«Информационная безопасность» или «кибербезопасность» — как правильно
Этот вопрос задают чаще всего, и он не праздный: с 12 июля 2026 года терминология в казахстанском законодательстве изменилась. Закон «Об информатизации» переименован в Закон «О кибербезопасности», «информационная безопасность» заменена на «кибербезопасность», а «объект информатизации» — на «цифровой объект».
На практике это значит, что приказ о назначении ответственного за информационную безопасность и приказ о назначении ответственного за кибербезопасность — это один и тот же документ. Разница только в названии должности и в том, на какую редакцию норм он ссылается.
- если приказ издаётся сейчас — пишите «за кибербезопасность», это действующий термин;
- если приказ был издан раньше и называется «за информационную безопасность» — переиздавать не обязательно, он действует;
- но ссылки на нормы в старом приказе стоит проверить: если там Закон «Об информатизации», лучше актуализировать;
- для ответственного за персональные данные термин другой — «ответственный за организацию обработки персональных данных», и это отдельная роль.
Не путайте две должности. Ответственный за кибербезопасность отвечает за ознакомление работников с правилами и внутренний контроль по Трудовому кодексу. Ответственный за организацию обработки персональных данных отвечает за работу с данными людей по Закону № 94-V. Это разные основания, разные обязанности и, как правило, два разных приказа — даже если их совмещает один человек.
Обязательно ли назначать ответственного
Прямого требования «назначить ответственного за кибербезопасность» в статье 23 Трудового кодекса нет. Там сказано об обязанности ознакомить работников и осуществлять внутренний контроль за исполнением требований.
Но контроль — это действие, которое кто-то выполняет. Поэтому на практике компании закрепляют его за конкретным сотрудником приказом. Это делает выполнение обязанности проверяемым и снимает вопрос «кто у вас этим занимается».
Кого можно назначить
Закон не требует, чтобы это был профильный специалист по информационной безопасности или отдельная штатная единица. Ответственным может быть действующий сотрудник, для которого это дополнительная функция.
- Системный администратор или IT-специалист, если он есть в штате
- Офис-менеджер или администратор — в небольшой компании
- HR-менеджер, если основная нагрузка это ознакомление работников и ведение реестров
- Руководитель подразделения, если компания небольшая
Что написать в приказе
- Основание: ссылка на подпункт 25-1) пункта 2 статьи 23 Трудового кодекса и на утверждённый акт работодателя
- ФИО и должность назначаемого сотрудника
- Перечень возлагаемых функций
- Дата, с которой сотрудник приступает к исполнению
- Кто замещает ответственного на время отпуска или болезни
- Кто контролирует исполнение самого приказа
- Отметка об ознакомлении сотрудника с приказом под подпись
Какие функции разумно закрепить
- Ведение реестра ознакомления работников с актом работодателя
- Ведение журнала инцидентов
- Проведение внутреннего контроля по чек-листу и фиксация результатов
- Организация обучения работников
- Приём сообщений о подозрительных ситуациях от сотрудников
- Подготовка информации о состоянии кибербезопасности для руководителя
Частая ошибка в формулировках
Приказ описывает функции внутри компании. Важно, чтобы формулировки соответствовали реальным полномочиям и квалификации сотрудника.
Не стоит возлагать на офис-менеджера «обеспечение защиты информационных систем» — такую формулировку он объективно не может выполнить, и она создаёт риск для него самого. Пишите то, что человек реально делает: ведёт реестры, проводит проверку по чек-листу, организует обучение, передаёт информацию руководителю. Техническую часть при необходимости обеспечивает подрядчик или профильный специалист.
Что понадобится вместе с приказом
- Акт работодателя по кибербезопасности — то, исполнение чего контролируется
- Приказ об утверждении акта
- Реестр ознакомления работников
- Журнал (реестр) инцидентов
- Чек-лист внутреннего контроля
- Инструкция для самого ответственного: что и когда он делает
Как выглядит приказ о назначении
Приказ короткий: одна страница. Главное — чтобы из него было видно, кого назначили, какие функции закрепили и кто его замещает.
Шапка
Наименование организации, слово «ПРИКАЗ», дата, номер, город.
Заголовок
О назначении ответственного за организацию работы по кибербезопасности.
Преамбула
В соответствии с подпунктом 25-1) пункта 2 статьи 23 Трудового кодекса Республики Казахстан и в целях организации внутреннего контроля ПРИКАЗЫВАЮ:
Пункты приказа
- назначить [должность, Ф.И.О.] ответственным за организацию работы по кибербезопасности;
- возложить обязанности: ознакомление работников под подпись и ведение реестра, ведение журнала инцидентов, проведение внутреннего контроля, подготовка отчёта руководителю;
- предоставить право запрашивать сведения у подразделений и требовать устранения нарушений;
- на период отсутствия обязанности возложить на [должность, Ф.И.О. заместителя];
- контроль за исполнением приказа оставляю за собой.
Подписи
Руководитель — подпись и расшифровка. Ниже: «С приказом ознакомлен(а)» с подписью и датой назначенного.
Что подставить
- полное наименование организации;
- должность и фамилию, имя, отчество руководителя;
- город и дату;
- номер приказа.
- должность и Ф.И.О. назначаемого и его заместителя.
Что делать дальше
- Получить подпись назначенного: приказ без неё ничего не подтверждает.
- Дополнить должностную инструкцию новыми функциями.
- Сообщить работникам, к кому обращаться при подозрительной ситуации.
Полный комплект документов
Редактируемые документы с подсказками. Заполните реквизиты и адаптируйте содержание под работу компании.
Частые вопросы
Читайте также
- Акт работодателя по кибербезопасности: что это и как его составитьЧто должно быть в акте работодателя по кибербезопасности, как его утвердить и ознакомить работников. Готовый образец для компании в Казахстане.
- Кибербезопасность в Трудовом кодексе РК: что изменилось с 25 августа 2026 годаКакие изменения внесены в Трудовой кодекс Казахстана по кибербезопасности, когда они вступили в силу и что конкретно обязан сделать работодатель.
- Политика информационной безопасности: что это и что в ней должно бытьЧто такое политика информационной безопасности, чем отличается от акта работодателя по кибербезопасности, что в неё включить и как утвердить. Образец для компании в РК.
- Ознакомление работников: как оформить правильноКак правильно ознакомить работников с требованиями по кибербезопасности под подпись, что писать в листе ознакомления и что делать с удалёнными сотрудниками.
- Внутренний контроль по кибербезопасности: как его организоватьВторая половина обязанности работодателя. Кто проводит внутренний контроль, как часто, что проверять и чем подтверждать, что он реально велся.
- Положение о коммерческой тайне: как ввести режим в КазахстанеКак ввести режим коммерческой тайны в казахстанской компании: какими нормами регулируется, что должно быть в положении и почему российские шаблоны не подходят.
- Все руководстваУказатель разборов по закону, персональным данным и рабочим ситуациям.
- Требования законаС 25 августа 2026 года работодатель должен ознакомить работников с требованиями своих актов по кибербезопасности и осуществлять внутренний контроль за их исполнением.