Документы по информационной безопасности для энергетической компании в Севастополе

Территориальная сетевая организация в Севастополе внедряет телемеханику и дистанционное управление подстанциями. Юрист получает запрос от ИТ-подразделения: «Нам нужны документы по ИБ, иначе не пройдём проверку». Руководитель спрашивает: «Мы обязаны всё это делать? И кто нам это подготовит без миллионных затрат?». Знакомая ситуация — энергетика и ТЭК относятся к сферам критической информационной инфраструктуры, поэтому набор требований шире, чем у обычной коммерческой компании.

Из этой статьи вы узнаете, какие документы по информационной безопасности действительно обязательны для энергетической компании и предприятия ТЭК, какие нормы их требуют, кто будет проверять, и как получить комплект без лишних расходов. Отдельно разберём пример территориальной сетевой организации и покажем, где проходит граница между документами, которые мы готовим «под ключ», и работами, которые выполняет только лицензиат ФСТЭК.

Какие документы по ИБ обязательны: энергетическая компания или предприятие ТЭК

Энергетика и топливно-энергетический комплекс прямо названы в пункте 8 статьи 2 Федерального закона № 187-ФЗ как сферы критической информационной инфраструктуры. Это значит, что автоматизированные системы управления технологическими процессами (АСУ ТП), системы диспетчерского управления, телемеханика и учёт электроэнергии могут быть отнесены к объектам КИИ. При этом обязательность документов зависит от статуса объекта: присвоена ли категория значимости или нет.

Для объектов, которым категория не присвоена, применяются требования по защите персональных данных (152-ФЗ) — они обязательны для любой организации, обрабатывающей ПДн работников и потребителей. Для значимых объектов КИИ дополнительно действуют приказы ФСТЭК № 235 и № 239, приказ ФСБ № 547, а с 01.03.2027 — изменения по Кзи и Узи. Приказ Минэнерго России от 26.12.2023 № 1215 устанавливает дополнительные требования к безопасности значимых объектов электроэнергетики при дистанционном управлении.

Состав комплекта для вашей организации

Ниже — типовой состав документов для энергетической компании, работающей с персональными данными и имеющей системы, потенциально относящиеся к КИИ. Мы сознательно разделили документы на два контура: правовой (под ключ готовит МелданаСБ) и технический/ОРД по КИИ (выполняет партнёр-лицензиат ФСТЭК или специалисты заказчика под методическим сопровождением).

Важно: ОРД по значимым объектам КИИ и технические документы (модель угроз, оценка эффективности для ИСПДн) не входят в правовой пакет, который мы готовим под ключ. Для них мы предлагаем методическое сопровождение — шаблоны, указания, консультации, проверку. Сами документы разрабатывает и утверждает специалист заказчика либо привлекается партнёр-лицензиат ФСТЭК, если это необходимо по Указу № 250.

Кто проверяет и что смотрят

Контроль за документами и выполнением требований распределён между несколькими ведомствами. Для энергетической компании в Севастополе наиболее вероятны проверки со стороны Роскомнадзора (персональные данные) и ФСТЭК России (критическая информационная инфраструктура), а также отраслевой надзор Минэнерго или Ростехнадзора, если объект поднадзорен им. Если компания оказывает платёжные услуги, вопросы могут быть у Банка России.

• Роскомнадзор: запрашивает политику обработки ПДн, локальные акты, приказ об ответственном, документы об ознакомлении работников, сведения об уведомлении, акты уничтожения.
• ФСТЭК: для значимых объектов КИИ — наличие ОРД, плана мероприятий, отчётов, актов внутреннего контроля, соблюдение приказов 235/239/547; с 01.03.2027 — расчёты Кзи и Узи.
• Минэнерго/Ростехнадзор: отраслевые требования к безопасности, включая выполнение приказа № 1215 о дистанционном управлении.
• Банк России: если компания подпадает под финансовый рынок, проверяет выполнение положений 851-П, 821-П и ГОСТ Р 57580.

Типовые вопросы на проверке:

• «Покажите политику обработки персональных данных и подтверждение её публикации на сайте».
• «Кто назначен ответственным за организацию обработки ПДн? Где приказ?»
• «Есть ли акт категорирования объектов КИИ? Направляли ли сведения во ФСТЭК?»
• «Для значимого объекта: где ОРД, ежегодный план мероприятий и отчёт?»
• «Как организовано дистанционное управление подстанциями? Есть ли регламент и журналы доступа?»
• «Уничтожаются ли персональные данные по достижении целей? Предъявите акты уничтожения».

