Нарушение требований по информационной безопасности в Российской Федерации влечет за собой серьезные правовые последствия. В зависимости от объекта защиты (критическая информационная инфраструктура, персональные данные, гостайна или просто информационные системы организации) применяются различные нормативные акты: КоАП РФ, УК РФ, а также специальные федеральные законы (187-ФЗ, 152-ФЗ, 149-ФЗ).

Ниже представлен подробный анализ административной и уголовной ответственности, актуальный на сентябрь 2026 года, с акцентом на последние изменения по защите критической информационной инфраструктуры (КИИ).

Ответственность за нарушения в сфере КИИ (187-ФЗ), основной фокус регулятора

Федеральный закон от № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» устанавливает жесткие требования к субъектам КИИ. С 2024 года санкции существенно ужесточились, а в апреле 2026 года вступил в силу новый состав административного правонарушения.

Новая статья 13.12.2 КоАП РФ: Нарушение правил эксплуатации объектов КИИ

Федеральный закон от № 77-ФЗ (опубликован , вступил в силу 20 апреля 2026 года) внес в КоАП РФ статью 13.12.2 «Нарушение правил эксплуатации объектов критической информационной инфраструктуры Российской Федерации».

Суть состава: Статья закрывает пробел в регулировании. Она карает за нарушение правил эксплуатации средств хранения, обработки и передачи охраняемой информации, самих систем и сетей КИИ, а также правил доступа к ним. Применяется по остаточному принципу, если деяние не подпадает под ст; 13.12.1 КоАП и не содержит признаков преступления (ст. 274.1 УК РФ).

Процессуальные особенности:

• Возможно административное расследование (ч. 1 ст; 28.7 КоАП).
• Дела рассматривает ФСБ России (ч. 1 ст. 23.91 КоАП) — тот же орган, что и по ч. 2–3 ст. 13.12.1.
• Применяется увеличенный срок давности привлечения к ответственности (ч. 1 ст. 4.5 КоАП).

Размеры штрафов по ст. 13.12.2 КоАП РФ

Важно: Статьи 13.12.1 и 13.12.2 не взаимозаменяемы. Ст. 13.12.1 карает нарушение требований по безопасности значимых объектов (ЗОКИИ, Приказ ФСТЭК №235, №239), а ст. 13.12.2 — нарушение правил эксплуатации и доступа.

Статья 13.12.1 КоАП РФ: Нарушение требований к безопасности ЗОКИИ

Карает четыре основные группы нарушений:

1. Непроведение или ненадлежащее проведение категорирования объектов КИИ.
2. Нарушение требований к созданию системы безопасности значимых объектов (Приказ ФСТЭК №235).
3. Нарушение требований по обеспечению безопасности значимых объектов (Приказ ФСТЭК №239).
4. Нарушение порядка информирования об инцидентах (пропущено «окно» уведомления).

Санкции (для юридических лиц): штраф от 300 000 до 500 000 рублей (в зависимости от части статьи). Для должностных лиц — от 20 000 до 50 000 рублей.

Статья 19.7.15 КоАП РФ: Непредставление или недостоверность сведений о категорировании

Предусмотрена специально за нарушение сроков и порядка представления сведений о категорировании объектов КИИ в ФСТЭК России.

• Юридические лица: штраф от 100 000 до 300 000 ₽.
• Должностные лица: штраф от 10 000 до 30 000 ₽.

Уголовная ответственность: Статья 274.1 УК РФ

Самая суровая ответственность наступает за умышленные деяния. Практика показывает, что следствие и суды квалифицируют действия по этой статье активно.

• Ч. 1: Создание вредоносного ПО для КИИ — лишение свободы на срок от 2 до 5 лет.
• Ч. 2: Нарушение правил эксплуатации средств хранения/обработки информации на объектах КИИ — до 6 лет лишения свободы.
• Ч. 3: Неправомерный доступ к охраняемой информации на объектах КИИ — от 2 до 6 лет лишения свободы. Ключевой момент: для ч. 3 не требуется доказывать наличие тяжких последствий, сам факт неправомерного доступа к охраняемой информации на объекте КИИ образует состав преступления.
• Ч. 4: Тяжкие последствия от любого из вышеперечисленных деяний — лишение свободы на срок до 10 лет.

Предписания ФСТЭК: «Вторая волна» санкций

Параллельно с административным протоколом ФСТЭК выдает предписание об устранении нарушений. Неисполнение предписания в установленный срок влечет за собой:

• Новый административный протокол (обычно по ст. 19.7.15 или 13.12.1 КоАП за неисполнение законного требования должностного лица).
• Новые штрафы.
• Риск приостановки деятельности объекта КИИ (в исключительных случаях по решению суда).

