Акт классификации ГИС: образец и бланк

Акт классификации ГИС — документ, которым заказчик или оператор системы фиксирует, к какому классу относится информационная система: по уровню значимости, по требованиям защиты информации, по масштабу. Ниже — бланк и образец заполнения акта для системы, которую вводят в эксплуатацию.

Бланк в WordWord, 11 КБ Образец в WordWord, 11 КБ Образец в PDFPDF, 63 КБ

Проверка актуальности

Проверьте документ перед подписанием

Законы меняются быстрее, чем бланки в интернете: образцы составляют в разное время, и обновить их все не успевает никто. Чтобы документ работал на вас сегодня, мы настроили ИИ для проверки актуальности: он сам возьмёт этот образец, сверит его с действующей редакцией законов и пришлёт, что поправить.

Образец заполнения

Утверждаю: генеральный директор ООО «Ромашка»

П. П. Петров

«16» ноября 2026 г.

Акт классификации информационной системы

о присвоении информационной системе класса защищённости

16 ноября 2026 г. № 7

Комиссия в составе: председатель — заместитель генерального директора П. П. Петров, члены комиссии — руководитель ИТ-отдела И. И. Иванов, специалист по защите информации С. С. Сидоров, провела классификацию информационной системы «Учёт заявок» и установила следующее.

Информационная система «Учёт заявок» обрабатывает персональные данные клиентов, сведения о договорах и заявках, обеспечивает приём и распределение обращений между подразделениями. Система размещена на серверах в центре обработки данных, доступ — по защищённым каналам связи.

По уровню значимости информации и масштабу последствий от нарушения работы система отнесена к третьему классу защищённости. Требования к защите определяются приказом ФСТЭК России от 11.04.2025 № 117.

Комиссия решила: утвердить меры защиты по третьему классу, назначить ответственным за эксплуатацию системы руководителя ИТ-отдела И. И. Иванова, провести оценку эффективности мер защиты до ввода системы в эксплуатацию.

Председатель комиссии

Заместитель генерального директора

____________ / П. П. Петров /

Члены комиссии

Руководитель ИТ-отдела

____________ / И. И. Иванов /

Что такое акт классификации ГИС

Классификация информационной системы — это отнесение её к определённому классу по уровню значимости информации, которую она обрабатывает, и по масштабу последствий, если её работа нарушится. Акт фиксирует результат: какой класс присвоен, на каком основании, какие меры защиты из этого следуют.

Для государственных информационных систем порядок классификации и требования к защите задаёт приказ ФСТЭК России от 11.04.2025 № 117. Документ делит системы на три класса защищённости и требует подтверждать класс актом заказчика или оператора.

Что указать в акте

Состав комиссии: председатель и члены с должностями и фамилиями.
Назначение системы, какие сведения она обрабатывает и где размещена.
Признаки, по которым определяли класс: уровень значимости информации, масштаб системы, число пользователей, последствия сбоя.
Присвоенный класс защищённости и норму, по которой его определили.
Меры защиты, которые из класса следуют, и срок их выполнения.
Ответственного за эксплуатацию и за защиту информации.
Дату, номер акта и подписи всех членов комиссии.

Как составить акт классификации

Соберите сведения о системе. Назначение, состав обрабатываемых данных, где размещены серверы, кто и как подключается, какие внешние системы связаны с ней.
Определите уровень значимости. Оцените, что произойдёт при нарушении конфиденциальности, целостности и доступности информации: какие потери понесёт компания, клиенты, контрагенты.
Сопоставьте с требованиями. Для государственной системы сверьтесь с приказом ФСТЭК России от 11.04.2025 № 117, для системы персональных данных — с постановлением Правительства РФ от 01.11.2012 № 1119.
Соберите комиссию. В комиссию включают владельца системы, специалистов по ИТ и по защите информации. Решение оформляют актом, а не устной договорённостью.
Подпишите и утвердите. Акт подписывают все члены комиссии, утверждает руководитель организации. С этого дня класс считается присвоенным.

Частые ошибки

Класс присваивают без описания данных: непонятно, что именно защищают и от чего.
Комиссия состоит из одного человека — решение о классе выглядит как личное мнение, а не как оценка.
Акт составляют после ввода системы в эксплуатацию, хотя меры защиты нужно определить до неё.
Путают акт классификации с приказом о вводе в эксплуатацию: это разные документы и разные решения.
Не указывают, по какому документу определён класс, — при проверке нечем подтвердить обоснование.

Частые вопросы

Обязателен ли акт классификации для коммерческой системы?

Для государственных информационных систем классификация и акт предусмотрены приказом ФСТЭК № 117. Для коммерческой системы, обрабатывающей персональные данные, оператор определяет необходимый уровень их защищённости по постановлению Правительства РФ от 01.11.2012 № 1119.

Сколько классов защищённости у государственных систем?

Три. Третий класс — самый низкий, первый — самый высокий. Класс определяют по уровню значимости информации и масштабу системы по приказу ФСТЭК № 117; состав и содержание мер защиты раскрыты в методическом документе ФСТЭК от 12 апреля 2026 года.

Кто подписывает акт классификации?

Все члены комиссии и её председатель. Акт утверждает руководитель организации или уполномоченное им лицо. Если система государственная, акт утверждает заказчик или оператор системы.

Чем акт классификации отличается от приказа о вводе в эксплуатацию?

Акт присваивает системе класс и определяет меры защиты. Приказ о вводе в эксплуатацию разрешает работать в системе. Сначала классификация и меры защиты, затем ввод — в таком порядке акт и приказ не противоречат друг другу.

Нужно ли пересматривать класс, если система изменилась?

Да. Если изменился состав обрабатываемых данных, число пользователей или схема подключения, класс пересматривают и оформляют новый акт. Иначе меры защиты перестают соответствовать системе.

Когда классификация и защита системы держатся на одном специалисте

Чтобы документы по системе собирались сами

Акт классификации, перечень мер защиты, журналы доступа — всё это приходится собирать вручную, и любая проверка начинается с вопроса «а где обоснование?».

Я настраиваю ИИ-агентов, которые собирают такие документы по шаблону, сверяют данные о системе с учётными записями и приносят руководителю готовый акт на подпись.

Читать об услуге «ИИ-агенты под задачу компании»