает за их защиту и какие требования к подготовке следуют из этого статуса?».
Возьмем государственное учреждение, у которого есть собственная информационная система кадрового и бухгалтерского учета, а работники дополнительно используют государственные электронные сервисы. Для собственной системы, подпадающей под приказ № 117, учреждение выполняет предусмотренные им обязанности оператора (обладателя информации). При работе в чужой государственной системе нужно дополнительно разграничить обязанности ее оператора и конкретных пользователей. Это влияет на то, кто утверждает регламенты и организует оценку знаний.
Приказ ФСТЭК России от 11.04.2025 № 117 вступил в силу 1 марта 2026 года. Приказ ФСТЭК России от 08.05.2026 № 137 внес изменения, основная часть которых действует с 1 сентября 2026 года; отдельные положения предусмотрены с 1 марта 2027 года. При подготовке документов необходимо пользоваться применимой редакцией.
Отдельно следует проверить применение специальных режимов. По пункту 5 Требований № 117 в системах, подпадающих под приказ и обрабатывающих персональные данные, одновременно применяются требования к защите персональных данных, утвержденные постановлением Правительства РФ № 1119. При использовании криптографических средств учитываются также соответствующие требования ФСБ России (п. 7 Требований № 117).
Пункт 56 Требований № 117 предусматривает мероприятия по повышению знаний и информированности пользователей. В их состав входят доведение памяток и иных материалов, лекции и семинары, имитационные рассылки для оценки устойчивости к социальной инженерии, а также практические тренировки. Перечисленные меры направлены на пользователей информационных систем; сами по себе они не требуют, чтобы каждый бухгалтер, кадровик или специалист отдела закупок получал удостоверение ДПО.
Пункт 57 Требований № 117 предусматривает, что способы повышения знаний пользователей, периодичность и формы оценки знаний определяются внутренними регламентами. Оценка должна проходить не реже одного раза в три года или после компьютерного инцидента у оператора (обладателя информации). Для пользователей, у которых отсутствуют необходимые знания, организуют повторные обучающие курсы. Важно: это проверка знаний пользователей, а не обязательное трехлетнее повышение квалификации всех работников в учебном центре.
Представим ситуацию: государственное учреждение один раз ознакомило работников с памяткой и больше ничего не делало. Если на него распространяются указанные требования, только такого формального действия недостаточно для выполнения полного комплекса мер по пунктам 56–57. Необходимо организовать предусмотренную подготовку и оценку знаний, а результаты документировать способом, установленным во внутренних регламентах.
Отдельно от пользователей рассматривают работников, выполняющих функции по защите информации. Пункт 20 Требований № 117 требует, чтобы они обладали необходимыми компетенциями. Если создано структурное подразделение по защите информации, не менее 30 процентов его работников должны иметь профильное профессиональное образование либо профессиональную переподготовку в области информационной безопасности.
Например, в подразделении по защите информации десять работников. Для выполнения требования «не менее 30 процентов» соответствующее образование либо переподготовка необходимы не менее чем трем работникам. Остальные также должны обладать компетенциями, соответствующими их функциям. При этом требование о процентной доле сформулировано для работников структурного подразделения; автоматически переносить расчет «30 процентов» на любой случай назначения единственного ответственного специалиста нельзя.
Итог для государственного учреждения: разделяем подготовку пользователей и квалификацию специалистов по защите информации. Это разные требования, разные основания и нередко разные документы.
Предположим, крупное предприятие металлургической промышленности эксплуатирует значимый объект КИИ. Здесь применяются специальные требования Федерального закона № 187-ФЗ и приказа ФСТЭК России от 21.12.2017 № 235 «Об утверждении Требований к созданию систем безопасности значимых объектов критической информационной инфраструктуры Российской Федерации и обеспечению их функционирования».
