Перечень документов, который нужно собрать для каждой информационной системы, четко не регламентирован. Но обычно требуются:
протокол с описанием уровня ущерба;
акт, в рамках которого определен уровень защищенности ПДн;
документ с прописанной моделью угроз;
техническое задание;
инструкция для сотрудника, который отвечает за безопасность персональных данных;
инструкция для администратора информационной системы;
акт оценки эффективности мер, которые реализованы оператором для обеспечения безопасности ПДн;
документы, регламентирующие выполнение мер 21 приказа ФСТЭК России.
Все эти документы должны дополнять общекорпоративные документы, в которых прописаны процессы работы с персональными данными, не связанные с конкретными информационными системами.