2026-09-04 11:35 HR и кадры

Что делать кадровику с новыми требованиями о кибербезопасности

Всех работников нужно ознакомить с правилами кибербезопаности. Такое требование появилось в Трудовом кодексе, нужен локальный акт, приказ об ответственном и внутреннем контроле. Из рекомендации узнаете как организовать кибербезопасность и кто должен за неё отвечать. Получите шаблон локального акта, образец приказа и инструктажа. Сможете быстро закрыть этот участок работы без риска возникновения ошибок.

Екатерина Полевая

главный редактор электронной системы «Actualis: Кадровое дело»

С 25 августа 2026 года в Трудовом кодексе закреплены новые обязанности работодателя и работника в сфере кибербезопасности (Закон РК от 24.06.2026 № 326-VIII).

Работодатель обязан утвердить внутренний акт с требованиями кибербезопасности, ознакомить с ним каждого работника под подпись и организовать контроль за его соблюдением. Работник, в свою очередь, обязан эти требования соблюдать, наравне с уже привычными правилами, например по охране труда или пожарной безопасности.

Внимание

Изменения касаются всех работодателей независимо от размера бизнеса и сферы деятельности организации.

Если акт не утверждён, персонал не ознакомлен или контроль не работает на практике, а не только на бумаге, – это грозит претензиями при проверке. И даже если сотрудник действительно нарушил правила, наказать его без подтверждённого ознакомления не получится.

Изменения в Трудовом кодексе по вопросам кибербезопасности

Кибербезопасность и информационная безопасность

Кибербезопасность – состояние защищённости цифровых объектов от нарушения их конфиденциальности, целостности или доступности (пп. 8) ст. 1 Закона о кибербезопасности).

То есть кибербезопасность держится на трёх принципах:

Конфиденциальность – информация не доступна тем, у кого нет права её видеть.
Целостность – данные нельзя изменить или подменить без разрешения.
Доступность – те, кому положено, могут получить данные и ресурсы в нужный момент.

Информационная безопасность – понятие шире: состояние защищённости информации и информационного пространства в целом, независимо от формы и носителя (по смыслу Закона РК «О национальной безопасности»). Сюда входит не только цифровая среда, но и бумажные документы, коммерческая и служебная тайна, устная информация, а также организационные и физические меры защиты: пропускной режим в офисе, сейфы для документов, соглашения о неразглашении (NDA), порядок доступа в архив.

Что это значит для кадровика: кибербезопасность – только цифровая часть информационной безопасности. В акт по кибербезопасности нужно внести пункты именно про цифровые угрозы (компьютеры, почта, пароли, ПО), а защиту бумажных документов и коммерческой тайны регулируют другие документы, например, Положение о коммерческой тайне.

Аудит документов на предмет кибербезопасности

Прежде чем создавать новый локальный акт, проверьте, нет ли уже подходящего документа – инструкции или раздела в Правилах трудового распорядка.

Положение о кибербезопасности

Составьте отдельное Положение о кибербезопасности либо добавьте новый раздел в Правилах трудового распорядка. Выбор формы зависит от размера компании и объема требований. После разработки документ утвердите приказом руководителя и ознакомьте с ним работников.

Из чего состоит акт: разделы и что в них включить

Что конкретно прописать в разделах Положения о Кибербезопасности

Ниже – что конкретно включить в каждый из 7 разделов акта. Разделы 1 и 7 шаблонные, для них достаточно короткой стандартной формулировки; разделы 2–6 стоит прописывать предметно.

Раздел 1. Общие положения

Раздел шаблонный – цель, сфера действия документа и используемые термины (кибербезопасность, цифровые объекты, инцидент кибербезопасности). Пример формулировки: «Настоящее Положение устанавливает единые требования к обеспечению кибербезопасности в Компании и обязательно для исполнения всеми работниками».

Раздел 2. Права и обязанности сторон

Здесь нужны не общие фразы вроде «стороны обязаны соблюдать требования», а конкретный перечень. Со стороны работодателя – обеспечить работников необходимыми средствами защиты (антивирус, доступ через VPN и т. п.), организовать обучение и ознакомление с актом, своевременно информировать о новых угрозах. Со стороны работника – соблюдать установленные правила работы с цифровыми объектами, не передавать свои учётные данные третьим лицам, включая коллег и руководителей, немедленно сообщать о подозрительной активности или утере устройства.

Раздел 3. Правила использования информационных ресурсов

Общих фраз вроде «соблюдайте кибербезопасность» здесь недостаточно. Локальный акт должен содержать конкретные и понятные правила. Вот что стоит включить:

Пароли. Требования к сложности (например, не менее 8 символов, буквы разного регистра, цифры, спецсимволы), периодичность смены (например, раз в 90 дней), запрет передавать пароли третьим лицам и записывать их на бумаге или в незащищённых файлах.
Подозрительные сообщения. Как действовать при получении фишинговых писем и спама: не открывать вложения, не переходить по ссылкам, куда сообщать.
Корпоративные системы. Правила использования ПО, интернета, съёмных носителей (флешек, внешних дисков).
Рабочие устройства. Блокировка экрана при отходе от рабочего места, обязательный антивирус, своевременные обновления.
Личные устройства и соцсети. Правила использования личных телефонов и соцсетей в рабочих целях, если это вообще допускается.

