Акт классификации информационной системы: образец и бланк

Акт классификации фиксирует, к какому классу защищённости относится информационная (автоматизированная) система и почему. Документ составляют до создания системы защиты информации: от класса зависят меры защиты и состав аттестации. Ниже — бланк и образец заполнения.

Бланк в WordWord, 11 КБ Образец в WordWord, 12 КБ Образец в PDFPDF, 65 КБ

Проверка актуальности

Проверьте документ перед подписанием

Законы меняются быстрее, чем бланки в интернете: образцы составляют в разное время, и обновить их все не успевает никто. Чтобы документ работал на вас сегодня, мы настроили ИИ для проверки актуальности: он сам возьмёт этот образец, сверит его с действующей редакцией законов и пришлёт, что поправить.

Образец заполнения

УТВЕРЖДАЮ

Генеральный директор ООО «Ромашка»

А. А. Смирнов

«16» ноября 2026 г.

Акт классификации информационной (автоматизированной) системы

о присвоении класса защищённости

16 ноября 2026 г. № 7

Комиссия в составе: председатель — заместитель генерального директора А. А. Смирнов, члены комиссии — начальник отдела информационных технологий И. И. Иванов, администратор информационной безопасности П. П. Петров, провела классификацию информационной системы «Учёт заявок», введённой в эксплуатацию в 2026 году.

Система обрабатывает персональные данные клиентов и сведения о заявках, подключена к ведомственной сети и доступна из сети связи общего пользования через защищённый канал. Нарушение целостности или доступности сведений приводит к сбою приёма и обработки заявок и к нарушению прав субъектов персональных данных.

По результатам анализа исходных данных и оценки уровня значимости информации системе присвоен класс защищённости К2 по требованиям о защите информации, не составляющей государственную тайну.

На основании настоящего акта разработать систему защиты информации и технический проект в соответствии с требованиями к защите информации; акт учесть при аттестации объекта информатизации.

Председатель комиссии

Заместитель генерального директора

____________ / А. А. Смирнов /

Члены комиссии

Начальник отдела информационных технологий

____________ / И. И. Иванов /

Что фиксирует акт классификации

Акт классификации — документ, которым владелец информационной (автоматизированной) системы закрепляет её класс защищённости и обоснование выбора. Класс показывает, какой ущерб наступит при нарушении конфиденциальности, целостности и доступности информации, и задаёт набор мер защиты.

Классификацию проводят до разработки системы защиты информации: без неё нельзя выбрать меры и подготовить технический проект. При аттестации объекта информатизации акт классификации входит в состав документов, которые проверяют на соответствие требованиям по защите информации — это прямо названо в Порядке, утверждённом приказом ФСТЭК России от 29.04.2021 № 77.

Акт классификации АС: когда речь об автоматизированной системе

Акт классификации АС оформляют на автоматизированную систему — комплекс средств вычислительной техники, программ и персонала, который обрабатывает информацию по заданным правилам. В приказе ФСТЭК России от 29.04.2021 № 77 документ так и назван: акт классификации информационной (автоматизированной) системы.

На практике «АС» в названии акта ставят, когда система создана по стандартам автоматизированных систем и у неё есть технический паспорт. Для аттестации это удобно: в акте классификации АС и техническом паспорте объекта информатизации одна и та же граница системы, и проверяющему не приходится сверять разные перечни оборудования и программ.

Что указать в акте

Наименование системы и её назначение: какие задачи решает и какие процессы обеспечивает.
Сведения об обрабатываемой информации: персональные данные, служебные сведения, коммерческая тайна, государственная тайна.
Уровень значимости информации и последствия нарушения конфиденциальности, целостности и доступности.
Режим обработки и условия доступа: изолированная сеть, подключение к сети связи общего пользования, удалённый доступ.
Присвоенный класс защищённости и обоснование выбора.
Состав комиссии, дата и подписи участников.
Решения по результатам классификации: разработать систему защиты информации, учесть акт при аттестации.

Как составить акт классификации

Соберите исходные данные. Опишите систему, обрабатываемую информацию и режим доступа. Основание — модель угроз и результаты обследования системы.
Оцените последствия нарушения. Определите уровень значимости информации: что произойдёт с бизнесом и людьми при утечке, искажении или остановке системы.
Определите класс. Сопоставьте исходные данные с требованиями к защите информации и зафиксируйте класс защищённости с обоснованием.
Подпишите акт комиссией. Акт подписывают председатель и члены комиссии, утверждает руководитель организации.
Передайте в работу. По акту разрабатывают систему защиты информации и технический проект; при аттестации акт предъявляют вместе с техническим паспортом объекта.

Частые ошибки

Акт составляют после внедрения системы защиты, когда меры уже выбраны, — классификация теряет смысл.
В акте нет обоснования класса: указан только номер, и при аттестации нечем подтвердить выбор.
Путают акт классификации информационной системы и акт категорирования значимого объекта: это разные документы для разных задач.
Не описывают режим доступа к системе, хотя подключение к сетям общего пользования меняет требования к защите.
Комиссию оформляют задним числом без протокола обследования системы.

Частые вопросы

Чем акт классификации отличается от акта категорирования значимого объекта?

Акт классификации присваивает класс защищённости информационной (автоматизированной) системе. Акт категорирования определяет категорию значимости значимого объекта критической информационной инфраструктуры. Оба документа названы в Порядке аттестации, утверждённом приказом ФСТЭК России от 29.04.2021 № 77, но решают разные задачи и составляются по разным правилам.

Кто подписывает акт классификации?

Комиссия, созданная владельцем системы: председатель и члены комиссии. Акт утверждает руководитель организации. В состав комиссии включают специалистов по информационным технологиям и защите информации.

Когда нужен акт классификации?

До разработки системы защиты информации — чтобы определить меры защиты. Для государственных информационных систем и систем, подлежащих обязательной аттестации, документ входит в обязательный комплект: его проверяют при аттестации объекта информатизации.

Можно ли изменить класс защищённости после утверждения акта?

Да, если изменились состав обрабатываемой информации, режим доступа или характер угроз. Новый класс фиксируют новым актом классификации с обоснованием, а систему защиты информации пересматривают под изменившиеся требования.

Нужен ли акт классификации для системы, которая обрабатывает только коммерческую тайну?

Если система не государственная и не подлежит обязательной аттестации, закон не требует акта. Но без классификации не обосновать выбор мер защиты, поэтому компании оформляют акт для внутреннего контроля и для подтверждения разумности мер при инциденте.

Классификация и защита системы — работа для специалиста

Собрать ИИ-агента, который работает с данными по правилам

Акт классификации задаёт, какие данные система вправе обрабатывать и как их защищать. Когда в процессы приходит ИИ-агент, он получает доступ к тем же заявкам, документам и переписке — и требования к защите распространяются на него.

Я собираю ИИ-агента под одну задачу, подключаю к CRM, 1С и мессенджерам и проверяю на ваших настоящих случаях, чтобы он работал в рамках того класса защищённости, который закреплён актом.

Читать об услуге «ИИ-агенты под задачу компании»