Пункт 12 Требований, утв. приказом ФСТЭК России от 21.12.2017 № 235, разделяет квалификационные требования. Руководителю подразделения по безопасности необходимо высшее профильное образование либо иное высшее образование вместе с профессиональной переподготовкой по направлению «Информационная безопасность», а также стаж в этой сфере не менее трех лет. Штатным работникам подразделения и штатным специалистам по безопасности необходимо профильное профессиональное образование либо иное высшее образование вместе с повышением квалификации по направлению «Информационная безопасность». Кроме того, пункт 12 устанавливает повышение квалификации не реже одного раза в три года. Для работников со средним профильным профессиональным образованием предусмотрена отдельная оговорка о выполнении отдельных функций (п. 12.1 Требований).
Но на этом обязанности не заканчиваются.
Пункт 15 Требований № 235 предусматривает доведение до работников, эксплуатирующих значимые объекты и обеспечивающих их функционирование, относящихся к ним внутренних правил безопасности. Субъект КИИ также должен не реже одного раза в год проводить организационные мероприятия, повышающие знания работников о безопасности КИИ и возможных угрозах. Это не ежегодное получение удостоверения о повышении квалификации всеми работниками завода.
Здесь особенно легко перепутать сроки.
Ежегодные мероприятия по осведомленности работников и повышение квалификации штатных специалистов раз в три года — разные мероприятия. Ни одна из этих норм не означает, что все рабочие промышленного предприятия обязаны раз в три года получать удостоверение о повышении квалификации по информационной безопасности.
Если предприятие работает в сфере, предусмотренной Законом № 187-ФЗ, но значимых объектов КИИ у него не выявлено, специальные требования к системе безопасности значимых объектов из пунктов 12 и 15 приказа № 235 нельзя переносить механически. Однако это не означает автоматического отсутствия у субъекта КИИ других обязанностей по Закону № 187-ФЗ, в частности связанных с выявлением и категорированием объектов.
Учтите и предстоящее изменение: приказ ФСТЭК России от 16.07.2026 № 220 вводит с 1 марта 2027 года дополнительные положения в требования к функционированию систем безопасности значимых объектов КИИ. На дату подготовки статьи они еще не действуют. При планировании долгосрочных мероприятий следует отделять действующие обязанности от будущих изменений.
Вернемся к самому распространенному случаю — обработке персональных данных. Здесь важно буквально прочитать закон. Пункт 6 части 1 статьи 18.1 Закона № 152-ФЗ предусматривает «ознакомление ... и (или) обучение» работников, непосредственно осуществляющих обработку персональных данных.
Это не равнозначно обязанности приобрести курсы у стороннего учебного центра. Оператору необходимо обеспечить установленные законодательством меры и иметь возможность подтвердить их выполнение. В зависимости от характера обработки, обязанностей и внутренних процедур можно использовать ознакомление с применимыми документами, обучение или их сочетание.
Например, новый кадровик получил доступ к личным делам. До начала самостоятельной работы с документами ему необходимо довести действующие правила обработки и защиты персональных данных в организации. Работник должен понимать, что допускается, какие документы можно выдавать, кому сообщать о нарушении и как действовать при ошибочной отправке файла.
Если организация хочет повысить качество подготовки, она вправе дополнительно провести практическое занятие или направить ответственного специалиста на повышение квалификации. Но добровольное усиление мер нельзя описывать как безусловную обязанность каждого оператора персональных данных.
Одно из главных заблуждений — считать, что любое мероприятие по безопасности должно заканчиваться удостоверением. На практике вид подготовки выбирают по правовому основанию и ожидаемому результату.