Раздел 4. Работа с конфиденциальной информацией

Раздел должен разграничивать уровни доступа и порядок обращения с разными видами данных: какая информация относится к конфиденциальной (персональные данные, коммерческая тайна, служебная информация), кто и на каком основании получает к ней доступ, как она хранится и передается – например, только по защищённым каналам, с шифрованием при пересылке, как маркируются документы с ограниченным доступом. Отдельно стоит прописать прямые запреты – например, на пересылку конфиденциальных данных на личную почту или копирование на внешние носители без согласования.

Раздел 5. Реагирование на инциденты

Как выстроить этот процесс по шагам, разобрано ниже, в блоке «Как определить порядок реагирования на инциденты».

Раздел 6. Внутренний контроль

Разобран в блоке «Как наладить внутренний контроль» далее в рекомендации.

Раздел 7. Заключительные положения

Тоже шаблонный раздел – порядок внесения изменений в акт и дата вступления его в силу. Пример формулировки: «Изменения в настоящее Положение вносятся приказом руководителя организации. Положение вступает в силу с даты утверждения, если иное не установлено приказом».

Обучение персонала правилам кибербезопасности

После разработки и утверждения Положения о кибербезопасности ознакомьте с ним каждого работника под подпись. Это можно сделать на бумаге либо электронно через ЭЦП. Для новых работников включите ознакомление в процедуру приёма на работу, для уже работающих – проведите его до начала применения нового или обновлённого акта.

Обучение правилам кибербезопасности не разовое мероприятие, а процесс.

Периодичность. Проведите вводный инструктаж по кибербезопасности при приёме на работу. Дальше рекомендуем повторять обучение не реже одного раза в год, а также дополнительно после существенного обновления акта или выявленного инцидента.
Содержание. Вводный инструктаж должен охватить базовые правила из акта: пароли, работа с почтой, устройствами. Периодическое обучение – разбор актуальных угроз и реальных инцидентов, при возможности с практическими имитациями, например тестовой фишинговой рассылкой.
Ответственность. IT-отдел или служба безопасности готовят техническую часть, HR организует само мероприятие, фиксирует явку и хранит подтверждающие документы.
Проверка эффективности. Интерактивные тесты после обучения показывают, кто усвоил материал. Тех, кто не прошёл тест, стоит направить на повторный инструктаж и зафиксировать это отдельно – если работник затем всё равно нарушит правило, такая отметка укрепит позицию работодателя при взыскании.
Учитывайте специфику отделов: бухгалтерам нужны дополнительные знания о защите финансовых операций, а менеджерам по продажам о работе с персональными данными клиентов.

Внутренний контроль и порядок реагирования на инциденты

Работодатель вправе сам определить механизм контроля за соблюдением правил кибербезопасности в организации, но важно, чтобы он не сводился к наличию приказа на бумаге, а был реальной процедурой проверки. Рекомендуем придерживаться следующих правил:

Определите ответственных: это может быть IT-отдел, служба безопасности, а в части организационных правил сама кадровая служба. Издайте приказ о назначении ответственных.
Проверяйте регулярно: сложность паролей, наличие антивируса, своевременность обновлений, соблюдение правил работы со съёмными носителями.
Разграничьте роли: HR отвечает за организацию ознакомления, обучения и применение трудовых мер; IT – за технический мониторинг и выявление нарушений. Службы должны работать сообща.
Документируйте результаты контроля: это поможет отслеживать динамику и подтвердить соблюдение требований при проверке.

Как определить порядок реагирования на инциденты

Работник должен точно знать, к кому обращаться и что делать при обнаружении инцидента: подозрительной активности, утере данных, заражении вирусом.

Если инцидент связан с нарушением безопасности персональных данных, работодатель как собственник и (или) оператор персональных данных обязан уведомить уполномоченный орган в сфере защиты персональных данных в течение одного рабочего дня с момента обнаружения нарушения (п. 3 Правил осуществления уведомления субъектов персональных данных о нарушении безопасности персональных данных). В уведомлении указывают контактные данные ответственного за обработку персональных данных лица, принятые меры по устранению нарушения и данные субъектов, которых затронуло нарушение.

Если в компании есть выделенный центр обеспечения кибербезопасности или организация относится к критически важной цифровой инфраструктуре, для него может действовать более короткий срок – три часа (ст. 7-4–7-8 Закона РК «О кибербезопасности»).

Порядок реагирования на инциденты

Защита персональных данных работников от киберугроз

Определите, какие персональные данные обрабатываются в компании (Ф. И. О., ИИН, адрес, зарплата, медицинские данные) и в каких цифровых объектах они хранятся (HR-системы, бухгалтерские программы, облачные хранилища).

Ограничьте доступ к ...

Источник публикации: Актион МЦФЭР

Источник изображения Magnific

Получить все материалы