Акты уничтожения и передачи СКЗИ: требования ФАПСИ №152, формы и образцы заполнения

Акт уничтожения СКЗИ — документ, без которого ни один экземпляр криптосредства нельзя считать выведенным из эксплуатации. Составление актов — обязательный этап в порядке организации учёта СКЗИ: именно отсутствие актов при наличии пустых граф «Дата уничтожения» в журнале поэкземплярного учёта становится одним из самых частых поводов для предписаний по итогам проверок ФСБ. В статье разберём, когда и как составлять акты уничтожения и передачи СКЗИ, дадим полные формы и образцы заполнения.

Что такое акт уничтожения СКЗИ и почему он обязателен

Определение и правовая основа

Акт уничтожения СКЗИ — это официальный документ, подтверждающий факт вывода экземпляра средства криптографической защиты информации из эксплуатации. Он фиксирует: что именно уничтожено, каким методом, кем и когда, и служит юридическим основанием для закрытия записи в журнале поэкземплярного учёта.

Требование составлять акты установлено Приказом ФАПСИ №152 от 13.06.2001 (п. 38–41 раздела V «Порядок уничтожения криптосредств и ключевых документов»). Без акта запись в журнале поэкземплярного учёта СКЗИ не закрыта — формально экземпляр СКЗИ числится в обороте, что при проверке ФСБ квалифицируется как нарушение.

Дополнительная нормативная база

• Приказ ФСБ №378 — для операторов персональных данных, уточняет порядок уничтожения ключевых документов при завершении обработки ПДн
• ПКЗ-2005 (Положение о разработке, производстве, реализации и эксплуатации СКЗИ) — общие требования к жизненному циклу СКЗИ
• Ст. 13.12 КоАП РФ — ответственность за нарушение правил защиты информации, включая ненадлежащее уничтожение СКЗИ

Чем акт уничтожения отличается от акта передачи

Когда составляется акт уничтожения СКЗИ

Акт уничтожения обязателен в следующих случаях:

При выводе из эксплуатации

• Замена версии СКЗИ (деинсталляция старой версии КриптоПро CSP при обновлении до новой)
• Истечение срока лицензии и отказ от продления
• Замена аппаратного устройства (токена, криптошлюза) на новое

При кадровых изменениях

• Увольнение сотрудника: ключевые носители, не передаваемые другому пользователю, уничтожаются
• Перевод сотрудника: если СКЗИ привязано к должности, а не к конкретному человеку

При компрометации

• Утрата носителя — немедленное уничтожение сертификата (отзыв через УЦ + акт)
• Несанкционированный доступ к ключевому контейнеру
• Плановая смена криптографических ключей (старый ключ уничтожается)

При организационных изменениях

• Ликвидация подразделения — все СКЗИ подразделения уничтожаются
• Прекращение деятельности организации
• Реорганизация системы криптографической защиты

Форма акта уничтожения СКЗИ

Обязательные реквизиты

ФАПСИ №152 не утверждает единую унифицированную форму — организация разрабатывает её самостоятельно. Однако на основании требований регулятора и практики проверок ФСБ форма акта должна содержать следующие обязательные элементы:

                                                    УТВЕРЖДАЮ
                                          ______________________________
                                          (должность руководителя организации)
                                          ______________________________
                                          (ФИО)
                                          «___» ____________ 20___ г.

                            АКТ №_____
         уничтожения средств криптографической защиты информации

г. ________________                             «___» ____________ 20___ г.

Комиссия в составе:

Председатель комиссии:
_______________________________________________ (должность, подразделение, ФИО)

Члены комиссии:
1. _____________________________________________ (должность, подразделение, ФИО)
2. _____________________________________________ (должность, подразделение, ФИО)

составила настоящий акт о том, что уничтожены следующие СКЗИ:

Табличная часть акта

Заключительная часть

Вышеперечисленные СКЗИ уничтожены в присутствии членов комиссии.

Председатель комиссии: __________ / ______________________________
                        (подпись)         (расшифровка подписи)

Члены комиссии:         __________ / ______________________________
                        (подпись)         (расшифровка подписи)

                        __________ / ______________________________
                        (подпись)         (расшифровка подписи)

Образец заполнения акта уничтожения СКЗИ

Ниже — полностью заполненный образец акта для трёх типичных случаев: деинсталляция программного СКЗИ, уничтожение аппаратного токена, уничтожение ключевых документов.

