С 2024 года нарушение требований 187-ФЗ обходится дороже. Уголовная ответственность — реальная, административные санкции растут. Разбираем, что грозит субъектам КИИ и как не встретить регулятора неготовым.
Какие санкции предусмотрены за нарушение требований по безопасности КИИ?
За нарушение требований по безопасности КИИ предусмотрены два вида ответственности: административная и уголовная. Административная наступает по статьям 13.12.1, 13.12.2 и 19.7.15 КоАП РФ — для граждан, должностных и юридических лиц. Уголовная — по статье 274.1 УК РФ, вплоть до 10 лет лишения свободы при тяжких последствиях. Дополнительно ФСТЭК выдаёт предписание об устранении нарушений.
В практике «Кредо-С», лицензиата ФСТЭК России с 1993 года, санкции чаще наступают не за отсутствие защиты, а за просрочку: непроведённое категорирование и пропущенное окно уведомления об инциденте.
Административная ответственность за нарушения в сфере КИИ
Административная ответственность за нарушения в сфере КИИ предусмотрена статьями 13.12.1 и 19.7.15 КоАП РФ (непредставление или недостоверность сведений о категорировании — ст. 19.7.15; нарушение требований к безопасности ЗОКИИ и порядка информирования об инцидентах — ст. 13.12.1). Санкции применяются к должностным и юридическим лицам за четыре группы нарушений:
- непроведение или ненадлежащее проведение категорирования объектов КИИ;
- нарушение требований к созданию системы безопасности значимых объектов (приказ ФСТЭК №235);
- нарушение требований по обеспечению безопасности значимых объектов (приказ ФСТЭК №239);
- нарушение порядка информирования об инцидентах.
Штраф — только часть картины. ФСТЭК одновременно выдаёт предписание об устранении нарушений. Не исполнишь в срок — новый протокол и новые санкции.
Новый состав с 20 апреля 2026 года: статья 13.12.2 КоАП
Федеральный закон от 09.04.2026 № 77-ФЗ дополнил КоАП статьёй 13.12.2 — «Нарушение правил эксплуатации объектов критической информационной инфраструктуры Российской Федерации». Закон опубликован 09.04.2026 и вступил в силу через десять дней, то есть 20 апреля 2026 года.
Состав закрывает то, что раньше выпадало между статьями: нарушение правил эксплуатации средств хранения, обработки и передачи охраняемой информации, самих систем и сетей КИИ, а также правил доступа к ним. Применяется по остаточному принципу — за исключением случаев, предусмотренных статьёй 13.12.1, и только если в действиях нет признаков уголовно наказуемого деяния.
| Кто нарушил | Штраф по ст. 13.12.2 КоАП |
|---|
| Граждане | от 5 000 до 10 000 ₽ |
| Должностные лица | от 10 000 до 50 000 ₽ |
| Юридические лица | от 100 000 до 500 000 ₽ |
Тем же законом статья встроена в процессуальную механику: по ней возможно административное расследование (ч. 1 ст. 28.7 КоАП), дела рассматривает тот же орган, что и по статье 13.12.1 (ч. 1 ст. 23.91), и на неё распространяется увеличенный срок давности привлечения к ответственности (ч. 1 ст. 4.5).
Практическая разница со статьёй 13.12.1: та карает нарушение требований по безопасности значимых объектов, а 13.12.2 — нарушение правил эксплуатации и доступа. Составы не взаимозаменяемы.
Уголовная ответственность по ст. 274.1 УК РФ
Статья 274.1 УК РФ работает жёстче, чем многие ожидают. Уголовная ответственность наступает за:
Аудит объектов КИИ до прихода ФСТЭК
Выявим нарушения и устраним заблаговременно. Снизим риск предписаний и штрафов при плановой проверке.
- Создание вредоносного ПО для КИИ — лишение свободы на срок от 2 до 5 лет (ч. 1 ст. 274.1 УК РФ);
- Нарушение правил эксплуатации средств хранения и обработки информации на объектах КИИ — до 6 лет;
- Неправомерный доступ к охраняемой информации на объектах КИИ — от 2 до 6 лет;
- Тяжкие последствия от любого из составов — до 10 лет.
