Цель статьи – дать практические рекомендации организациям, которым предстоит пройти проверку в рамках Федерального закона № 248‑ФЗ «О порядке проведения проверок в сфере обеспечения информационной безопасности». В статье собран полный перечень документов, порядок их оформления и типичные ошибки, которых следует избегать.

Что такое 248‑ФЗ и зачем нужна подготовка?

248‑ФЗ регулирует порядок проведения проверок (внутренних и внешних) в организациях, работающих с информационными системами, содержащими персональные данные, критически важные инфраструктурные объекты и др. Проверка может быть инициирована:

• Федеральными органами исполнительной власти (ФСБ, Роскомнадзор, Минцифра и др.);
• Субъектом, получившим аккредитацию в качестве проверяющего органа;
• Самой организацией в рамках внутреннего аудита.

Неправильная подготовка документов часто приводит к продлению сроков проверки, наложению штрафов и репутационным рискам. Поэтому важно иметь готовый чек‑лист, который можно адаптировать под конкретную структуру.

Общие принципы подготовки

1. Актуальность – все документы должны быть актуальны на момент проверки (не старше 12 месяцев, если иное не предусмотрено регламентом).
2. Полнота – каждый пункт закона имеет соответствующий документ или запись в реестре.
3. Доступность – документы должны быть легко доступны в электронном виде (PDF, DOCX) и/или в бумажном виде в специально отведённом месте.
4. Контроль версии – у каждого документа должна быть подпись ответственного лица и дата последнего изменения.
5. Конфиденциальность – в зависимости от уровня секретности (ОТК, СТК, СТК‑2) обеспечить соответствующий уровень доступа.

Чек‑лист: перечень обязательных документов

Документы по управлению информационной безопасностью (ИБ)

Документы по персональным данным (ПД)

• Согласие субъекта ПД (образцы форм, реестр согласий).
• Реестр операторов и обработчиков ПД.
• Оценка воздействия на защиту персональных данных (DPIA).
• Политика минимизации и сроков хранения ПД.
• Отчет о выполнении требований ФЗ‑152 (если применимо).

Документы по критически важным объектам инфраструктуры (КВОИ)

1. Перечень КВОИ, включенных в реестр ФСБ.
2. Акт о проведении технической экспертизы систем защиты (СКЗИ).
3. План обеспечения непрерывности бизнес‑процессов (BCP) и восстановление после катастроф (DRP).
4. Протоколы тестирования уязвимостей и пентестов за последний год.

Документы по обучению персонала

• Программы обучения и повышения квалификации в сфере ИБ.
• Журналы посещения обучающих мероприятий (подписи сотрудников).
• Тесты и результаты оценки знаний (phishing‑тесты, контрольные вопросы).

Документы по управлению рисками

1. Методология оценки рисков (классификация, шкала вероятности/влияния).
2. Регистры рисков с указанием мер снижения и ответственных.
3. Отчеты о мониторинге эффективности мер (KPIs, SLA);

Как оформить документы для проверки

Формат и подпись

• Электронный вариант – PDF/A‑1b (долгосрочное хранение).
• Подпись – электронная подпись (ЭП) согласно ГОСТ Р 34.10‑2012 или сканированная подпись с указанием даты.
• Каждый документ должен содержать реквизиты: название, номер, дата, ответственный, версия.

Система хранения

Рекомендуется использовать корпоративный документ-менеджмент (DMS) с функциями:

1. Контроль доступа (RBAC).
2. История изменений и журнал аудита.
3. Автоматическое уведомление ответственных о приближении сроков актуализации.

Пакетирование для проверяющих

Для удобства проверяющих подготовьте один «корневой» архив (ZIP, 7z) со следующей структурой:

/Документы_ИБ/
 Политика_ИБ.pdf
 Регламент_доступа.pdf
 План_реагирования_на_инциденты.pdf
/Персональные_данные/
 Согласия_ПД/
 consent_2024_01.pdf
 DPIA_2025.pdf
/КВОИ/
 Реестр_КВОИ.pdf
 Тест_уязвимостей_2025.pdf
/Обучение/
 План_обучения_2025.pdf
 Журнал_обучения.xlsx
/Риски/
 Регистры_рисков_2025.xlsx
 Оценка_эффективности_2025.pdf

В корневом каталоге разместите файл README.txt с кратким описанием структуры и контактами ответственных лиц.

Типичные ошибки и как их избежать

• Отсутствие актуальных подписей. Решение: внедрить процесс обязательного подписания в DMS с напоминаниями.
• Не полные реестры доступа. Решение: проводить ежемесячный экспорт из AD/LDAP и сверять с регламентом.
• Отсутствие доказательств обучения персонала. Решение: хранить сканы сертификатов и электронные журналы.
• Старые версии политик (старше 12 мес.). Решение: назначить ответственного за ежегодный пересмотр и утверждение.
• Недостаточная классификация данных. Решение: внедрить метаданные в DMS, проводить классификацию при каждом вводе новых данных.

Пошаговый план подготовки к проверке

1. Назначить координатора проверки. Это может быть главный специалист по ИБ или юридический отдел.
2. Сформировать рабочую группу. Включить представителей ИТ, безопасности, HR, юридического отдела и руководителей бизнес‑подразделений.
3. Провести предварительный аудит. Сравнить текущие документы с чек‑листом (см. раздел 3).
4. Обновить недостающие/устаревшие документы. Утвердить их в соответствии с внутренними процедурами.
5. Собрать и упаковать документы. Следовать структуре из раздела 4.3.
6. Провести репетицию. Пригласить внутреннего аудитора для «пробного» осмотра.
7. Оповестить всех сотрудников. О том, что будет проверка, какие документы могут быть запрошены, и как действовать.
8. Передать пакет проверяющим. Указать контактные данные ответственного за каждую группу документов.
9. Сопровождать проверку. Быстро отвечать на запросы, предоставлять дополнительные пояснения.
10. Подготовить пост‑проверочный отчёт. Сформировать план корректирующих действий (CAPA) по выявленным замечаниям.

Полезные инструменты и шаблоны

• Microsoft SharePoint / Google Workspace – для совместного доступа и контроля версий.
• Confluence – для документирования политик и процедур.
• GRC‑платформы (RSA Archer, ServiceNow GRC) – для управления рисками и аудиторскими запросами;
• Шаблоны от Роскомнадзора – официальные формы согласий, реестров и др.
• OpenSCAP, Nessus, Qualys – инструменты автоматического сканирования уязвимостей, результаты которых могут быть приложены к проверке.

Подготовка документов к проверке по 248‑ФЗ – это не разовая акция, а часть постоянного процесса управления информационной безопасностью. Системный подход, автоматизация документооборота и регулярный внутренний аудит позволяют не только успешно пройти проверку, но и значительно повысить уровень защиты организации.

Помните: главное – актуальность, полнота и доступность всех документов. Следуя предложенному чек‑листу и рекомендациям, вы сведёте к минимуму риски штрафов и репутационных потерь.

Дата публикации: 2 августа 2026 г.