АКТ №3 уничтожения средств криптографической защиты информации

г. Москва, 15 января 2026 г.

Комиссия в составе:

Председатель комиссии: начальник отдела информационной безопасности Смирнов А.В.

Члены комиссии:

1. Системный администратор Козлов Д.Н.
2. Специалист по кадровому учёту Васильева Т.И.

составила настоящий акт о том, что уничтожены следующие СКЗИ:

Вышеперечисленные СКЗИ уничтожены в присутствии членов комиссии.

Председатель комиссии: __________ / Смирнов А.В. Члены комиссии: __________ / Козлов Д.Н.                     __________ / Васильева Т.И.

Пояснения к образцу

Строка 1 (КриптоПро CSP) — программное СКЗИ уничтожается путём деинсталляции и удаления ключевых контейнеров. Важно указать конкретный серийный номер лицензии (не «все экземпляры»). В методе уничтожения указывается конкретный инструмент — это показывает, что процедура реально выполнена.

Строка 2 (JaCarta) — токен остался физически целым, но ключи уничтожены программно. Используется, когда носитель планируется повторно использовать (например, для нового сотрудника).

Строка 3 (Рутокен) — физическое разрушение, носитель восстановлению не подлежит. Указание конкретного метода (дрель 2 мм) — стандарт для актов при проверках ФСБ.

Методы уничтожения СКЗИ: подробное руководство

Программное уничтожение

Применяется для: программных СКЗИ (КриптоПро CSP, VipNet Client, Signal-COM CSP) и ключевых контейнеров на токенах (без физического уничтожения носителя).

Для КриптоПро CSP:

1. Уничтожить все ключевые контейнеры: csptest -keyset -deletekeyset -cont "имя_контейнера" или через «Панель управления КриптоПро» → вкладка «Сервис» → «Удалить»
2. Деинсталлировать КриптоПро CSP через «Программы и компоненты»
3. Проверить: в реестре HKLM\SOFTWARE\CryptoPro\Setup не должно остаться ключей
4. Составить акт

Для VipNet Client:

1. Уничтожить ключевые узлы через «ViPNet Monitor» → «Параметры ключевой защиты»
2. Деинсталлировать VipNet Client
3. Удалить рабочую папку (%AppData%\InfoTeCS\ViPNet)
4. Составить акт с указанием версии и номера узла VipNet

Для программного уничтожения ключевых контейнеров на токенах (Рутокен, JaCarta):

• Рутокен: утилита rtAdmin rtAdmin.exe /FormatToken /Password:12345678
• JaCarta: JaCarta Management System → «Форматировать»
• eToken: утилита SafeNet Authentication Client → «Инициализировать токен»

Физическое уничтожение носителей

Применяется для: аппаратных токенов, смарт-карт, HDD с ключевыми файлами, флеш-накопителей с ключевыми контейнерами.

Методы физического уничтожения:

Запрещено: выбрасывать токены, смарт-карты и носители с ключевыми файлами в обычный мусор. Даже «отформатированный» токен может содержать остаточные данные, восстанавливаемые специализированными средствами.

Уничтожение при компрометации

При компрометации ключей порядок отличается от планового уничтожения:

1. Немедленно (в течение часа): отзыв сертификата через удостоверяющий центр — это остановит возможное мошеннические подписание от имени организации
2. В течение рабочего дня: физическое/программное уничтожение носителя
3. Не позднее следующего рабочего дня: акт уничтожения, запись в журнале, служебная записка на имя руководителя
4. При необходимости: уведомление ФСБ (если использовался в государственных системах)

Форма акта передачи СКЗИ

Когда нужен акт передачи

Акт передачи составляется, когда СКЗИ не уничтожается, а переходит к другому ответственному:

• Смена ответственного за эксплуатацию СКЗИ (увольнение, перевод)
• Передача СКЗИ на временное хранение в орган криптографической защиты
• Временная передача другому подразделению или в командировку
• Аутсорсинг: передача СКЗИ внешнему администратору

Форма акта передачи

                            АКТ №_____
              приёма-передачи средств криптографической защиты информации

г. ________________                             «___» ____________ 20___ г.

Передающая сторона:
_______________________________________________ (должность, подразделение, ФИО)

Принимающая сторона:
_______________________________________________ (должность, подразделение, ФИО)

Табличная часть (те же поля, что в акте уничтожения, плюс «Состояние СКЗИ»).