Ответственность за нарушение законодательства о персональных данных (152-ФЗ)

Помимо КИИ, наиболее массовой практикой является ответственность по ст. 13.11 КоАП РФ («Нарушение законодательства о персональных данных»).

Основные составы и штрафы (для юридических лиц):

• Ч. 1 ст. 13.11: Нарушение порядка сбора, хранения и т.д. (без повтора) — 15 000 – 75 000 ₽.
• Ч. 2 ст. 13.11: Нарушение прав субъектов ПДн (отказ в доступе, исправлении и т.д.) — 30 000 – 75 000 ₽.
• Ч. 3 ст. 13.11: Нарушение требований к защите ПДн (отсутствие СЗИ, модель угроз, учет инцидентов) — 50 000 – 150 000 ₽;
• Ч. 4 ст. 13.11: Неуведомление Роскомнадзора об обработке ПДн / нарушение переграничной передачи — 100 000 – 500 000 ₽ (для повторного — до 1 000 000 ₽ или приостановка деятельности на до 90 дней).
• Ч. 5 ст. 13.11: Нарушение требований к локализации баз данных (ч. 5 ст. 18 152-ФЗ), 1 000 000 – 6 000 000 ₽ (для повторного — до 18 000 000 ₽).

Примечание: Для должностных лиц и ИП штрафы ниже (обычно 3 000 – 50 000 ₽ в зависимости от части).

Общая ответственность за нарушение правил защиты информации (149-ФЗ)

По ст. 13.12 КоАП РФ («Нарушение правил защиты информации») ответственность наступает за нарушение правил защиты информации, не составляющих гостайну, в порядке, установленном законодательством (например, требования ФСТЭК/ФСБ для ГИС, операторов связи и т.д.).

• Юридические лица: штраф от 15 000 до 50 000 ₽.
• Должностные лица: штраф от 3 000 до 10 000 ₽.

Сводная таблица ключевых штрафов для юридических лиц (2026)

Практика применения: на чем фокусируется регулятор (ФСТЭК / ФСБ / Роскомнадзор)

Анализ проверок 2024–2026 гг. показывает, что протоколы составляются чаще всего не за полное отсутствие защиты, а за процедурные промахи:

• Просрочка категорирования: объект эксплуатируется, а категорирование не проведено или сведения не направлены в ФСТЭК в 15-дневный срок (ст. 19;7.15 КоАП).
• Пропуск окна информирования об инциденте: несвоевременное уведомление ФСТЭК/ФСБ/Госкорпорации о инциденте безопасности (ст. 13.12.1 КоАП).
• Формализм в документации: модель угроз, политики безопасности, реестры инцидентов существуют «на бумаге», но не соответствуют реальной инфраструктуре (Приказы 235, 239).
• Нарушение правил доступа: избыточные права доступа, отсутствие разделения прав, слабая аутентификация привилегированных пользователей (новая ст. 13.12.2 КоАП).
• Отсутствие средств защиты (СЗИ) сертифицированных ФСТЭК/ФСБ: использование непроверенных криптографических средств для защиты охраняемой информации.

Алгоритм действий для минимизации рисков (Чек-лист)

1. Проведите актуальное категорирование всех объектов ИТ-инфраструктуры. Направьте сведения в ФСТЭК в срок (не позднее 15 дней с момента принятия решения).
2. Разработайте и согласуйте документацию по ЗОКИИ (Модель угроз, Перечень мер безопасности, План реагирования) в соответствии с Приказами ФСТЭК №235 и №239.
3. Внедрите сертифицированные СЗИ (Средства защиты информации) соответствующего класса доверительности.
4. Настройте процесс информирования об инцидентах: регламент, ответственные лица, каналы связи с ФСТЭК, ФСБ, Госкорпорацией. Обучите персонал фиксировать время обнаружения.
5. Аудит правил доступа и эксплуатации: проверьте соответствие реальных прав доступа матрице ролей, настройте учет привилегированных действий (применимо к ст. 13.12.2 КоАП);
6. Проводите внутренние аудиты (или привлекайте лицензированных аудиторов ФСТЭК) до прихода проверяющих органов.
7. Мониторьте изменения законодательства: закон № 77-ФЗ от — яркий пример того, как быстро появляются новые составы правонарушений.

Единственная надежная стратегия — переход от реактивной модели («погасим протокол») к проактивной: непрерывный мониторинг соответствия, регулярные внутренние аудиты и работа с лицензированными интеграторами/аудиторами ФСТЭК.

Данная статья носит информационный характер и не является правовой консультацией. Нормативная база может меняться. Для принятия управленческих решений рекомендуется обращаться к актуальным текстам КоАП РФ, УК РФ, 187-ФЗ, 152-ФЗ и разъяснениям регуляторов (ФСТЭК, ФСБ, Роскомнадзор).