С 2024 года нарушение требований 187-ФЗ обходится дороже. Уголовная ответственность — реальная, административные санкции растут. Разбираем, что грозит субъектам КИИ и как не встретить регулятора неготовым.
Административная ответственность за нарушения в сфере КИИ
Административная ответственность за нарушения в сфере КИИ предусмотрена статьями 13.12.1 и 19.7.15 КоАП РФ (непредставление или недостоверность сведений о категорировании — ст. 19.7.15; нарушение требований к безопасности ЗОКИИ и порядка информирования об инцидентах — ст. 13.12.1). Санкции применяются к должностным и юридическим лицам за четыре группы нарушений:
- непроведение или ненадлежащее проведение категорирования объектов КИИ;
- нарушение требований к созданию системы безопасности значимых объектов (приказ ФСТЭК №235);
- нарушение требований по обеспечению безопасности значимых объектов (приказ ФСТЭК №239);
- нарушение порядка информирования об инцидентах.
Штраф — только часть картины. ФСТЭК одновременно выдаёт предписание об устранении нарушений. Не исполнишь в срок — новый протокол и новые санкции.
Уголовная ответственность по ст. 274.1 УК РФ
Аудит объектов КИИ до прихода ФСТЭК
Выявим нарушения и устраним заблаговременно. Снизим риск предписаний и штрафов при плановой проверке.
Аудит объектов КИИ до прихода ФСТЭК
Выявим нарушения и устраним их до плановой проверки — снизим риск предписаний и штрафов
Статья 274.1 УК РФ работает жёстче, чем многие ожидают. Уголовная ответственность наступает за:
- Создание вредоносного ПО для КИИ — лишение свободы на срок от 2 до 5 лет (ч. 1 ст. 274.1 УК РФ);
- Нарушение правил эксплуатации средств хранения и обработки информации на объектах КИИ — до 6 лет;
- Неправомерный доступ к охраняемой информации на объектах КИИ — от 2 до 6 лет;
- Тяжкие последствия от любого из составов — до 10 лет.
Ключевой момент по ч. 3: нарушение правил эксплуатации не требует доказательства умысла на причинение вреда. Достаточно самого факта нарушения, повлёкшего последствия.
После инцидента на значимом объекте следователи проверяют, выполнены ли требования приказов №235 и №239. Не создана система безопасности, не реализованы меры — это уже нарушение правил эксплуатации.
Ответственность за непроведение категорирования
Непроведение категорирования ФСТЭК выявляет без инцидентов. По факту поступивших (или не поступивших) сведений. Типичные нарушения:
- категорирование не проведено вообще;
- перечень объектов не утверждён или неполный;
- состав комиссии не соответствует ПП-127 п. 11;
- сведения не направлены во ФСТЭК в течение 10 рабочих дней после утверждения акта;
- категория присвоена необоснованно заниженная — без анализа всех показателей критериев.
Всё это легко документируется. Именно поэтому категорирование — первый состав, который появляется в актах проверки.
О том, как провести категорирование правильно: пошаговая инструкция по категорированию объектов КИИ.
Ответственность за нарушение порядка информирования об инцидентах
Субъект КИИ передаёт информацию об инцидентах в НКЦКИ через ГосСОПКА: первичные сведения — в течение 3 часов с момента обнаружения, подробная информация — в течение 24 часов. После ликвидации — результаты расследования.
Пропустил 3-часовое окно — самостоятельный состав по ст. 13.12.1 КоАП РФ. Плюс ФСТЭК и ФСБ вправе назначить внеплановую проверку. По её итогам к нарушению уведомительного порядка добавятся все ранее не выявленные нарушения требований безопасности.
Кто проверяет субъектов КИИ
Надзор делится между двумя регуляторами:
| Регулятор | Что проверяет | Периодичность плановых проверок |
|---|
| ФСТЭК России | Категорирование, требования приказов №235 и №239, ведение реестра значимых объектов | раз в 3 года (187-ФЗ ст. 13 ч. 2) — срок единый для всех категорий |
| ФСБ России | Взаимодействие с ГосСОПКА, порядок информирования об инцидентах, средства обнаружения атак | По плану или по факту инцидента |
Внеплановые проверки — без привязки к периодичности. Инцидент, жалоба, поручение прокуратуры — любой повод достаточен.
Оборотные штрафы за утечки ПДн: отдельная история
Если субъект КИИ обрабатывает персональные данные, у него есть и ответственность по 152-ФЗ. Закон от 30.11.2024 № 420-ФЗ ввёл оборотные штрафы за нарушения именно в сфере персональных данных — до 15 млн руб. или процент от выручки. К 187-ФЗ эти санкции прямого отношения не имеют, но для субъектов КИИ в медицине, банках или госорганах оба риска накапливаются одновременно.
Как снизить риски до прихода ФСТЭК
Пять конкретных шагов:
- Провести или актуализировать категорирование по ред. ПП-127 от 07.11.2025 — учесть обновлённые отраслевые типовые перечни.
- Реализовать меры защиты по приказу ФСТЭК №239 (ред. от 28.08.2024) — объём зависит от присвоенной категории значимости.
- Подключиться к ГосСОПКА или заключить договор с аккредитованным центром.
- Назначить ответственного за реагирование на инциденты и прописать порядок 3-часового уведомления.
- Провести внутренний аудит КИИ до плановой проверки ФСТЭК — выявить и устранить нарушения заблаговременно, а не объяснять их на месте.
«Кредо-С» проводит аудит информационной безопасности объектов КИИ и помогает привести защиту в соответствие требованиям 187-ФЗ до прихода регулятора. Обзор обязательств субъектов КИИ — в материале «Критическая информационная инфраструктура». Полный цикл: категорирование → аудит → создание системы безопасности.