Заключительная часть:

СКЗИ переданы в комплектном и работоспособном состоянии.

Передал: __________ / ____________________
Принял:  __________ / ____________________

Образец акта передачи

АКТ №7 приёма-передачи средств криптографической защиты информации

г. Казань, 03 марта 2026 г.

Передающая сторона: начальник отдела ИБ Иванов А.В. (переводится в другое подразделение)

Принимающая сторона: заместитель начальника отдела ИБ Петров С.Н. (назначен ответственным за СКЗИ с 03.03.2026)

СКЗИ переданы в комплектном и работоспособном состоянии.

Передал: __________ / Иванов А.В. Принял: __________ / Петров С.Н.

Связь акта с журналом поэкземплярного учёта

Акт уничтожения и акт передачи обязательно ссылаются из журнала. После составления акта в журнале поэкземплярного учёта заполняется соответствующая графа:

• Акт уничтожения → в колонке «Дата уничтожения / №акта» указывается: «15.01.2026, акт №3»
• Акт передачи → вносится новая запись о текущем ответственном с указанием акта передачи

Это замыкает жизненный цикл экземпляра СКЗИ в журнале учёта. При проверке ФСБ инспектор сверяет: есть ли акт для каждой закрытой строки журнала?

Подробнее о ведении журнала — в статье Поэкземплярный учёт СКЗИ, а об учёте ключевых документов — в статье Журнал учёта ключевых документов СКЗИ.

Типичные ошибки при составлении актов

Ошибка 1: Акт подписан одним человеком

Требование ФАПСИ №152 — комиссия из двух и более человек. Акт, подписанный только ответственным за СКЗИ единолично, не имеет юридической силы при проверке.

Исправление: Всегда привлекать как минимум одного члена комиссии. В небольших организациях это может быть директор или бухгалтер.

Ошибка 2: Не указан серийный номер

В акте написано «КриптоПро CSP» без серийного номера лицензии. При сопоставлении с журналом поэкземплярного учёта невозможно понять, какой именно экземпляр уничтожен.

Исправление: Всегда указывать серийный номер — для программных СКЗИ это номер лицензии, для аппаратных — заводской номер.

Ошибка 3: Метод уничтожения не описан

В акте написано «уничтожен» или «деинсталлирован» без деталей. Инспектор ФСБ не может проверить, что уничтожение действительно проведено корректно.

Исправление: Указывать конкретный метод: «деинсталляция через штатный деинсталлятор + удаление контейнеров командой csptest», «физическое разрушение корпуса и чипа токена механическим воздействием (дрель, сверло 3 мм)».

Ошибка 4: Акт составлен задним числом

СКЗИ уничтожено в январе, акт составлен в марте. Это технически нарушает требования о своевременности учёта.

Исправление: Составлять акт в день уничтожения или на следующий рабочий день максимум.

Ошибка 5: Нет ссылки на акт в журнале

Акт составлен, но в журнале поэкземплярного учёта в графе «Дата уничтожения» — пусто или написана только дата без номера акта.

Исправление: Всегда вносить в журнал и дату, и номер акта («15.01.2026, акт №3»). Оба документа должны перекрёстно ссылаться друг на друга.

Периодичность уничтожения ключевых документов СКЗИ

ФАПСИ №152 (п. 33) требует устанавливать сроки действия ключевых документов с учётом рекомендаций разработчика СКЗИ. На практике сроки распределяются следующим образом:

• Сертификаты квалифицированной ЭП — 12–15 месяцев (устанавливает удостоверяющий центр)
• Ключевые документы для VipNet — как правило, 12 месяцев или при смене топологии сети
• Ключевые документы для шифрующих маршрутизаторов (Континент) — по регламенту оператора связи
• Ключи HSM-модулей — от 1 до 5 лет в зависимости от класса СКЗИ и регламента

Плановая ротация ключей — это не просто замена. Каждый устаревший ключевой документ должен быть официально уничтожен с составлением акта. Это означает, что в организации с 50 пользователями СКЗИ ежегодно должно составляться не менее 50 актов уничтожения. Именно поэтому автоматизация формирования актов через SGRC-платформу экономит десятки часов в год.

Совет из практики: заведите реестр актов уничтожения СКЗИ с нумерацией в пределах года (Акт №1/2026, №2/2026...). Это упрощает поиск при проверке ФСБ и позволяет контролировать полноту документооборота.

