Бесплатная консультация юриста

+7 (800) 301-07-30

Реклама jurik.ru

Проверки Государственной инспекции по информационным технологиям (ГИТ) — в современной терминологии чаще относящиеся к деятельности ФСТЭК России (Федеральной службы по техническому и экспортному контролю) и ФСБ России в рамках государственного контроля (надзора) за обеспечением безопасности критической информационной инфраструктуры (КИИ), государственных информационных систем (ГИС) и персональных данных — являются серьезным испытанием для любой организации. Нарушение установленных требований влечет за собой применение мер ответственности, закрепленных в КоАП РФ (Кодекс об административных правонарушениях) и специальных федеральных законах.

Ниже представлен подробный обзор санкций, их размеров, оснований для наложения и процедур обжалования на .

Нормативная база: за что именно могут наказать

Основные статьи КоАП РФ, по которым выносятся постановления по итогам проверок профильных ведомств (ФСТЭК, ФСБ, Роскомнадзор):

Ст. 13.12 КоАП РФ — Нарушение законодательства в сфере обеспечения безопасности критической информационной инфраструктуры (КИИ).
Ст. 13.12.1 КоАП РФ — Нарушение требований к защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах (ГИС).
Ст. 19.7.12 КоАП РФ — Нарушение законодательства о техническом регулировании (в части средств защиты информации, подлежащих обязательной сертификации).
Ст. 19.7.13 КоАП РФ — Нарушение требований к деятельности по лицензированию отдельных видов деятельности (в части лицензии ФСТЭК на деятельность по защите гостайны/КИИ/ГИС).
Ст. 13.11 КоАП РФ — Нарушение законодательства о персональных данных (проверки Роскомнадзора, но часто идут параллельно).

Важно: Размеры штрафов за нарушения в сфере КИИ и ГИС (ст. 13.12, 13.12.1) установлены в тех же размерах, что и за нарушения в сфере лицензирования деятельности по защите информации (авторизации). Это ключевой момент, подтвержденный судебной практикой и разъяснениями ведомств.

Размеры административных штрафов (актуальные на 2026 год)

Санкции дифференцируются в зависимости от субъекта правонарушения и характера нарушения (первичное / повторное).

Таблица штрафов по ст. 13.12 и 13.12.1 КоАП РФ

Субъект правонарушения	Первичное нарушение	Повторное нарушение
Долностные лица	от 10 000 до 20 000 руб.	от 20 000 до 30 000 руб. (или дисквалификация на срок до 3 лет)
Индивидуальные предприниматели (ИП)	от 50 000 до 100 000 руб.	от 100 000 до 200 000 руб. (или приостановка деятельности до 90 дней)
Юридические лица (Организации)	от 300 000 до 700 000 руб.	от 700 000 до 1 400 000 руб. (или приостановка деятельности до 90 дней)

Особенности начисления:

Верхняя планка: Инспектор имеет право вынести штраф в любом диапазоне. На практике за грубые нарушения (отсутствие модели угроз, отсутствие СЗИ, игнорирование предписаний) часто назначают максимальные суммы (700 тыс. / 1,4 млн руб.).
Повторное нарушение: Признано таковым, если лицо в течение года после вступления в законную силу решения по первому делу совершило аналогичное правонарушение.
Приостановка деятельности: Применяется к ИП и юрлицам за повторные нарушения как альтернатива штрафу (или дополнительно по решению суда). Срок, до 90 дней. Для банков, страховщиков, операторов КИИ это критически опасно.

Типичные нарушения, влекущие санкции

По итогам проверок ГИТ (ФСТЭК/ФСБ) наиболее часто фиксируются следующие проступки:

Отсутствие или несоответствие системы защиты информации (СЗИ) классам защищенности/уровням доверительности. Например, для объекта КИИ 1-й категории требуется 1-й класс защищенности, а реализован 3-й или вообще нет СЗИ.
Отсутствие актуальной Модели угроз / Карты угроз. Документ не разработан, не согласован с ФСТЭК (для КИИ) или не обновлен после изменений в ИС.
Использование несертифицированных средств защиты информации (СЗИ). Применение «коробочных» решений (антивирусы, межсетевые экраны) без сертификата ФСТЭК/ФСБ для защиты ГИС/КИИ/Гостайны (нарушение ст. 19.7.12 КоАП РФ).
Нарушение сроков уведомлений и отчетности. Несвоевременное уведомление ФСТЭК о начале эксплуатации объекта КИИ, об инцидентах безопасности, о введении режимов повышенной готовности.
Отсутствие лицензии ФСТЭК на деятельность по защите информации. Если организация сама строит СЗИ для КИИ/ГИС/Гостайны без лицензии, либо привлекает подрядчика без лицензии (ст. 19.7.13 КоАП РФ — штрафы до 500 тыс. руб. для юрлиц).
Неисполнение предписаний проверяющего органа. Если по итогам прошлой проверки было вынесено предписание устранить нарушения, а оно не исполнено в срок — это отдельное основание для наложения штрафа (часто по ст. 19.5 КоАП РФ — неисполнение законного предписания, штраф до 50 тыс. для юрлиц) плюс повторное нарушение по профильной статье.
Нарушение режима конфиденциальности / режима КИИ. Отсутствие журнала учета инцидентов, несвоевременная реакция на инциденты безопасности.