Ключевой момент по ч. 3: нарушение правил эксплуатации не требует доказательства умысла на причинение вреда. Достаточно самого факта нарушения, повлёкшего последствия.
После инцидента на значимом объекте следователи проверяют, выполнены ли требования приказов №235 и №239. Не создана система безопасности, не реализованы меры — это уже нарушение правил эксплуатации.
Ответственность за непроведение категорирования
Непроведение категорирования ФСТЭК выявляет без инцидентов. По факту поступивших (или не поступивших) сведений. Типичные нарушения:
- категорирование не проведено вообще;
- перечень объектов не утверждён или неполный;
- состав комиссии не соответствует ПП-127 п. 11;
- сведения не направлены во ФСТЭК в течение 10 рабочих дней после утверждения акта;
- категория присвоена необоснованно заниженная — без анализа всех показателей критериев.
Всё это легко документируется. Именно поэтому категорирование — первый состав, который появляется в актах проверки.
О том, как провести категорирование правильно: пошаговая инструкция по категорированию объектов КИИ.
Ответственность за нарушение порядка информирования об инцидентах
Субъект КИИ передаёт информацию об инцидентах в НКЦКИ через ГосСОПКА: первичные сведения — в течение 3 часов с момента обнаружения, подробная информация — в течение 24 часов. После ликвидации — результаты расследования.
Пропустил 3-часовое окно — самостоятельный состав по ст. 13.12.1 КоАП РФ. Плюс ФСТЭК и ФСБ вправе назначить внеплановую проверку. По её итогам к нарушению уведомительного порядка добавятся все ранее не выявленные нарушения требований безопасности.
Кто проверяет субъектов КИИ
Надзор делится между двумя регуляторами:
| Регулятор | Что проверяет | Периодичность плановых проверок |
|---|
| ФСТЭК России | Категорирование, требования приказов №235 и №239, ведение реестра значимых объектов | раз в 3 года (187-ФЗ ст. 13 ч. 2) — срок единый для всех категорий |
| ФСБ России | Взаимодействие с ГосСОПКА, порядок информирования об инцидентах, средства обнаружения атак | По плану или по факту инцидента |
Внеплановые проверки — без привязки к периодичности. Инцидент, жалоба, поручение прокуратуры — любой повод достаточен.
Оборотные штрафы за утечки ПДн: отдельная история
Если субъект КИИ обрабатывает персональные данные, у него есть и ответственность по 152-ФЗ. Закон от 30.11.2024 № 420-ФЗ ввёл оборотные штрафы за нарушения именно в сфере персональных данных — до 15 млн руб. или процент от выручки. К 187-ФЗ эти санкции прямого отношения не имеют, но для субъектов КИИ в медицине, банках или госорганах оба риска накапливаются одновременно.
Как снизить риски до прихода ФСТЭК
Пять конкретных шагов:
- Провести или актуализировать категорирование по ред. ПП-127 от 07.11.2025 — учесть обновлённые отраслевые типовые перечни.
- Реализовать меры защиты по приказу ФСТЭК №239 (ред. от 28.08.2024) — объём зависит от присвоенной категории значимости.
- Подключиться к ГосСОПКА напрямую или заключить договор с аккредитованным центром ГосСОПКА — порядок аккредитации и требования к таким центрам установлены приказом ФСБ России от 22.04.2026 № 161 (вступил в силу 31.05.2026).
- Назначить ответственного за реагирование на инциденты и прописать порядок 3-часового уведомления.
- Провести внутренний аудит КИИ до плановой проверки ФСТЭК — выявить и устранить нарушения заблаговременно, а не объяснять их на месте.
«Кредо-С» проводит аудит информационной безопасности объектов КИИ и помогает привести защиту в соответствие требованиям 187-ФЗ до прихода регулятора. Обзор обязательств субъектов КИИ — в материале «Критическая информационная инфраструктура». Полный цикл: категорирование → аудит → создание системы безопасности.