Хранение актов уничтожения и передачи

Сроки хранения

Согласно ФАПСИ №152 акты уничтожения СКЗИ хранятся не менее 5 лет с даты составления.

Рекомендуется хранить акты весь период, пока ФСБ может провести проверку за соответствующий период (фактически — 5 лет).

Место хранения

Акты уничтожения и передачи хранятся вместе с журналами учёта СКЗИ в защищённом месте с ограниченным доступом:

• Сейф или запираемый шкаф в помещении ИБ
• Помещение оборудовано сигнализацией
• Доступ только для ответственного за СКЗИ и уполномоченных лиц

Регистрация актов

Акты регистрируются во внутренней системе документооборота организации:

• Присваивается порядковый номер в рамках года (№1/2026, №2/2026...)
• Вносится в реестр актов уничтожения СКЗИ (произвольная форма)
• Хранится вместе с оригиналом журнала поэкземплярного учёта

Ответственность за нарушение порядка уничтожения СКЗИ

Нарушение порядка уничтожения СКЗИ квалифицируется по статье 13.12 КоАП РФ:

Практика: При проверке ФСБ инспектор сравнивает количество зарегистрированных экземпляров СКЗИ с количеством действующих и уничтоженных (с актами). Любой дисбаланс — основание для предписания. Типичная ситуация: в организации 47 токенов фактически, в журнале 50, актов уничтожения на 3 отсутствует → нарушение, штраф.

Автоматизация формирования актов СКЗИ

Проблемы ручного процесса

При ручном ведении учёта составление акта уничтожения занимает 20–30 минут: нужно найти реквизиты СКЗИ в журнале, заполнить форму, собрать подписи комиссии. При 10–15 актах в год это полноценный рабочий день, а риск ошибок при заполнении реквизитов СКЗИ высок.

SGRC-автоматизация

Платформа КиберОснова — модуль учёта СКЗИ автоматизирует весь процесс:

1. Ответственный инициирует вывод СКЗИ из эксплуатации в системе (один клик)
2. Система автоматически подтягивает реквизиты: наименование, серийный номер, сертификат ФСБ, текущий ответственный, дата выдачи
3. Формируется заполненный акт уничтожения по утверждённому шаблону (PDF или Word)
4. Акт распечатывается, подписывается комиссией, скан загружается в систему
5. Запись в журнале поэкземплярного учёта автоматически обновляется: дата уничтожения и номер акта проставляются

Аналогично для актов передачи: при изменении ответственного в системе автоматически формируется акт приёма-передачи.

Переход к электронному учёту СКЗИ сокращает время на подготовку документов при проверке ФСБ с нескольких дней до нескольких часов.

Чек-лист: правильное уничтожение СКЗИ

Используйте перед плановым уничтожением или при подготовке к проверке ФСБ:

• Назначена комиссия (не менее 2 человек), издан приказ о составе
• Подготовлены данные для акта: наименование СКЗИ, серийные номера, сертификаты ФСБ
• Метод уничтожения соответствует типу СКЗИ (программный или физический)
• Для программных СКЗИ: удалены все ключевые контейнеры, деинсталляция выполнена
• Для аппаратных носителей: физическое разрушение или форматирование выполнено
• Акт составлен в день уничтожения (или на следующий рабочий день)
• В акте указан конкретный метод уничтожения, а не просто «уничтожен»
• Акт подписан всеми членами комиссии
• Акту присвоен порядковый номер и он зарегистрирован
• В журнале поэкземплярного учёта заполнена графа «Дата уничтожения / №акта»
• Акт передан на хранение вместе с журналами учёта СКЗИ

Скачать шаблон акта уничтожения СКЗИ

Готовый Word-шаблон акта уничтожения СКЗИ с заполненным образцом — на основе п. 46 Приказа ФАПСИ №152 и ведомственных образцов (Росатом, ФАС).

Скачать Word-шаблон (docx)

Правильно оформленный акт уничтожения СКЗИ — это не бюрократия, а доказательная база для ФСБ, подтверждающая, что в организации нет неучтённых криптосредств. Составляйте акт в день уничтожения, указывайте конкретный метод и серийный номер, собирайте подписи комиссии — и проверка ФСБ пройдёт без замечаний. Для организаций с десятками СКЗИ автоматизация формирования актов в SGRC-платформе КиберОснова экономит время и исключает ошибки реквизитов. Запросите демо и посмотрите, как работает автоматическое формирование актов.