Форма подготовки | Для чего подходит | Результат и подтверждение |
|---|---|---|
Ознакомление с локальными документами | Работник должен знать правила обработки данных, допуска и безопасной работы. | Подпись, электронное подтверждение или иной доказуемый способ ознакомления. |
Внутреннее обучение, тренировки, оценка знаний | Пользователь отрабатывает правила поведения, распознает угрозы, подтверждает знания. | Материалы обучения, результаты оценки, учет участия — в соответствии с внутренним порядком и применимыми требованиями. |
Повышение квалификации | Работнику с имеющейся квалификацией необходимо совершенствовать компетенции. | Удостоверение о повышении квалификации по программе ДПО. |
Профессиональная переподготовка | Необходимо получить компетенции для нового вида профессиональной деятельности и/или новую квалификацию. | Диплом о профессиональной переподготовке по программе ДПО. |
По итогам дополнительного профессионального образования выдаются удостоверение о повышении квалификации или диплом о профессиональной переподготовке при соблюдении требований статьи 76 Федерального закона от 29.12.2012 № 273-ФЗ. Диплом о переподготовке не заменяет установленные требования к высшему образованию, стажу и выполняемым трудовым функциям, если они предъявляются к конкретной должности.
О том, как отличить удостоверение о повышении квалификации от диплома и что означает срок действия документа, отдельно рассказано в материале «Срок действия удостоверения о повышении квалификации: сколько действует». Переход особенно полезен при проверке кадровых документов.
Единого трехлетнего срока для всех организаций нет. В законодательстве встречаются разные обязанности, поэтому при выборе периодичности всегда нужно указывать не только срок, но и вид мероприятия.
Кому и какое мероприятие | Периодичность | Основание |
|---|---|---|
Непосредственно обрабатывающие персональные данные работники обычного оператора: ознакомление и (или) обучение | Общий фиксированный срок «раз в три года» законом № 152-ФЗ не установлен. | П. 6 ч. 1 ст. 18.1 Закона № 152-ФЗ |
Пользователи систем, подпадающих под приказ № 117: оценка уровня знаний | Не реже одного раза в 3 года или после компьютерного инцидента. | П. 57 Требований ФСТЭК № 117 |
Штатные специалисты по безопасности значимого объекта КИИ: повышение квалификации | Не реже одного раза в 3 года. | П. 12 Требований ФСТЭК № 235 |
Работники, эксплуатирующие значимый объект КИИ: мероприятия по повышению осведомленности | Не реже одного раза в год. | П. 15 Требований ФСТЭК № 235 |
Именно поэтому фраза в коммерческом предложении «информационную безопасность обязательно проходить каждые три года» нуждается в уточнении. Какие работники? Какое мероприятие? По какому акту? Без этих ответов нельзя правильно определить ни цену, ни программу, ни порядок документирования.
При выборе учебного центра важно проверить не только наличие лицензии и возможность выдачи удостоверения или диплома. Для дополнительных профессиональных программ именно в области информационной безопасности установлен специальный Порядок, утвержденный приказом Минобрнауки России от 19.10.2020 № 1316 (в ред. приказа от 04.09.2024 № 579; ч. 8 ст. 76 Закона № 273-ФЗ). Он действует до 1 января 2027 года. Не следует применять к новым программам отмененный с 2021 года приказ Минобрнауки России от 05.12.2013 № 1310.
По пунктам 16–17 приказа № 1316 к программам ДПО в области информационной безопасности относятся программы, формирующие или совершенствующие соответствующие компетенции. Минимальный объем повышения квалификации — 40 часов, профессиональной переподготовки — 360 часов. По пункту 18 программы профессиональной переподготовки в этой области подлежат согласованию с уполномоченными федеральными органами (ФСТЭК России и (или) ФСБ России в пределах их компетенции); порядок согласования конкретизирован пунктами 18.1–18.2. Это не означает, что каждое внутреннее занятие для кадровика нужно согласовывать с ФСТЭК.
Пример: если учебный центр предлагает «профессиональную переподготовку по информационной безопасности» на 256 часов, она не соответствует специальному минимуму 360 часов из пункта 17 приказа № 1316. А курс по правовым вопросам обработки персональных данных нужно оценивать по фактическим целям, результатам и компетенциям: название темы само по себе еще не определяет, считается ли он специальной программой ДПО в области информационной безопасности. Для работодателя важен не красивый бланк, а соответствие программы правовому основанию обучения.
