В условиях цифровизации экономики и роста числа киберугроз государство ужесточает требования к защите информации. За нарушения в сфере информационной безопасности данных (ИБД) законодательство Российской Федерации предусматривает серьёзную административную ответственность. В этой статье подробно разберём, какие штрафы грозят компаниям и должностным лицам, какие нормы регулируют эту область и как избежать санкций.

Что такое ИБД и почему за нарушения штрафуют

Под информационной безопасностью данных понимается комплекс мер, направленных на защиту информации от несанкционированного доступа, уничтожения, изменения, блокирования, копирования и распространения. Особое внимание уделяется:

• персональным данным граждан;
• критической информационной инфраструктуре (КИИ);
• государственным информационным системам;
• коммерческой и служебной тайне.

Утечки данных, кибератаки и халатное отношение к защите информации могут нанести ущерб не только отдельным гражданам и компаниям, но и безопасности государства в целом. Именно поэтому ответственность за нарушения в этой сфере постоянно ужесточается.

Основные нормативные акты

Ответственность за нарушения в области ИБД регулируется следующими документами:

1. Кодекс РФ об административных правонарушениях (КоАП РФ) — статьи 13.11, 13.12, 13.12.1 и другие.
2. Федеральный закон № 152-ФЗ «О персональных данных».
3. Федеральный закон № 187-ФЗ «О безопасности критической информационной инфраструктуры РФ».
4. Федеральный закон № 149-ФЗ «Об информации, информационных технологиях и о защите информации».

Штрафы за нарушение требований безопасности КИИ

Статья 13.12.1 КоАП РФ, введённая Федеральным законом от № 141-ФЗ, устанавливает ответственность за нарушение требований в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации.

Размеры штрафов

За нарушение требований безопасности КИИ предусмотрены следующие санкции:

• для должностных лиц — от 20 000 до 50 000 рублей;
• для юридических лиц — от 100 000 до 500 000 рублей.

Если нарушение повлекло инцидент в сфере КИИ, ответственность существенно возрастает:

• для должностных лиц — от 50 000 до 100 000 рублей;
• для юридических лиц — от 500 000 до 1 000 000 рублей.

К субъектам КИИ относятся организации в сферах здравоохранения, науки, транспорта, связи, энергетики, банковской сфере, топливно-энергетического комплекса, атомной энергетики, оборонной, ракетно-космической, горнодобывающей, металлургической и химической промышленности.

Штрафы за нарушения в сфере персональных данных

Статья 13.11 КоАП РФ предусматривает ответственность операторов персональных данных. Законодательство в этой части было существенно ужесточено: введены оборотные штрафы за утечки персональных данных.

Основные нарушения и санкции

• Обработка персональных данных без согласия субъекта — штраф для юридических лиц до 300 000 рублей.
• Невыполнение требований по обезличиванию данных — штраф до 100 000 рублей.
• Неуведомление Роскомнадзора об обработке данных — штраф до 300 000 рублей.
• Утечка персональных данных — оборотный штраф для юридических лиц: при первичном нарушении до 15 млн рублей, при повторном — до 3% годового дохода (но не менее 20 млн и не более 500 млн рублей);

Кто контролирует соблюдение требований

Надзор в сфере информационной безопасности осуществляют:

• Роскомнадзор — в части персональных данных;
• ФСТЭК России — в части безопасности КИИ и государственных информационных систем;
• ФСБ России — в части защиты информации, составляющей государственную тайну, и координации противодействия кибератакам (ГосСОПКА).

Как избежать штрафов: практические рекомендации

1. Проведите аудит информационной безопасности — выявите уязвимости и устраните их до проверки регулятора.
2. Определите статус организации — проверьте, относитесь ли вы к субъектам КИИ, и при необходимости пройдите категорирование объектов.
3. Внедрите средства защиты информации, соответствующие требованиям ФСТЭК и ФСБ.
4. Разработайте внутренние документы: политику обработки персональных данных, регламенты реагирования на инциденты.
5. Обучите сотрудников основам информационной безопасности — значительная часть утечек происходит по вине персонала.
6. Своевременно уведомляйте регуляторов об инцидентах: субъекты КИИ обязаны информировать НКЦКИ, операторы персональных данных — Роскомнадзор (в течение 24 часов о выявлении утечки).
7. Взаимодействуйте с ГосСОПКА, если ваша организация входит в перечень обязательных участников.

Штрафы за нарушения в области информационной безопасности данных становятся всё более ощутимыми для бизнеса: оборотные санкции за утечки персональных данных могут достигать сотен миллионов рублей. Инвестиции в защиту информации, регулярный аудит и соблюдение требований законодательства — это не только способ избежать штрафов, но и залог доверия клиентов и партнёров. Компаниям рекомендуется заблаговременно выстроить систему информационной безопасности и следить за изменениями в нормативной базе.