Приказ ФСТЭК №117 с 1 марта 2026 года: что обязаны сделать организации и кого обучать

Для организаций, обрабатывающих ПДн в ИСПДн (информационных системах персональных данных), это — не просто рекомендация, а обязательное условие для легальной эксплуатации систем.

Требования распространяются на все организации, независимо от формы собственности и численности, если они:

• обрабатывают персональные данные в ИСПДн (включая CRM, HR-системы, платёжные сервисы, порталы клиентов);
• используют ИСПДн 1–3 уровней защищённости (по классификации ФСТЭК).

Это означает: даже небольшая компания с базой клиентов в Excel на сервере — подпадает под действие приказа.

К 1 марта 2026 года каждая организация обязана выполнить пять ключевых действий:

1. Провести классификацию ИСПДн — определить уровень защищённости (1, 2 или 3) на основе типа данных, объёма и рисков.
2. Разработать и утвердить документы:

• Положение о защите ПДн;
• Инструкции по эксплуатации ИСПДн;
• Перечень мер по защите (в соответствии с Приложением 2 к приказу).

1. Внедрить технические и организационные меры — шифрование, контроль доступа, аудит, антивирусы, резервное копирование, защита от утечек.
2. Провести аудит соответствия — внутренняя или внешняя проверка на соответствие требованиям приказа.
3. Зарегистрировать ИСПДн в реестре ФСТЭК — если уровень защищённости 2 или 3.

В связи с этим обучение по приказу №117 обязаны проходить все сотрудники, имеющие доступ к ИСПДн:

• IT-специалисты (администраторы, разработчики);
• HR-менеджеры, работающие с базами сотрудников;
• менеджеры по работе с клиентами;
• сотрудники службы поддержки;
• руководители, утверждающие политики защиты.

Обучение проводится: при приёме на работу — до выдачи доступа и ежегодно, как минимум один раз в год.

Обучение должно включать такие пункты:

1. Основы приказа №117 и его отличия от 152-ФЗ.
2. Понимание уровней защищённости ИСПДн.
3. правила работы с системами (логины, пароли, шифрование, запрет на перенос данных).
4. Действия при инциденте (утечка, взлом, потеря устройства).
5. Ответственность за нарушения (штрафы до 200 000 руб. для юрлица, до 50 000 руб. для должностного лица).

Обязательно должно быть проведено тестирование, так как простое ознакомление не считается выполнением требования.

При отсутствии подтверждающих документов о том, что сотрудники организации прошли обучение, предусмотрены такие меры наказания:

1. Штрафы от Роскомнадзора и ФСТЭК — до 200 000 рублей за отсутствие защиты ИСПДн.
2. Приостановление работы ИСПДн до устранения нарушений.
3. Потеря репутации — клиенты и партнёры могут отказаться от сотрудничества.
4. Запрет на обработку ПДн — если система не соответствует требованиям.

Лучший способ организовать обучение сотрудников – интегрировать обучение по приказу №117 в корпоративную систему e-learning (например iSpring Learn), которая значительно облегчит организацию обучения, позволяет хранить протоколы и иную документацию и в любое время предъявить их для проверки контролирующих органов.

Приказ ФСТЭК №117 — это не «бумажная формальность», а технический стандарт безопасности. В 2026 году организации, которые системно подходят к защите ИСПДн, избегают штрафов, сохраняют доверие клиентов и уверенно работают с персональными данными.

Хотите подготовить свою организацию к требованиям приказа №117? Мы поможем создать обучающий курс, настроить автоматические напоминания и сформировать отчётность для проверок.