Выбор программы должен начинаться с анализа функции работника. Для рядового пользователя важны безопасная почта, пароли, обращение с файлами и сообщения об инцидентах. Для руководителя — распределение ответственности и соблюдение применимых норм. Для специалиста по защите информации — оценка угроз, меры защиты, эксплуатация средств защиты, контроль выполнения требований.
Если требуется дополнительное профессиональное образование (ДПО), сначала проверяют уровень исходного образования, должностные обязанности и режим информационной системы. Затем сопоставляют название, объем и содержание программы с применимыми требованиями. Для специалистов по безопасности значимых объектов КИИ особое значение имеет соответствие именно пункту 12 приказа ФСТЭК № 235. Курс по персональным данным не следует автоматически считать подтверждением всей квалификации по защите информации.
Дистанционная форма обучения возможна с соблюдением законодательства об образовании (ст. 16 Закона № 273-ФЗ), если образовательная программа и необходимые практические мероприятия организованы надлежащим образом. Однако прохождение дистанционного курса не заменяет внутренние тренировки пользователей там, где они предусмотрены применимыми требованиями.
Например, работникам кадровой и юридической служб может быть полезна программа повышения квалификации «Защита персональных данных: правовые аспекты и практические навыки», а руководителям и работникам, решающим более широкие задачи, — программа «Обеспечение информационной безопасности на предприятии». Обе программы представлены в каталоге учебного центра «Сфера безопасности». Их следует рекомендовать по задачам слушателя, не называя прохождение таких курсов всеобщей обязанностью и не обещая, что они автоматически закрывают специальные требования к специалистам по безопасности значимых объектов КИИ.
Проверенные программы и направления: «Защита персональных данных: правовые аспекты и практические навыки»; «Обеспечение информационной безопасности на предприятии»; раздел «Обработка персональных данных». Выбор программы выполняют после определения нормативных требований к слушателю.
Если организация раньше не занималась этой темой системно, полезно начать с простого внутреннего обследования. Оно покажет, какие меры уже реализованы, а какие действительно необходимо организовать.
Рекомендуемый порядок действий следующий:
После такого анализа станет понятно, кому достаточно ознакомиться с внутренним порядком, кому нужны практические занятия, а кого действительно необходимо направлять на программу повышения квалификации или профессиональной переподготовки.
Для всех организаций нет единого «журнала инструктажей по информационной безопасности», который законом предписано вести по аналогии с охраной труда. Набор доказательств определяется конкретными нормативными обязанностями и внутренним порядком.
Если речь об ознакомлении с правилами обработки персональных данных, важны актуальные локальные документы и подтверждение, что соответствующие работники с ними ознакомлены. Если речь о мероприятиях по приказу № 117, во внутренних регламентах следует определить формы подготовки и оценки знаний пользователей и сохранять результаты исполнения. Если требуется повышение квалификации по приказу № 235, подтверждающий документ должен соответствовать виду дополнительного профессионального образования.
Как практическое решение организация может вести матрицу подготовки: должность, система, применимый нормативный акт, обязательное мероприятие, дата выполнения, подтверждающий документ и следующая контрольная дата. Это удобный инструмент управления, но саму такую форму нельзя представлять как единую обязательную государственную форму для всех.
Единого «инспектора по информационной безопасности» для любых организаций нет: полномочия разделены. Роскомнадзор осуществляет федеральный государственный контроль (надзор) за обработкой персональных данных (ст. 23.1 Закона № 152-ФЗ; постановление Правительства РФ от 29.06.2021 № 1046). ФСТЭК России контролирует соблюдение требований технической защиты информации в пределах закрепленной компетенции. ФСБ России выполняет функции в области обеспечения безопасности, включая отдельные вопросы криптографической защиты и безопасности КИИ.
На практике предмет проверки зависит от объекта контроля. Например, по вопросу ознакомления кадровиков с правилами обработки персональных данных ключевым является выполнение Закона № 152-ФЗ. По защите конкретной государственной информационной системы оценивают применимые требования ФСТЭК. Если затронут значимый объект КИИ, анализируют отдельный комплекс требований. Поэтому формулировка «Роскомнадзор штрафует любую компанию за отсутствие удостоверения по ИБ» юридически неверна.
