Требования к антитеррористической защищённости объектов (территорий) — АТЗ — устанавливаются отраслевыми постановлениями Правительства Российской Федерации: для объектов спорта, здравоохранения, образования, культуры, гостиниц, мест отдыха и оздоровления детей, религиозных организаций и других. У этих постановлений разные формы паспорта и разные пороги категорирования, но почти в каждом есть общий блок — обеспечение информационной безопасности. Он состоит из двух самостоятельных требований: защитить служебную информацию ограниченного распространения, которая содержится в паспорте безопасности, и обеспечить информационную безопасность организации в целом. Ниже разбираем оба, а также сам режим «Для служебного пользования» и его соотношение с коммерческой тайной. Эта статья посвящена именно информационной безопасности в антитеррористической защищённости; подготовке самого паспорта безопасности целиком посвящён специализированный ресурс atz-pro.ru — он закрывает многие вопросы разработки паспортов, в том числе требования по информационной безопасности.
Паспорт безопасности — служебная информация ограниченного распространения
Паспорт безопасности объекта (территории) — это информационно-справочный документ, который отражает состояние антитеррористической защищённости объекта и содержит перечень мероприятий по предупреждению и пресечению террористических актов. Паспорт разрабатывается по форме соответствующего отраслевого постановления, согласовывается с уполномоченными органами (их состав определяется конкретным постановлением — как правило, это территориальные органы безопасности, Росгвардии и МЧС) и утверждается уполномоченным лицом или органом.
По содержанию паспорт относится к служебной информации ограниченного распространения. Если сведения в нём не составляют государственную тайну (гриф секретности не присваивается), паспорт оформляется с пометкой «Для служебного пользования» (ДСП). На каждом экземпляре проставляется номер экземпляра — ведётся поэкземплярный учёт, поскольку тираж и обращение таких документов ограничены. Именно поэтому защита паспорта — это отдельная задача информационной безопасности: объект защиты здесь не территория, а сведения.
Требование первое: защита служебной информации паспорта
Отраслевые постановления прямо требуют обеспечить защиту служебной информации ограниченного распространения, содержащейся в паспорте и других документах по антитеррористической защищённости. Дословно эти пункты называются по-разному и различаются по объёму, но, как правило, включают следующие меры:
- установить порядок работы со служебной информацией ограниченного распространения;
- ограничить доступ должностных лиц и работников к этой информации;
- определить обязанности лиц, допущенных к информации, в том числе назначить ответственных за хранение паспорта и других документов;
- при наличии такого требования в отраслевом постановлении — не допускать утечку сведений, в том числе по техническим каналам.
Соответствующие пункты есть в большинстве отраслевых постановлений: по объектам Минздрава (ПП №8 от 13.01.2017) — пункт 16 «д»; по объектам Минпросвещения (ПП №1006 от 02.08.2019) — пункт 22; по объектам Минобрнауки (ПП №1421 от 07.11.2019) — пункт 26; по религиозным организациям (ПП №1165 от 05.09.2019) — пункт 31 «д». В постановлении по объектам спорта (ПП №202 от 06.03.2015) близкие требования содержит пункт 13. Точную формулировку и номер пункта следует смотреть в действующей редакции конкретного постановления — они различаются, но суть одна: режим обращения со сведениями ограниченного распространения.
Как понимать режим «Для служебного пользования» в организации
Служебная информация ограниченного распространения — это несекретная информация, ограничение на распространение которой диктуется служебной необходимостью, либо поступившая в организацию несекретная информация, доступ к которой ограничен федеральными законами. Порядок обращения с ней установлен Положением, утверждённым постановлением Правительства Российской Федерации от 3 ноября 1994 года №1233. Обязательно оно для федеральных органов исполнительной власти и подведомственных им организаций. Остальным, в том числе частным, муниципальным и религиозным организациям, с 13 марта 2026 года руководствоваться Положением рекомендует пункт 3 постановления. Кроме того, требования по антитеррористической защищённости обязывают установить порядок работы со служебной информацией ограниченного распространения, ограничить доступ и определить ответственных — поэтому на практике организация оформляет такой порядок своим локальным актом, часто по модели №1233.
Режим «Для служебного пользования» — это не пометка на бумаге, а порядок работы с документом. Чтобы он действительно существовал, в организации, как правило, нужны:
- Положение (инструкция) о порядке обращения со служебной информацией ограниченного распространения — локальный акт, определяющий правила учёта, хранения, размножения, передачи и уничтожения таких документов;
- перечень сведений (документов) ограниченного распространения — в первую очередь паспорт безопасности и приложения к нему (планы, схемы, расчёты, ситуационные данные);
- приказ о назначении ответственного за учёт, хранение и выдачу паспорта;
- перечень (список) лиц, допущенных к служебной информации ограниченного распространения, и их обязательства о неразглашении;
- журнал поэкземплярного учёта и порядок хранения (сейф или опечатываемое помещение), размножения (только с письменного разрешения руководителя) и уничтожения экземпляров.
Сам документ при этом несёт пометку «Для служебного пользования» и номер экземпляра. Отдельно отметим: для органов и организаций, на которые распространяется Положение №1233, с 13 марта 2026 года пункт 2.3 Положения (в редакции постановления Правительства Российской Федерации от 04.03.2026 № 226) требует создавать, обрабатывать, хранить и передавать другим организациям электронные документы со служебной информацией ограниченного распространения в системах электронного документооборота или иных программных решениях, которые отвечают требованиям информационной безопасности и защиты информации, — то есть перевод таких документов в электронный вид не отменяет, а усиливает требования к защите.
