Статья 18.1 152‑ФЗ о персональных данных закрепляет базовые требования к безопасности персональных данных (ПДн) при их обработке в информационных системах персональных данных (ИСПДн). Эта норма определяет, что, кем и на каком уровне должно быть защищено, а также отсылает к подзаконным актам Правительства РФ, ФСТЭК и ФСБ. В связке со статьями 18 и 19 она формирует каркас практической защиты ПДн.
![Схема цикла обеспечения безопасности ПДн: инвентаризация → модель угроз → уровень защищенности → меры → контроль]
Ст. 18.1 ФЗ 152 о персональных данных устанавливает рамочные требования к безопасности ПДн при их обработке в ИСПДн: защита от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления и распространения. Норма обязывает оператора обеспечивать безопасность с учетом требований, установленных Правительством РФ и уполномоченными органами (ФСТЭК России и ФСБ России).
Ключевые акценты статьи:
Полный контекст закона — в последней редакции 152‑ФЗ и его структуре по статьям.
Статья 18.1 распространяется на всех операторов ПДн, которые обрабатывают данные в ИСПДн — от корпоративных ИТ‑систем до веб‑сайтов и мобильных приложений. Определения и базовые требования к ИСПДн — здесь: ИСПДн: определение и требования.
Если вы:
— требования ст. 18.1 закона 152‑ФЗ действуют для вас. Не забудьте об общих обязанностях оператора и роли ответственного за ПДн: обязанности оператора, ответственный за обработку ПДн.
Таким образом, 18.1 и 19 ФЗ 152 работают в связке: первая задает «где и что защищать», вторая — «какие именно меры применять».
Статья 18.1 ориентирует оператора на соблюдение требований к защите, устанавливаемых Правительством РФ. На практике используется модель уровней защищенности ИСПДн (1–4), выбор которых зависит от категории ПДн, количества субъектов и актуальных угроз. Подробно — в материале Уровни защищенности ИСПДн и Модель угроз ИСПДн.
| Уровень | Когда применяется (упрощенно) | Примеры акцентов |
|---|---|---|
| 1 (высокий) | Угрозы от организованных злоумышленников, крупные объемы, чувствительные данные | Жесткая сегментация, сертифицированные СЗИ, криптография, журналирование, SOC/мониторинг |
| 2 | Существенные риски НСД и утечек, персонал с расширенными правами | Межсетевые экраны, DLP, контроль привилегий, двухфакторная аутентификация |
| 3 | Типовая коммерческая ИСПДн (клиентские данные, заявки) | Регламенты доступа, защита периметра, резервное копирование, обучение персонала |
| 4 (базовый) | Ограниченные объемы, низкая критичность | Минимально необходимые меры: пароли, антивирус, обновления, логирование |
Важно: конкретный уровень определяется результатами категорирования и моделирования угроз для вашей ИСПДн.
Хотя ст. 18.1 формулирует рамочные требования, их реализация опирается на меры из ст. 19. На практике это означает:
Статья 18.1 указывает на необходимость соблюдения требований уполномоченных органов. Важные ориентиры:
Полезные материалы: требования ФСТЭК и ФСБ, криптография и шифрование.
Для выполнения ст. 18.1 и корреспондирующих норм потребуются актуальные документы:
Готовые пакеты помогут ускорить внедрение: пакет документов 152‑ФЗ.
Проверьте себя по кратким материалам: чек‑лист и подготовка к проверке.
Роскомнадзор контролирует соблюдение требований 152‑ФЗ. При утечке или инциденте задействуйте план реагирования и уведомите регулятора, если это требуется: инциденты и утечки ПДн, уведомление Роскомнадзора. Ответственность — административная и, в отдельных случаях, уголовная: Ответственность и штрафы, КоАП 13.11, проверки Роскомнадзора, судебная практика.
Для интернет‑ресурсов соблюдение ст. 18.1 включает и прикладные требования:
См. общий гид: требования к сайту и быстрый скрининг: онлайн‑проверка сайта.
Закон о персональных данных эволюционирует: уточняются требования к уведомлениям, расширяются полномочия регулятора, обновляются методики оценки угроз и уровней защищенности. Актуальные изменения собраны здесь: изменения 2025 и в обзоре смежных законов об информации и критической инфраструктуре: 149/187/63/98.
Следите за практикой: судебные решения по 152‑ФЗ часто подсказывают, как трактуются «достаточность» мер и «надлежащая» защита ПДн.
Статья 18.1 152‑ФЗ о персональных данных задает рамку безопасности в ИСПДн, требуя выбрать уровень защищенности, построить модель угроз и реализовать организационно‑технические меры. Конкретика мер раскрывается в ст. 19 и подзаконных актах. Практический подход — инвентаризировать ИСПДн, определить уровень, спланировать меры, внедрить СЗИ, обучить персонал и регулярно контролировать соответствие.
Нужна помощь с анализом уровня, документами и внедрением? Обратитесь к нашим решениям: консалтинг и документы под ключ, аудит соответствия, обучение и курсы, генераторы и шаблоны: пакет документов и онлайн‑проверка сайта. Мы поможем внедрить требования ст. 18.1 ФЗ 152 быстро и без лишних рисков.