УЗ-2 простыми словами: что это и кому нужен

Расшифровываем аббревиатуру

УЗ — уровень защищённости. Постановление Правительства № 1119 делит все информационные системы персональных данных на четыре уровня: чем чувствительнее сведения и больше масштаб обработки, тем выше уровень и строже требования. УЗ-2 — второй уровень: система с повышенными требованиями к защите, но без максимального набора мер первого уровня.

Важный момент, который часто упускают: уровень не выбирают «по вкусу» и не «назначают себе». Его выводит акт классификации — документ, который организация составляет по категориям обрабатываемых сведений и числу субъектов. Хотите знать свой уровень — начинайте с классификации, а не с закупки средств защиты.

Почему про УЗ-2 говорят все, кто подключается к системе

Поставщики информации ГИС «Профилактика» работают с персональными данными несовершеннолетних — категория чувствительная. Автоматизированные рабочие места, где эти данные обрабатываются, образуют ИСПДн организации, и на практике лицензиаты ФСТЭК и интеграторы чаще всего готовят такие системы именно к УЗ-2. При этом прямой строки «всем участникам — УЗ-2» в нормативных актах нет: финальный уровень всегда следует из акта классификации вашей системы. Эта логика — часть большого пути подготовки организации, который мы описали в материалу об аттестации ИСПДн: этапы и документы.

Из чего складывается УЗ-2 на практике

Набор требований собирается из четырёх проверяемых элементов:

• Модель угроз по методике ФСТЭК — и обязательно актуальная: документ должен обновляться не реже раза в 12 месяцев.
• Меры защиты по приказу ФСТЭК № 21 — от организационных приказов до настройки технических средств. Конкретный состав мер зависит от класса и конфигурации системы; точный список под вашу систему — по запросу после аудита.
• СКЗИ для защищённого канала: сертифицированные КриптоПро CSP и NGate обеспечивают ГОСТ-шифрование трафика до системы.
• Аттестация: испытания и заключение по приказу ФСТЭК № 117 (действует с 1 марта 2026 года, заменил приказ № 17). Подтверждает соответствие — организация с лицензией ФСТЭК.

Всё это существует не вместо работы в системе, а до неё: сначала защищённое и подтверждённое рабочее место, потом подключение и вход. Порядок действий после готовности рабочего места описан в статье про вход в личный кабинет ГИС «Профилактика».

Кому в итоге нужен УЗ-2

Если коротко: всем, чьи системы обрабатывают чувствительные персональные данные в заметном объёме. В контексте профилактики это выглядит так: школы и колледжи вносят сведения об индивидуальных профилактических мероприятиях, органы опеки — о семьях, КДН — о заседаниях и решениях, учреждения для детей-сирот — о воспитанниках. Объединяет всех одно: данные о несовершеннолетних, а именно они тянут классификацию вверх по уровням защищённости.

Чем выше уровень, тем больше мер из состава приказа ФСТЭК № 21 применяется и тем строже контроль при аттестации — это общее правило построения лестницы в постановлении № 1119. Разница между соседними уровнями — не в «особом софте», а в объёме документируемых и проверяемых мер. Поэтому вопрос «а нам точно УЗ-2?» решается не на форуме, а актом классификации: полчаса работы с критериями снимают большинство споров. Полный перечень участников системы — в карта пунктов ПП-411 для поставщиков информации.

Отдельный вопрос — кто выполняет работу. Практика рынка проста: у организации почти всегда нет штатного специалиста, который одновременно умеет в модель угроз, СЗИ и аттестационные испытания. Типовая связка: интегратор ставит и настраивает средства защиты, лицензиат проводит испытания и подписывает заключение, а организация со своей стороны готовит приказы, назначает ответственных и обеспечивает доступ к АРМ. Ошибочно ждать от одного исполнителя «всё под ключ» без вашего участия — часть документов в любом случае подписывается руководителем и остаётся на балансе организации.

Три заблуждения, которые дорого стоят

• «Купим сертификат УЗ-2». Уровень защищённости не продаётся: это статус системы, подтверждаемый документами и испытаниями. Продать можно услуги по его достижению — не более того.
• «Достаточно установить средства защиты». Не настроенные СЗИ без организационно-распорядительных документов и модели угроз на аттестации не засчитывают. Половина провалов — организационные, а не технические.
• «Прошёл аттестацию — и забыл». Модель угроз должна обновляться не реже раза в 12 месяцев, заключение имеет ограниченный срок действия, а существенные изменения системы требуют внеочередной проверки. УЗ-2 — это режим, а не разовое событие.

Сколько это занимает и стоит ли паниковать

Обычно подготовка занимает полтора-три месяца: примерно половина срока уходит на актуализацию мер по приказу № 21 и модели угроз. Затягивают процесс типовые вещи: скачанная «шаблонная» модель угроз, документация, не совпадающая с реальными АРМ, и истёкшие сертификаты СКЗИ.

Считать «стоимость УЗ-2» одной цифрой до проверки нельзя — разброс зависит от того, что уже сделано в организации.

С чего начать, если задача уже на столе

• С аудита — по индивидуальному расчёту. Пять рабочих дней на то, чтобы показать разрыв между «как есть» и требованиями выбранного уровня, без покупки лишнего.
• Под контролем практика — сопровождение по согласованным условиям. Ведём подготовку по шагам: классификация, модель угроз, меры, испытания — с понятным графиком.
• Обучение сотрудников — по согласованной программе и стоимости. После подтверждения уровня систему нужно удерживать в режиме, а не «сдать и забыть».

Первый шаг стоит недорого и экономит месяцы: решение о закупках принимается уже после проверки. Напишите нам через форму на главной — приложим к расчёту чек-лист первых действий. Ориентиры по срокам и составу работ — в калькуляторе за минуту.

Коротко: что спрашивают про УЗ-2