УЗ-2 — второй уровень защищённости персональных данных. Для учреждений и организаций, которые вносят сведения в ГИС «Профилактика», это практически стандартный сценарий: в системе обрабатываются персональные данные несовершеннолетних, а значит, рабочие места и серверы должны иметь подтверждённую защищённость. «Установка УЗ-2» на практике — это не один документ, а цепочка мероприятий со своими сроками: классификация, модель угроз, средства защиты, аттестация. Разберём каждый срок и посчитаем, что будет, если его пропустить.
УЗ-2: что это за уровень и откуда он берётся
Уровни защищённости вводит постановление Правительства РФ № 1119: их четыре, от УЗ-1 (наиболее строгий) до УЗ-4. Какой уровень нужен конкретной системе — зависит от категории обрабатываемых персональных данных и их количества. Системы, в которых работают поставщики информации ГИС «Профилактика» (а это 22 группы из п. 15 Положения — от школ и КДН до органов опеки и медицинских организаций), как правило, классифицируются как ИСПДн с необходимостью 2-го уровня защищённости — отсюда и разговоры про «УЗ-2 для Профилактики».
Важно понимать: сам по себе уровень — это целевое состояние, а не бумажка. Требования к составу мер задают приказы ФСТЭК России, а подтверждается достижение уровня аттестацией, которую проводит лицензиат ФСТЭК.
Три срока, которые задают весь план
Срок 1 — модель угроз. Модель угроз безопасности персональных данных актуализируется не реже одного раза в 12 месяцев. Если документ не обновлялся больше года — это первое, что заметит проверяющий, и первое, что придётся переделывать перед аттестацией.
Срок 2 — аттестация. Реалистичный срок полного цикла — от 1,5 до 3 месяцев: классификация, модель угроз, внедрение средств защиты, организационная документация и сами испытания. Аттестацию выполняет лицензиат ФСТЭК России — «своими силами» уровень не подтверждается.
Срок 3 — регламент ГИС «Профилактика». Он аттестацию не ждёт: запрос о подключении оператор обязан исполнить не позднее 30 календарных дней (п. 49 Положения, ПП № 411), сведения вносятся в течение 5 рабочих дней со дня получения (п. 13), а некорректный запрос возвращается за 3 рабочих дня с 3 днями на исправление (п. 45) — минус минимум 6 рабочих дней. Начинать подготовку УЗ-2 нужно до подачи запроса или строго параллельно.
Таблица: срок — мероприятие — основание
| Срок | Мероприятие | Основание |
|---|---|---|
| 1 раз в 12 месяцев | Актуализация модели угроз | Требования к модели угроз (ФСТЭК) |
| от 1,5 до 3 месяцев | Полный цикл аттестации | Практика лицензиатов ФСТЭК |
| 30 календарных дней | Подключение к ГИС «Профилактика» | п. 49 Положения (ПП № 411) |
| 5 рабочих дней | Внесение полученных сведений | п. 13 Положения |
| 3 + 3 рабочих дня | Возврат и исправление запроса | п. 45 Положения |
| 3 + 5 рабочих дней | Уведомление и перерегистрация при кадровых изменениях | пп. 50–51 Положения |
Приказы ФСТЭК № 21 и № 117: что меняется с 1 марта 2026
Состав мер для ИСПДн определяет приказ ФСТЭК России № 21 — по нему и готовится защита рабочих мест поставщика информации. Для государственных информационных систем с 1 марта 2026 года действует приказ № 117, заменивший прежний приказ № 17. Если у организации, помимо ИСПДн, есть аттестованная ГИС, состав мер в ней придётся сверить с новой базой: то, что принималось по № 17, теперь проверяется по № 117. Для ИСПДн участников ГИС «Профилактика» рабочая база — по-прежнему приказ № 21.
Ответственность: ст. 13.11 и 5.35 КоАП РФ
Основной риск оператора персональных данных — статья 13.11 КоАП РФ. Обработка с нарушением обязательных требований при утечке стоит юрлицу до 15 млн ₽ (ч. 13–15: 5–10 млн ₽ при 10–100 тыс. субъектов, 10–15 млн ₽ свыше 100 тыс.), а повторная утечка — оборотный штраф 1–3% годовой выручки, минимум 20 млн ₽ (ч. 16). Обезличенные формулировки «штраф до 15–20 млн ₽» в этом смысле не преувеличение, а нижняя и верхняя границы действующей вилки.
Второй слой — надзор именно за системой профилактики: по ст. 5.35 КоАП РФ (неисполнение обязанностей по воспитанию несовершеннолетних) санкции скромные — от 500 до 5 000 ₽, но проверки идут регулярнее, а по итогам прокурорских проверок организаций профилактики уже вносились массовые представления: только прокуратура Курской области — 123 представления. Отдельной статьи за просрочку сведений в ГИС «Профилактика» нет — неполнота видна оператору через сводный отчёт (п. 60 Положения), а доступ могут заблокировать (пп. 52–54).
Как успеть без аврала
- Неделя 1–2: аудит. Сверяем классификацию, срок модели угроз, состав мер по приказу № 21 и реальное состояние СЗИ.
- Месяц 1: документы и модель угроз. Модель угроз утверждается первой — на неё опирается всё остальное.
- Месяцы 1–2: внедрение. Средства защиты, организационная документация, настройка рабочих мест с УКЭП (п. 22 Положения требует действующую усиленную квалифицированную подпись для каждого пользователя).
- Месяцы 2–3: аттестация. Лицензиат ФСТЭК проводит испытания, оформляется аттестат.
- Параллельно: подключение к системе. Запрос за подписью руководителя и списки уполномоченных лиц — строго по пп. 41 и 43, чтобы не попасть в возврат по п. 45.
Смежные материалы: все сроки работы с системой — в таблице «Сроки ГИС «Профилактика» 2026», пошаговый порядок аттестации — в статье «Аттестация ИСПДн: сроки, этапы и ответственность».
Оставьте заявку — перезвоним за 15 минут
или позвоните: +7 4852 60-91-96 · mail@new-sst.ru