Универсального штрафа «за отсутствие удостоверения по информационной безопасности у каждого работника» нет. Ответственность привязана к конкретному нарушению обязательных требований, а не к общему названию курса.
Например, часть 6 статьи 13.12 КоАП РФ предусматривает ответственность за нарушение установленных нормативными актами требований о защите информации, не составляющей государственную тайну, кроме случаев, подпадающих под отдельные составы этой статьи:
Эти размеры относятся к конкретному составу правонарушения и не означают автоматического штрафа за непрохождение любого курса.
За конкретные нарушения законодательства о персональных данных применяются самостоятельные составы статьи 13.11 КоАП РФ. Однако нельзя произвольно выбирать штраф из этой статьи и называть его санкцией «за отсутствие обучения»: сначала необходимо установить событие, нарушенное требование и состав правонарушения. Доказательства ознакомления и (или) обучения персонала важны при оценке выполнения обязанностей оператора (п. 6 ч. 1 ст. 18.1 Закона № 152-ФЗ).
Для критической информационной инфраструктуры действуют специальные составы ответственности.
В частности, ст. 13.12.1 КоАП РФ предусматривает ответственность за нарушение требований к созданию и функционированию систем безопасности значимых объектов КИИ, а ст. 13.12.2 КоАП РФ — за нарушение правил эксплуатации объектов КИИ и правил доступа к ним. Поэтому нарушения в сфере КИИ нельзя автоматически квалифицировать только по общей ч. 6 ст. 13.12 КоАП РФ.
Сложности возникают главным образом из-за того, что организация не разделяет пользователей, специалистов по защите информации и работников, обрабатывающих персональные данные. На практике чаще всего встречаются следующие ошибки:
Избежать таких ошибок помогает один принцип: сначала установить норму и ее адресата, а уже затем назначать курс и оформлять документы. Это дешевле и надежнее, чем массово обучать «на всякий случай».
Обязательно ли обучение по информационной безопасности для любого ООО?
Нет, универсальной обязанности получать удостоверения у всех работников нет. Но обычное ООО, обрабатывающее персональные данные, должно выполнять меры по Закону № 152-ФЗ, включая ознакомление и (или) обучение работников, непосредственно обрабатывающих данные (п. 6 ч. 1 ст. 18.1).
Нужно ли обучать бухгалтера и кадровика в учебном центре?
По одному факту работы с персональными данными — нет. Обязательно выполнить применимые меры по ознакомлению и (или) обучению. Отдельное ДПО требуется при наличии специальных оснований, связанных с выполняемыми функциями и статусом системы.
Если на предприятии есть производственные станки, оно относится к КИИ?
Не автоматически. Нужно оценить деятельность предприятия, наличие соответствующих информационных систем и автоматизированных систем управления и статус субъекта КИИ по Закону № 187-ФЗ. Особые требования приказа № 235 относятся к значимым объектам КИИ.
Муниципальная школа или дом культуры обязаны обучать весь персонал по приказу № 117?
Не только из-за муниципального статуса учреждения. Необходимо проверить, эксплуатирует ли организация муниципальные информационные системы, выполняет ли функции оператора или пользователя соответствующей системы и какие требования применимы. При этом Закон № 152-ФЗ распространяется на обработку персональных данных.
Сколько работников отдела информационной безопасности должно иметь профильное образование?
В структурном подразделении по защите информации, на которое распространяется пункт 20 приказа № 117, — не менее 30 процентов работников. Для остальных сохраняется требование о компетенциях. Нельзя автоматически переносить этот процент на все организации.
Все ли пользователи государственных информационных систем должны получать удостоверение?
Нет. Приказ № 117 предусматривает мероприятия по повышению осведомленности и оценку знаний пользователей. Это не тождественно обязательному ДПО для каждого пользователя (пп. 56–57 Требований).
