Приказ об информационной безопасности: образец и бланк

Приказ об информационной безопасности вводит в компании правила работы с данными и назначает тех, кто за них отвечает. Ниже — бланк в Word и образец заполнения: ответственный за защиту информации, перечень мер, порядок допуска и разбор инцидентов.

Бланк в WordWord, 11 КБ Образец в WordWord, 12 КБ Образец в PDFPDF, 66 КБ

Проверка актуальности

Проверьте документ перед подписанием

Законы меняются быстрее, чем бланки в интернете: образцы составляют в разное время, и обновить их все не успевает никто. Чтобы документ работал на вас сегодня, мы настроили ИИ для проверки актуальности: он сам возьмёт этот образец, сверит его с действующей редакцией законов и пришлёт, что поправить.

Образец заполнения

ООО «Ромашка»

ПРИКАЗ

16 ноября 2026 г. № 27

Приказ об информационной безопасности

о назначении ответственных и введении мер защиты информации

16 ноября 2026 г. № 27

В целях защиты информации, обрабатываемой в информационных системах ООО «Ромашка», и выполнения требований Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации» приказываю:

1. Назначить ответственным за обеспечение информационной безопасности начальника отдела информационных технологий С. А. Кузнецова.

2. Утвердить и ввести в действие с 16 ноября 2026 года Политику информационной безопасности и Перечень защищаемой информации согласно приложениям 1 и 2.

3. Ответственному за информационную безопасность до 1 декабря 2026 года провести инвентаризацию информационных систем, определить перечень лиц, допущенных к обработке защищаемой информации, и ознакомить их с политикой под подпись.

4. Руководителям подразделений обеспечить допуск сотрудников к информационным системам только после ознакомления с политикой и не передавать учётные данные другим лицам.

5. Установить, что об инциденте информационной безопасности сотрудник сообщает ответственному за информационную безопасность в течение рабочего дня, в котором инцидент обнаружен. Ответственный фиксирует инцидент, устраняет причину и готовит докладную записку генеральному директору.

6. Контроль за исполнением настоящего приказа оставляю за собой.

Руководитель

Генеральный директор

____________ / А. В. Смирнов /

С приказом ознакомлены

Начальник отдела информационных технологий

____________ / С. А. Кузнецов /

Зачем нужен приказ об информационной безопасности

Приказ закрепляет в компании правила обращения с информацией: кто отвечает за защиту систем, какие данные считаются защищаемыми, кто получает к ним доступ и что делать при утечке или атаке. Без такого документа требования к сотрудникам ничем не подкреплены: каждый работает как привык, а спросить за утечку некого.

Закон об информации № 149-ФЗ относит защиту сведений к обязанности обладателя информации и оператора системы. Для персональных данных отдельно действует 152-ФЗ: оператор принимает правовые, организационные и технические меры, а приказ — как раз организационная мера, которая их закрепляет. Если компания работает с государственными информационными системами, требования к защите задаёт приказ ФСТЭК от 11.04.2025 № 117.

Что указать в приказе

Основание: закон или внутренняя необходимость, ради которой вводятся меры.
Ответственного за информационную безопасность: должность и фамилию с инициалами.
Перечень защищаемой информации и систем, к которым он относится.
Политику информационной безопасности и другие документы, которые утверждаются приказом.
Порядок допуска сотрудников к системам и правила работы с учётными данными.
Порядок сообщения об инцидентах и разбора их причин.
Сроки поручений и того, кто контролирует исполнение.
Подпись руководителя и отметки об ознакомлении ответственных.

Как издать приказ

Определите, что защищаете. Составьте перечень систем и данных: бухгалтерия, клиентская база, сайт, складская программа. От этого зависит набор мер.
Назначьте ответственного. Это руководитель ИТ-отдела или отдельный специалист по безопасности. У ответственного должны быть полномочия требовать исполнения, а не только обязанность.
Опишите меры. Доступ по учётным записям, пароли, резервные копии, ограничение съёмных носителей, порядок удалённой работы — то, что компания действительно вводит.
Утвердите приложения. Политика безопасности и перечень защищаемой информации идут приложениями к приказу, чтобы их можно было обновлять отдельно.
Ознакомьте сотрудников. Каждый, кто работает с защищаемыми данными, ставит подпись об ознакомлении. С этого момента правила обязательны.
Назначьте разбор инцидентов. Пропишите, кому и в какой срок сообщают об утечке или атаке и кто готовит докладную руководителю.

Частые ошибки

Ответственный назначен, но не назван перечень данных, за которые он отвечает, — тогда мера повисает в воздухе.
Приказ вводит политику, которой ещё нет: сначала документ утверждают, потом ссылаются на него.
Нет порядка сообщения об инцидентах — сотрудник не знает, куда идти, и утечку замалчивают.
Меры списаны из чужого шаблона и не соответствуют тому, как компания работает: часть требований невыполнима.
Сотрудников не ознакомили под подпись — при споре нельзя доказать, что правила до них довели.

Частые вопросы

Чем приказ об информационной безопасности отличается от политики информационной безопасности?

Политика — документ с правилами: что можно и что нельзя делать с данными, системы и меры защиты. Приказ её утверждает и вводит в действие, назначает ответственных и сроки. Политика часто идёт приложением к приказу.

Кто должен подписать приказ?

Руководитель компании или лицо, которому он передал такое право. Ответственного и сотрудников, которых приказ касается, знакомят с документом под подпись.

Обязателен ли такой приказ по закону?

Отдельной статьи, которая требует именно приказ, нет. Но 152-ФЗ обязывает оператора персональных данных принимать организационные меры защиты, а 149-ФЗ возлагает защиту информации на её обладателя. Приказ — рабочий способ эти обязанности закрепить и распределить.

Нужно ли обновлять приказ?

Да, при смене ответственного, появлении новых систем и данных, изменении порядка работы. Удобно выпускать новую редакцию приказа или отдельный приказ о внесении изменений, а политику обновлять как приложение.

Что делать при утечке?

Действовать по порядку из приказа: сообщить ответственному, зафиксировать инцидент, устранить причину. Если затронуты персональные данные, оператор уведомляет Роскомнадзор в сроки, установленные 152-ФЗ. Для государственных систем действует порядок информирования ФСБ об инцидентах по приказу ФСБ от 06.08.2026 № 297.

Когда правила есть, а соблюдать их некому

Чтобы защита данных работала без ручного контроля

Приказ вводит правила, но доступы, заявки и разбор инцидентов по-прежнему проходят через людей: кто-то забывает закрыть доступ уволенному, кто-то пересылает базу на личную почту.

Я собираю ИИ-агентов, которые берут на себя повторяющиеся задачи: проверяют заявки на доступ по регламенту, сверяют документы и приносят руководителю готовое решение на подпись.

Читать об услуге «ИИ-агенты под задачу компании»