Приказ о назначении ответственного за информационную безопасность — образец 2026
Образец приказа о назначении ответственного за организацию и обеспечение информационной безопасности: замещающее лицо, полномочия, связь с политикой ИБ и должностной инструкцией. DOCX + PDF.
- 149-ФЗ, ст. 16
- 152-ФЗ, ст. 18.1, 19
Коротко. Приказ о назначении ответственного за информационную безопасность закрепляет, кто в организации организует защиту информации, кто его замещает и какие у него полномочия: давать работникам обязательные указания по ИБ, инициировать приостановление доступа при инциденте. Без такого приказа требования политики ИБ некому исполнять и не с кого спросить. Ответственному не стоит совмещать эту роль с администрированием систем — иначе он контролирует сам себя.
Структура документа
- Преамбула: цели и нормативные основания
- Назначение ответственного за организацию и обеспечение ИБ с указанием должности
- Замещающее лицо на время отпуска, болезни, командировки
- Связь с должностной инструкцией и политикой информационной безопасности
- Полномочия: обязательные указания работникам, приостановление доступа при признаках инцидента и другие
- Содействие руководителей подразделений, ознакомление, контроль
- Указание о несовмещении с администрированием и лист ознакомления
Состав всех уровней — на странице комплекта документов по информационной безопасности.
Зачем нужен приказ
Политика информационной безопасности распределяет роли, но сама по себе никого не назначает. Приказ превращает роль «ответственный за ИБ» в конкретного человека с полномочиями: он может требовать от работников выполнения правил и остановить доступ, если видит признаки инцидента. Без приказа такие указания легко оспорить, а при проверке или расследовании утечки нельзя показать, кто отвечал за защиту.
Оператор персональных данных обязан принимать организационные меры защиты (ст. 18.1 и 19 152-ФЗ). Назначенный ответственный — первая из них: через него организуются все остальные.
Что в образце
Назначение и замещение. Ф. И. О. и должность ответственного, а также лицо, которое исполняет его обязанности во время отпуска, болезни или командировки. Без замещающего организация на две недели остаётся без того, кто принимает сообщения об инцидентах.
Основа работы. Ответственный действует по должностной инструкции и руководствуется политикой ИБ — приказ ссылается на оба документа комплекта.
Полномочия. Давать работникам обязательные указания по вопросам ИБ, инициировать приостановление доступа работников и сторонних лиц при признаках инцидента, запрашивать у работников и подрядчиков нужные сведения, вносить руководителю предложения по мерам защиты. Руководителям подразделений предписано содействовать ответственному.
Указание о совмещении. Курсивная подсказка напоминает, что ответственный не должен совмещать роль с администрированием систем, а при малой численности совмещение допускается под контролем руководителя.
Как заполнить
- Выберите работника, у которого есть время и авторитет: ответственный будет давать указания коллегам из других подразделений.
- Назначьте замещающего — желательно того, кто уже знаком с системами организации.
- Проверьте, что полномочия в приказе совпадают с должностной инструкцией и политикой ИБ.
- Удалите курсивные подсказки, подпишите приказ и ознакомьте с ним назначенных под подпись.
Частые ошибки
- Ответственный — внешний подрядчик. Подрядчик может администрировать системы, но давать указания работникам и отвечать перед руководителем должен свой сотрудник.
- Нет замещающего. Инцидент в отпуск ответственного остаётся без реакции.
- Приказ без должностной инструкции. Обязанности не закреплены, спросить за их неисполнение нельзя.
- Назначен уволившийся работник. При кадровых изменениях приказ нужно обновлять сразу.
Частые вопросы
Можно ли назначить ответственным системного администратора?
Нежелательно: ответственный за ИБ проверяет работу администратора, и совмещение ролей лишает контроль смысла. В небольшой организации совмещение допустимо, но тогда работу администратора контролирует руководитель — это оговорено в политике и в приказе.
Это тот же ответственный, что и за персональные данные?
Это разные роли, но их может выполнять один человек. Ответственный за организацию обработки ПДн назначается по ст. 22.1 152-ФЗ и отвечает за законность обработки, ответственный за ИБ — за защиту всех систем. Если роли совмещены, это лучше указать в обоих приказах.
Достаточно ли этого приказа субъекту КИИ?
Нет. Субъекты КИИ по Указу № 250 возлагают полномочия по ИБ на заместителя руководителя и создают подразделение по безопасности по типовым положениям ПП № 1272. Приказ из этого образца подходит организациям, на которые указ не распространяется.