Что именно по информационной безопасности нужно делать раз в три года?
По приказу № 117 — оценка знаний пользователей соответствующих систем не реже одного раза в три года или после инцидента; по приказу № 235 — повышение квалификации определенных специалистов по безопасности значимых объектов КИИ не реже одного раза в три года. Это две разные обязанности.
Нужно ли проводить обучение каждый год?
Ежегодные организационные мероприятия по повышению знаний работников предусмотрены, например, для значимых объектов КИИ (п. 15 Требований ФСТЭК № 235). Но такой срок не установлен для всех работников любых коммерческих организаций.
Можно ли провести обучение по информационной безопасности своими силами?
Да, когда речь идет о внутреннем ознакомлении, повышении осведомленности и тренировках и когда применимые требования позволяют выполнить их своими силами. Если же нормативный акт требует соответствующего профессионального образования или ДПО, внутреннее занятие не заменит документ об образовании.
Подойдет ли дистанционный курс по информационной безопасности?
Дистанционное ДПО допустимо при соблюдении образовательных требований. Но выбор формы курса сам по себе не освобождает от обязательных внутренних мер, практических тренировок или оценки знаний, установленных специальными нормативными актами.
Можно ли пройти профессиональную переподготовку по информационной безопасности за 256 часов?
Для программы именно в области информационной безопасности — нет: минимальный срок ее освоения составляет 360 часов (п. 17 Порядка, утв. приказом Минобрнауки России № 1316). Отдельные программы иной направленности нельзя автоматически оценивать как программы переподготовки в области ИБ только по сходству названий.
Нужно ли согласовывать программу переподготовки по информационной безопасности с ФСТЭК?
Для программ профессиональной переподготовки в области ИБ предусмотрено согласование с уполномоченным федеральным органом в пределах его компетенции — ФСТЭК России и (или) ФСБ России (п. 18 Порядка, утв. приказом Минобрнауки России № 1316). Для обычного ознакомления персонала с локальными правилами такая процедура не предусмотрена.
Если организация — обычное ООО с бухгалтерией, кадровой службой и клиентской базой, первым делом нужно обеспечить выполнение законодательства о персональных данных. Для работников, непосредственно работающих с данными, предусмотрено ознакомление с требованиями и внутренними документами и (или) обучение. При этом повсеместной обязанности приобретать удостоверения ДПО по информационной безопасности нет.
Если речь идет о государственных информационных системах, иных системах госорганов, ГУП и госучреждений или муниципальных информационных системах, нужно проверить применимость приказа ФСТЭК России № 117. Для соответствующих пользователей он предусматривает не только информирование и тренировки, но и оценку знаний. Специалистам по защите информации требуются необходимые компетенции, а для структурного подразделения установлено отдельное требование к доле работников с профильным образованием или переподготовкой.
Если у предприятия есть значимый объект КИИ, анализируют требования приказа ФСТЭК № 235. Для определенных специалистов он предусматривает повышение квалификации не реже одного раза в три года, а для работников — ежегодные мероприятия по повышению осведомленности. Ни статус «промышленное предприятие», ни слово «информационная безопасность» в названии курса не заменяют эту проверку.
Оптимальный подход: сначала определить системы и категории работников, затем нормативное основание и только после этого выбирать форму подготовки. Тогда обучение помогает соблюдать требования, а не превращается в дополнительную статью расходов без понятного результата.
С уважением, команда учебного центра «Сфера безопасности»
Антитеррористическая защищенность объектов в 2026 году: ответы на вопросы работодателей
Работы повышенной опасности: как определить перечень, кого обучать по 46В и при чем тут СОУТ
Изменения в Постановлении № 2464 с 31 августа 2026 года: что работодателю нужно изменить в обучении по охране труда
Оставьте контакты, специалист свяжется с вами в течение дня, ответит на вопросы и поможет подобрать обучение под ваши цели и задачи
Комментарии
Здесь пока пусто. Задайте первый вопрос — мы отвечаем в комментариях.