Взлом — это не только техника. Это ещё и сроки, которые уже идут.

Уведомить обязаны все операторы, у которых произошёл инцидент, повлёкший неправомерный доступ к персональным данным, их распространение или уничтожение. Предварительное уведомление — в течение 24 часов с момента обнаружения, итоговое с результатами внутреннего расследования — в течение 72 часов. Освобождение возможно, только если инцидент не затронул данные субъектов и не создал угрозы их правам.

О компьютерном инциденте на значимом объекте критической инфраструктуры сообщают не позднее трёх часов, о менее значимых инцидентах — не позднее 24 часов. Непрерывное взаимодействие с ГосСОПКА, то есть подключение к технической инфраструктуре НКЦКИ и работа в личном кабинете, обязательно для субъектов со значимыми объектами. У остальных такой обязанности нет, но обязанность информировать об инцидентах сохраняется.

Финансовые организации уведомляют Банк России об инцидентах информационной безопасности в течение 24 часов через отраслевой центр. Направление сообщения по этому каналу, как правило, снимает необходимость отдельно уведомлять НКЦКИ.

Неуведомление или несвоевременное уведомление Роскомнадзора об утечке — самостоятельное правонарушение, а не отягчающее обстоятельство. Возникает типичный парадокс: компания узнаёт об инциденте, тянет с уведомлением, надеясь «разобраться тихо», и в итоге к штрафу за саму утечку добавляется штраф за молчание.

Первое уведомление — не техническая справка, а документ, который затем читают регулятор, подрядчик и, возможно, следователь. Заявленный в нём объём затронутых данных определяет квалификацию по масштабу, а значит и вилку штрафа. Уточнять объём впоследствии можно, но исходная формулировка остаётся в деле.

Вилка зависит от числа затронутых субъектов: до десяти тысяч — от 3 до 5 миллионов рублей; от десяти до ста тысяч — от 5 до 10 миллионов; свыше ста тысяч — от 10 до 15 миллионов. Это фиксированные суммы, не привязанные к выручке.

Масштаб определяется числом уникальных физических лиц, а не количеством строк в базе. Если один человек фигурирует в утёкшем массиве тремя записями — разные телефоны, разные адреса, — это один субъект, а не три. На практике это регулярно меняет категорию и вилку штрафа.

При повторной утечке любого масштаба фиксированные суммы сменяются оборотным штрафом — от одного до трёх процентов годовой выручки, но не менее 20 миллионов рублей и не более 500 миллионов. Для повторной утечки специальных категорий или биометрических данных минимальный порог выше — 25 миллионов. Считается от выручки, а не от прибыли.

Оператор отвечает и за действия лиц, которым поручена обработка. Инцидент на стороне облачного провайдера, разработчика или колл-центра не переносит ответственность перед регулятором — она остаётся на вас, а с подрядчика вы взыскиваете отдельно и по договору.

Нарушение требований к безопасности критической инфраструктуры наказывается административно — счёт идёт до нескольких сотен тысяч рублей, — а в серьёзных случаях наступает уголовная ответственность должностных лиц по отдельному составу о неправомерном воздействии на критическую инфраструктуру.

За первый год действия новых норм по открытым данным вынесено лишь несколько административных штрафов. Оборотные санкции существуют в законе с мая 2025 года, но массового применения пока не получили.

В марте 2026 года арбитражный суд рассматривал дело об утечке данных более трёхсот тысяч человек, где по статье полагалось от 10 до 15 миллионов рублей, — назначено было 400 тысяч. Двумя месяцами позже по утечке данных тридцати шести тысяч абонентов, где вилка составляла от 5 до 10 миллионов, ограничились предупреждением.

Мягкий подход связывают с периодом адаптации рынка к новым правилам, и юристы сходятся в том, что он не сохранится. Строить стратегию на ожидании предупреждения — значит рассчитывать на обстоятельство, которое от вас не зависит.

На размер санкции влияют доказанность принятых мер защиты и поведение оператора после инцидента: своевременность уведомления, полнота внутреннего расследования, информирование затронутых людей, устранение причины. Всё это либо есть в документах к моменту разбора, либо нет.

Незаконные использование, передача, сбор и хранение компьютерной информации с персональными данными, полученной неправомерным доступом или иным незаконным путём, наказываются штрафом до 300 тысяч рублей либо лишением свободы до четырёх лет. Если речь о данных несовершеннолетних, специальных категориях или биометрии — до 700 тысяч и до пяти лет. Создание ресурса, заведомо предназначенного для такого оборота, — тоже до пяти лет.

Виновного в сливе устанавливают по журналам доступа. Если у компании были разграничение прав, логирование обращений к базе и подписанные соглашения о конфиденциальности, ответственность по уголовному составу остаётся на сотруднике, а не размывается на организацию.

Составы о неправомерном доступе, о вредоносных программах и о нарушении правил эксплуатации применяются независимо от намерений. Тестирование защищённости без письменного задания и согласованных границ формально образует состав — и это регулярная проблема при разборе инцидентов внутри компании.

Подход к выбору мер защиты изменился принципиально: они больше не берутся из жёсткой таблицы по классу системы, а подбираются и верифицируются под конкретную архитектуру и актуальные угрозы. Это означает, что старые комплекты документов, собранные по классу, перестают подтверждать соответствие.

Новые правила категорирования действуют, но подробные инструкции продолжают дорабатываться, а отраслевые особенности выходят отдельными актами. При проверках нарушения находят почти у каждой организации. Отдельный открытый вопрос — переход на отечественные решения к 2030 году при отсутствии готового перечня.