Может ли Роскомнадзор запросить модель угроз безопасности персональных данных?
Модель угроз относится к документам, подтверждающим организацию безопасности системы; её наличие не заменяет реальные меры.
Короткий ответ
В приведённом Готовом решении 2026 года модель угроз названа среди документов, которые могут потребоваться при надзорной проверке. Материальное основание связано с пунктом 1 части 2 статьи 19 Закона № 152-ФЗ: оператор должен определять угрозы безопасности персональных данных.
Модель помогает показать, от каких событий и действий защищают конкретную систему и почему выбраны соответствующие меры. Поэтому запрос документа связан с проверкой исполнения обязанности, а не только с желанием ведомства получить техническое описание инфраструктуры.
При этом полномочия органа и предмет проверки всё равно имеют значение. Статья 23 Закона № 152-ФЗ определяет компетенцию уполномоченного органа. Не следует превращать упоминание модели в универсальное требование передавать любые внутренние материалы по любому неидентифицированному письму.
Практически полезно проверить реквизиты запроса, относящуюся к нему систему и состав необходимых сведений. Само наличие конфиденциальных технических деталей не означает автоматического права отказать законному запросу; способ передачи и защита материалов должны быть организованы надлежащим образом.
Также модель должна отражать реальные условия. Устаревший документ о другой версии системы не объясняет текущую обработку, а наличие файла не доказывает фактическое выполнение мер. Не нужно смешивать запрос модели с обязательным предварительным согласованием каждой модели Роскомнадзором: из выбранного фрагмента такая процедура не следует. Узкий вывод – документ может быть затребован как часть проверки безопасности, и его нужно соотносить с законным предметом и полномочиями мероприятия.
Если нужно применить ответ к Вашей ситуации или документам, Проверить сайт на соответствие 152-ФЗ: юрист проверит вводные и учтёт обстоятельства, которые короткий ответ не охватывает.
Что ещё полезно знать
Частые вопросы по теме
- Почему нельзя просто скопировать меры безопасности из примера уведомления Роскомнадзора?
- Сколько уровней защищённости ИСПДн и как по ним выбирают меры безопасности?
- Какие угрозы учитывают в системах персональных данных сферы Минздрава?
- Как организовать необходимый удалённый доступ сотрудника к базе персональных данных?
- Чем модель технических угроз отличается от оценки рисков для прав человека?