Чем режим ДСП отличается от коммерческой тайны
Организации часто путают режим «Для служебного пользования» с коммерческой тайной, потому что внешне меры похожи — ограничение доступа, перечень, ответственный, учёт. Это разные правовые режимы, и смешивать их нельзя.
| Признак | Служебная информация ограниченного распространения (ДСП) | Коммерческая тайна (98-ФЗ) |
|---|---|---|
| Правовая основа | Положение №1233 (для федеральных органов) плюс требования постановлений по АТЗ | Федеральный закон №98-ФЗ «О коммерческой тайне» |
| Что защищает | несекретные сведения, ограниченные по служебной необходимости (в АТЗ — паспорт и документы по защищённости) | сведения, имеющие коммерческую ценность в силу неизвестности третьим лицам |
| Кто вводит режим | требование нормативного акта; порядок устанавливает организация | обладатель информации — своим решением |
| Обозначение на документе | пометка «Для служебного пользования» и номер экземпляра | гриф «Коммерческая тайна» с полным наименованием и местом нахождения обладателя |
| Основные меры | порядок обращения, ограничение доступа, учёт, ответственный, хранение | перечень сведений, ограничение доступа, учёт допущенных лиц, договоры и обязательства, нанесение грифа (статья 10 98-ФЗ) |
Практический вывод: одни и те же сведения обычно не относят одновременно и к ДСП, и к коммерческой тайне — паспорт безопасности защищается как служебная информация ограниченного распространения, а не как коммерческая тайна. Но организационная механика у режимов близка, поэтому если в организации уже введён режим коммерческой тайны (положение, ответственный, реестр допущенных, порядок хранения), эту методологию и часть инфраструктуры можно переиспользовать — назначить того же ответственного, вести аналогичные журналы. Документы, пометка и перечень для паспорта при этом оформляются отдельно. Подробнее о разграничении конфиденциальной информации — в статьях о конфиденциальности, целостности и доступности и о том, как предотвратить утечку персональных данных и коммерческой тайны.
Требование второе: информационная безопасность организации
Второй пункт блока информационной безопасности в постановлениях по АТЗ — обеспечить информационную безопасность и исключить несанкционированный доступ к информационным ресурсам организации. Например: ПП №8 — пункт 16 «г»; ПП №732 (отдых и оздоровление детей) — пункт 19 «г»; ПП №1006 — пункт 18 «е»; ПП №1421 — пункт 22 «е». В отличие от защиты паспорта, здесь объект — информационные системы и ресурсы организации в целом.
Само постановление по АТЗ формулирует это требование одной строкой и не устанавливает конкретных мер защиты — они берутся из профильного законодательства о защите информации. Поэтому для большинства организаций этот пункт во многом закрывается тем, что уже сделано по защите персональных данных и других информационных систем:
- приказ об организации защиты информации и назначении ответственного;
- разграничение доступа к информационным системам и учёт пользователей;
- модель угроз и организационно-технические меры защиты;
- для операторов персональных данных — меры по 152-ФЗ и приказам ФСТЭКФедеральная служба по техническому и экспортному контролю — Регулятор технической защиты информации (ИСПДн, ГИС, КИИ); ведёт реестр сертифицированных СЗИ.; для значимых объектов критической информационной инфраструктуры — меры по 187-ФЗ.
Иными словами, требование АТЗ не создаёт отдельную систему защиты информации, а опирается на общую. Если она у организации выстроена, пункт об информационной безопасности в паспорте подтверждается ссылкой на действующие документы; если нет — это повод её выстроить. Ориентиры по составу документов — в статье о документах по защите информации.
Что сделать организации
- ввести режим служебной информации ограниченного распространения: положение (инструкция) о порядке обращения, перечень документов ограниченного распространения (паспорт и приложения);
- назначить приказом ответственного за учёт, хранение и выдачу паспорта; вести поэкземплярный учёт;
- ограничить и оформить доступ: список допущенных лиц, обязательства о неразглашении, хранение в сейфе или опечатываемом помещении;
- наносить на паспорт пометку «Для служебного пользования» и номер экземпляра; размножать только с письменного разрешения руководителя;
- закрыть пункт об информационной безопасности организации действующими мерами защиты информации (защита персональных данных, при наличии — ГИСГосударственная информационная система — С 01.09.2026 — система, созданная на основании федерального закона, акта Президента или Правительства РФ (федеральная) либо закона, акта высшего должностного лица или органа власти субъекта РФ (региональная), ст. 13 Федерального закона от 27.07.2006 № 149-ФЗ. Меры защиты — по приказу ФСТЭК России от 11.04.2025 № 117. и КИИКритическая информационная инфраструктура — Информационные системы и сети госорганов и организаций ключевых отраслей; режим защиты установлен 187-ФЗ.) и сослаться на них;
- при переводе документов в электронный вид учесть требования к защите электронных документов со служебной информацией ограниченного распространения.
Главное
Требования по антитеррористической защищённости несут в себе полноценный блок информационной безопасности. Первое требование — защита служебной информации ограниченного распространения: паспорт безопасности относится к служебной информации ограниченного распространения, оформляется с пометкой «Для служебного пользования» и поэкземплярным учётом, а его защита достигается порядком обращения, ограничением доступа и назначением ответственных за хранение. Чтобы режим ДСП действительно существовал, нужны локальное положение о порядке обращения, перечень документов ограниченного распространения и приказы о назначении ответственного и допуске лиц; это самостоятельный режим, который не следует смешивать с коммерческой тайной, хотя организационная механика у них близкая. Второе требование — информационная безопасность организации — не создаёт отдельную систему защиты, а опирается на общие меры защиты информации. Проверить состав обязанностей и подготовить документы можно в сервисе ГрамотаИБ.