Процедура наложения штрафа: от акта проверки до постановления

Понимание процедуры позволяет своевременно защитить свои права:

Акт проверки (Акт обследования): Составляется комиссией по итогам выездной/документарной проверки. Подписывается представителями проверяемого лица. Совет: Всегда пишите несогласие в акте или приложите отдельное мнение, если не согласны с выводами.
Предписание об устранении нарушений: Выдается параллельно с актом или после. Устанавливает сроки устранения (обычно 30–60 дней). Исполнение предписания — обязательное условие для избежания квалификации «повторное нарушение» в будущем.
Протокол об административном правонарушении: Составляется уполномоченным должностным лицом (инспектором ФСТЭК/ФСБ). Срок составления — в течение 3 месяцев со дня обнаружения нарушения (ст. 28.5 КоАП РФ), но не позднее 2 лет со дня совершения.
Рассмотрение дела: Дело рассматривает уполномоченное должностное лицо (часто начальник территориального органа ФСТЭК или ФСБ) или суд (если штраф > 100 тыс. руб. для юрлиц или заявляется приостановка деятельности — исключительная компетенция суда).
Постановление: Вступает в силу через 10 дней после выдачи/направления, если не обжаловано.

Как обжаловать и снизить риски (Защита организации)

Основания для обжалования (ст. 30.1 – 30.7 КоАП РФ):

Процедурные нарушения: Нарушение сроков проверки, отсутствие полномочий у инспектора, неправильный состав комиссии, несвоевременное вручение копий документов.
Суть нарушения: Доказательство того, что СЗИ соответствует требованиям (предоставление сертификатов, протоколов испытаний, актуальной модели угроз), но документы не были рассмотрены комиссией.
Отсутствие вины: Нарушение произошло вследствие непреодолимой силы или действия третьих лиц (сложно доказать, но возможно).
Несоразмерность наказания: Просьба назначить минимальный штраф с учетом финансового положения, отсутствия умысла, принятия мер по устранению до суда.

Сроки обжалования:

10 дней со дня вручения копии постановления (в судебном порядке — в районный суд по месту нахождения органа, вынесшего постановление, или по месту совершения правонарушения). Подача жалобы не приостанавливает исполнение постановления (кроме случаев, когда суд принимает иное решение).

Практические шаги по минимизации санкций:

Активное сотрудничество на этапе проверки: Предоставляйте полный пакет документов (Модель угроз, Паспорт СЗИ, Сертификаты соответствия, Журналы учета, Акты внедрения).
Исправление «на лету»: Если нарушение формальное (например, не подписан журнал, отсутствует справка о обучении персонала), устраните его до составления протокола и требуйте отразить это в акте.
Исполнение предписания в срок: Это исключает квалификацию «повторное нарушение» при следующей проверке.
Аудит готовности (Pre-audit): Проведение внутреннего аудита или привлечение экспертной организации по лицензии ФСТЭК за 1–2 месяца до плановой проверки;
Юридическое сопровождение: Присутствие юриста, специализирующегося на ИБ и КоАП, при составлении протокола и рассмотрении дела.

Дополнительные риски: за пределами КоАП

Кроме административных штрафов, нарушения при проверке ГИТ несут иные последствия:

Уголовная ответственность (ст. 274.1 УК РФ): Неисполнение предписания органа государственного контроля (надзора) в сфере безопасности КИИ, если это создало угрозу тяжких последствий. Наказание, штраф до 500 тыс. руб., принудительные работы, арест, лишение свободы до 2 лет (до 5 лет при тяжких последствиях).
Гражданско-правовая ответственность: Взыскание ущерба, причиненного инцидентом безопасности, который произошел из-за неисполнения требований защиты.
Репутационные риски и исключение из реестров: Внесение в реестр недобросовестных поставщиков/подрядчиков (при наличии вменяемых нарушений), потеря лицензии ФСТЭК (для лицензиатов), сложности с получением госзаказов (223-ФЗ, 44-ФЗ).
Приостановка лицензии ФСТЭК: Если нарушения выявлены у лицензиата (организации, оказывающей услуги по защите информации), ФСТЭК может приостановить лицензию на срок до 6 месяцев.

Резюме: чек-лист для руководителя ИБ и генерального директора

✅ Ключевые действия для предотвращения штрафов 700 000 – 1 400 000 руб.:

Наличие актуальной Модели угроз (согласованной с ФСТЭК для КИИ).
Развернутая СЗИ, соответствующая классу защищенности (1–4 для КИИ, УД 1–4 для ГИС).
Все СЗИ имеют действующие сертификаты ФСТЭК/ФСБ.
Организация или подрядчик имеют лицензию ФСТЭК на соответствующую деятельность;
Своевременные уведомления ФСТЭК (о вводе в эксплуатацию, инцидентах, режимах).
Ведение журналов учета инцидентов и реакции на них.
Проведение обучения персонала по вопросам ИБ с фиксацией в журналах/протоколах.
Исполнение всех предписаний прошлых проверок с отчетностью в ведомство.

Данная статья носит информационный характер и не является правовой консультацией. Законодательство может меняться. Для решения конкретных вопросов обратитесь к квалифицированному юристу по информационному праву.