Как мы готовим комплект

Для энергетических компаний мы работаем в две параллельные линии: правовой контур по ПДн и коммерческой тайне (под ключ) и организационная подготовка к выполнению требований КИИ (с партнёром-лицензиатом). Процесс выглядит так:

Особенности, о которых забывают

• ✓ КИИ — это не только генерация. Даже сетевая организация с парой подстанций может попасть в перечень типовых объектов (распоряжение № 360-р), если системы телемеханики или учёта соответствуют типам. Проверьте, не требуется ли категорирование.
• ✓ Дистанционное управление. Приказ Минэнерго № 1215 действует с 2024 года для значимых объектов электроэнергетики. Если вы только внедряете телемеханику, сразу проектируйте регламент удалённого доступа в составе ОРД.
• ✓ ПДн потребителей. Энергосбытовые компании обрабатывают паспортные данные, адреса, показания счётчиков. Это требует отдельных согласий и политики, размещённой на сайте. Штраф за отсутствие политики — 30–60 тыс. ₽, а за утечку может доходить до миллионов.
• ✓ Подрядчики и доступ к системам. Если к вашим АСУ ТП или биллингу имеют доступ сторонние организации, нужно поручение на обработку ПДн и условия о соблюдении ваших регламентов в договорах. Для значимых объектов — дополнительно оценка уровня зрелости подрядчика (с 01.03.2027).
• ✓ Бумажные журналы. Неавтоматизированная обработка ПДн (например, в абонентских отделах) требует мест хранения, перечня лиц с доступом и типовых форм. Это часто упускают из виду.

Разбор на примере: территориальная сетевая организация

Как работали:

• 1. Заполнили опросный лист, указали системы телемеханики, объём обрабатываемых ПДн, наличие бумажных журналов.
• 2. Провели разбор: выяснили, что системы диспетчерского управления подпадают под типовые объекты КИИ из распоряжения 360-р.
• 3. Подключили партнёра-лицензиата для категорирования и подготовки ОРД; наша команда параллельно готовила правовой пакет ПДн.
• 4. Партнёр разработал ОРД, мы проверили юридическую чистоту и связку с политикой ПДн.
• 5. Руководитель утвердил все документы, работники ознакомлены под роспись, в РКН подано уведомление.

Что будет без документов

Ответственность наступает не за сам факт «нет папки с бумагами», а за нарушение конкретных требований. Разберём основные составы.

• ПДн (ст. 13.11 КоАП): неопубликованная политика — юрлица 30–60 тыс. ₽; обработка без законных оснований — 150–300 тыс. ₽; согласие оформлено не отдельно — до 700 тыс. ₽; утечка персональных данных — от 1 млн до 20 млн ₽ (оборотный штраф до 500 млн ₽).
• КИИ (ст. 13.12.1 КоАП): нарушение требований к значимым объектам — юрлица 50–100 тыс. ₽; нарушение порядка информирования об инцидентах — 100–500 тыс. ₽.
• Непредставление сведений во ФСТЭК (ст. 19.7.15 КоАП): штраф для юрлиц 50–100 тыс. ₽.
• Отсутствие лицензии при выполнении работ по ТЗКИ (ст. 13.13 КоАП): если компания привлекла нелицензиата для защиты КИИ или ИСПДн, возможен штраф 10–20 тыс. ₽ с конфискацией.
• Трудовые споры: без листа ознакомления с режимом коммерческой тайны не получится уволить работника за разглашение по п. 6 «в» ст. 81 ТК РФ.

Прямого штрафа «за отсутствие комплекта ОРД» в КоАП нет, но на практике отсутствие документов квалифицируется как невыполнение мер по защите, что влечёт предписания и штрафы. А при утечке ПДн отсутствие документов об оценке вреда и регламентов реагирования усугубляет положение.

Чем поможем и сколько это стоит

Мы готовим для энергетических компаний правовой пакет по персональным данным и режим коммерческой тайны под ключ. Техническую часть по КИИ выполняет партнёр-лицензиат, а мы координируем процесс и проверяем стыки документов.

• Политика обработки ПДн (для сайта и внутренняя), положение об обработке ПДн, положение о ПДн работников
• Приказ об ответственном за организацию обработки ПДн
• Формы согласий отдельными документами (работники, абоненты, контрагенты)
• Поручения на обработку ПДн подрядчикам
• Регламент ответов на запросы субъектов и порядок уничтожения
• Подготовка уведомления в РКН
• Режим коммерческой тайны: положение, перечень сведений, приказ, обязательства, гриф, журналы
• Регламент удалённого доступа (правовая часть) — рекомендательный, в составе пакета

Цена ниже рынка за счёт отработанных типовых решений и дистанционного формата. Документы готовит специалист, который адаптирует их под ваши процессы, а не отдаёт пустой шаблон. Вы получаете тот же правовой результат, что при заказе у крупного консультанта, но без оплаты офисных расходов и длинных цепочек согласования.

Частые вопросы

Для получения детальной консультации заполните опросный лист по ссылке на странице опросных листов. Также полезно изучить нормативную базу и страницу услуги по документам по персональным данным. Задать вопрос можно через контакты.