Обязателен ли аудит персональных данных по закону

Статья 18.1 152-ФЗ обязывает оператора вести внутренний контроль соответствия обработки. Форма и частота на усмотрение оператора. Проект приказа ФСТЭК добавляет к этому оценку эффективности мер защиты с жесткой периодичностью: до начала обработки, раз в 3 года и после каждого компьютерного инцидента.

Можно ли провести оценку эффективности своими силами

Да. Пункт 9 проекта разрешает оператору проводить ее самостоятельно либо привлечь организацию с лицензией ФСТЭК на техническую защиту конфиденциальной информации. Лицензия нужна привлеченной организации, а не самому оператору.

Что такое показатель Узи и где его фиксировать

Это показатель уровня зрелости, который определяется по итогам оценки эффективности принятых мер. Его записывают во внутренний документ, рядом ставят дату и причину проверки. Пункт 10 проекта требует задавать значение Узи и подрядчику, которому вы поручаете обработку данных.

Сколько стоит аудит персональных данных

Проверка четырех сайтов подрядчиков 31 августа 2026 года показала, что трое из четырех цену не публикуют и считают ее после консультации. У четвертого пакеты от 25 990 ₽, от 69 990 ₽ и от 99 990 ₽. Мы работаем по 2 500 ₽/ч без аванса и закрываем техническую часть: места хранения, выгрузки, логи, маскирование в коде.

С чего начать, если не сделано ничего

С трех документов, отсутствие которых видно инспектору сразу: политика обработки на сайте, приказ о назначении ответственного и уведомление в реестр операторов. Дальше инвентаризация процессов и мест хранения. Техническую часть можно вести параллельно с бумажной, они почти не пересекаются.