Требования к защите персональных данных ужесточаются, а штрафы за нарушения растут. Разбираем, что бизнесу действительно нужно сделать по 152-ФЗ в 2026 году — без юридической воды, с практическим чек-листом.
Кого касается 152-ФЗ
Закон распространяется практически на любую компанию, которая обрабатывает персональные данные сотрудников, клиентов или контрагентов. Это значит — почти на всех. Вопрос не в том, нужно ли соответствовать, а в том, какой объём мер требуется именно вам.
Объём зависит от категорий обрабатываемых данных и уровня защищённости информационной системы персональных данных (ИСПДн). Чем чувствительнее данные (например, специальные категории в медицине), тем строже требования.
Базовый чек-лист
Определить, какие персональные данные и где обрабатываются; назначить ответственного за организацию обработки; разработать политику обработки и согласия; классифицировать ИСПДн и определить модель угроз; внедрить технические и организационные меры защиты; подготовить уведомление в Роскомнадзор.
Технические меры включают разграничение доступа, защиту от несанкционированного доступа, антивирусную защиту, при необходимости — криптозащиту каналов сертифицированными средствами.
Технические меры и ФСТЭК
Для значимых ИСПДн применяются требования приказов ФСТЭК: набор мер защиты зависит от класса системы. Часто требуются сертифицированные средства защиты информации и средства криптозащиты.
На практике мы начинаем с обследования и классификации, формируем модель угроз и подбираем минимально достаточный, но соответствующий требованиям набор мер — без избыточных затрат.
Как привести систему в соответствие без простоя
Приведение к 152-ФЗ не требует останавливать бизнес. Меры внедряются поэтапно: сначала организационная часть и документация, затем технические средства защиты в согласованные окна.
В проекте для сети медицинских клиник мы привели инфраструктуру в соответствие требованиям 152-ФЗ и ФСТЭК, защитив специальные категории персональных данных пациентов, без нарушения работы клиник.
С чего начать
Начните с аудита: он покажет, какие данные вы обрабатываете, где пробелы и какой объём мер реально нужен. Это убережёт и от штрафов, и от лишних трат на избыточные средства защиты.
Faskus проводит аудит, проектирует и внедряет защиту персональных данных и готовит документацию. Подробнее — на странице услуги «Информационная безопасность» и «IT-аудит».
Нужна консультация по highload или разработке ПО под вашу задачу?
Обсудить проект