На 08 марта 2026 года правовое регулирование информационной безопасности (ИБ) в Российской Федерации переживает одну из самых масштабных трансформаций за последнее десятилетие․ Для юриста‚ сопровождающего бизнес или госсектор‚ понимание механики проверок (инспекций) со стороны регуляторов — ФСТЭК России‚ ФСБ России и Роскомнадзора — перестает быть просто теоретической задачей․ Это вопрос выживания клиента в условиях жесткого комплаенса‚ уголовной ответственности и рисков остановки деятельности․

Ниже представлен подробный разбор ключевых аспектов‚ которые юрист обязан учитывать при подготовке к инспекциям‚ их прохождении и обжаловании результатов․

Архитектура надзора: кто‚ что и зачем проверяет

Система государственного контроля в сфере ИБ триада․ Каждый регулятор имеет свою «зону ответственности»‚ хотя на практике они часто пересекаются․

ФСТЭК России (Федеральная служба по техническому и экспортному контролю)

• Ключевой мандат: Обеспечение безопасности Критической информационной инфраструктуры (КИИ) (187-ФЗ)‚ защита гостайны‚ лицензирование и аттестация деятельности по технической защите конфиденциальной информации‚ сертификация средств защиты информации (СЗИ) без использования криптографии․
• Основные проверки:
  • Соответствие объектов КИИ категориям значимости (Постановление № 1119)․
  • Наличие и актуальность модели угроз‚ профиля безопасности‚ комплекса мер защиты․
  • Внедрение мер по Приказу ФСТЭК № 239 (организационные и технические меры для КИИ)․
  • Проверка лицензий на деятельность по технической защите конфиденциальной информации и аттестатов на соответствие объектов ИБ требованиям․
• Важное изменение 2026 года: С 1 марта 2026 года утратил силу привычный Приказ ФСТЭК от № 21 (порядок оценки соответствия)․ На смену ему пришли новые нормативные акты‚ переориентированные на процессный подход и непрерывный мониторинг‚ а не разовую аттестацию․

ФСБ России (Федеральная служба безопасности)

• Ключевой мандат: Криптографическая защита информации․ Сертификация средств криптографической защиты информации (СКЗИ)‚ управление ключами‚ контроль алгоритмов шифрования‚ лицензирование деятельности по работе с гостайной (в части криптографии)‚ защита КИИ (взаимодействие с ФСТЭК)․
• Основные проверки:
  • Наличие лицензии ФСБ на деятельность по разработке/производству/реализации СКЗИ (если применимо)․
  • Использование только сертифицированных СКЗИ для защиты ПДн‚ гостайны‚ информации в КИИ․
  • Порядок управления ключевой информацией (генерация‚ хранение‚ распределение‚ уничтожение ключей)․
  • Проверка соответствия применяемой криптографии актуальным алгоритмам (ГОСТ Р 34․10-2012‚ ГОСТ Р 34․11-2012 и др․)․

Роскомнадзор (Федеральная служба по надзору в сфере связи‚ информационных технологий и массовых коммуникаций)

• Ключевой мандат: Защита персональных данных (152-ФЗ)‚ безопасность критической информационной инфраструктуры (взаимодействие)‚ контроль за локализацией баз данных ПДн‚ блокировка ресурсов․
• Основные проверки:
  • Наличие уведомления об обработке ПДн (до 2022 г․) / учета в реестре операторов ПДн․
  • Соответствие обработки ПДн требованиям 152-ФЗ и подзаконных актов (Приказ ФСТЭК № 21/Приказ ФСБ — сейчас новые акты 2025-2026 гг․)․
  • Обеспечение прав субъектов ПДн (согласие‚ доступ‚ удаление)․
  • Локализация баз данных с ПДн граждан РФ на территории РФ․
  • Уведомление об инцидентах безопасности (утечках ПДн) в установленные 24-часовые сроки․

Классификация проверок: плановые‚ внеплановые и «скрытые»

Юрист должен четко отличать правовые основания каждого типа проверки‚ так как от этого зависят права проверяемого лица и процедура обжалования․

Ключевые правовые риски и «подводные камни» 2026 года

Трансформация требований к защите ПДн (152-ФЗ + ФСТЭК/ФСБ)

Соотношение 152-ФЗ и требований ФСТЭК/ФСБ остаеться ядром комплаенса․ В 2025–2026 гг․ произошла консолидация требований:

• Ушли в прошлое раздельные чек-листы для «персональных данных» и «КИИ»․ Единый подход: модель угроз -> профиль безопасности -> меры защиты․
• Приказ ФСТЭК № 239 (в новой редакции 2025/2026 гг․) задает жесткие организационные (регламенты‚ политика‚ должностные инструкции) и технические меры (МФА‚ шифрование‚ контроль доступа‚ SIEM/СОАР‚ защита от вредоносного ПО)․
• Обязательная техническая оценка ИСПДн (Информационных систем персональных данных) с определением класса по Постановлению № 1119 и оценкой угроз на базе моделей ФСТЭК․

Контроль цепочек поставок (Supply Chain Security)

Согласно новинкам 2025–2026 гг․ (в т․ч․ Постановления Правительства по КИИ)‚ операторы КИИ и значимые объекты обязаны:

• Проводить досье на поставщиков ПО и оборудования (проверка на связь с недружественными юрисдикциями‚ наличие бэкдоров)․
• Обеспечивать контроль целостности поставляемого ПО (хеш-суммы‚ ЭЦП разработчика‚ SBOM — Software Bill of Materials)․
• Исключать использование ПО с уязвимостями‚ для которых нет обновлений (EOL/EOS)․

Роль юриста: Прописать в договорах с подрядчиками/поставщиками обязательства по предоставлению SBOM‚ уведомлению об инцидентах‚ допуску к аудиту кода‚ ответственности за внедрение уязвимостей․

Удаленные проверки и цифровой след

Несмотря на положения о невозможности удаленной аттестации (лицензирования)‚ сами надзорные мероприятия (камеральные проверки‚ запрос документов через ЕИС‚ ГИС «Защита ПДн»‚ портал Госуслуг) проводятся удаленно․

• Инспекторы анализируют публичные источники (сайт компании‚ HeadHunter — наличие ИБ-специалистов‚ GitHub — утечки кода/ключей‚ Darknet — утечки ПДн)․
• Любая расхожесть между декларируемой политикой ИБ и реальностью (например‚ в политике написано «МФА везде»‚ а на портале админа — только пароль), повод для внеплановой выездной проверки․

Алгоритм действий юриста: До / Во время / После проверки

Этап 1: Подготовка (Постоянный режим — Continuous Compliance)

1. Актуализация реестра активов: Какие ИС‚ ПДн‚ КИИ‚ гостайна есть․ Где хранятся‚ кто админит‚ какие СЗИ/СКЗИ стоят (актуальные сертификаты ФСТЭК/ФСБ)․
2. Документальный след (Evidence Base): Приказы по назначению ответственных‚ политики‚ регламенты‚ журналы учета инцидентов‚ протоколы обучений‚ акты инвентаризации‚ отчеты СКЗИ/СЗИ‚ логи SIEM (хранение минимум 1 год‚ для КИИ — 3 года)․
3. Аудит договоров: Наличие условий об ИБ в договорах с подрядчиками (аутсорсинг ИТ‚ облака‚ колокация)․ Проверка лицензий у подрядчиков (ФСТЭК‚ ФСБ)․
4. Моделирование инцидентов (Table-top exercises): Регулярные учения по реагированию․ Наличие отработанного плана реагирования — митигирующее обстоятельство при проверке Роскомнадзора после утечки․

Этап 2: Во время выездной проверки

• Проверка полномочий: Требуйте предъявить служебное удостоверение‚ предписание/постановление о проверке (копию)․ Проверьте дату‚ основание‚ состав комиссии‚ перечень запрашиваемых документов․
• Назначение координатора: Один юрист/ИБ-специалист — единая точка контакта․ Никаких разговоров «на кухне» без координатора․
• Порядок предоставления документов: Только против подписи в журнале учета предоставленных документов (или по акту изъятия копий)․ Не давайте оригиналы‚ если не требуют по закону․ Электронные носители — только через акту изъятия с указанием хеш-сумм файлов․
• Доступ к системам: Инспекторы ФСТЭК/ФСБ имеют право требовать демонстрации работы СЗИ/СКЗИ (консолей управления‚ логов)․ Юрист должен контролировать: доступ дает только админ ИБ под наблюдением‚ действия протоколируются (экранная запись)‚ не дается доступ к данным‚ не связанным с проверкой (коммерческая тайна‚ тайна связи‚ врачебная тайна)․
• Опрос сотрудников: Инспекторы могут опрашивать админов‚ ИБ-специалистов․ Совет: Провести предварительный инструктаж: отвечать по существу‚ не гадать‚ «не знаю — скажу‚ что уточню и дам письменный ответ»‚ не подписывать протоколы опроса без чтения․

Этап 3: Работа с результатами (Акт‚ Предписание‚ Протокол об АП)

• Акт проверки: Изучить в срок до 10 дней (или иной‚ установленный законом)․ Готовить мотивированные возражения по каждому пункту․ Ссылаться на нормы закона‚ судебную практику‚ техническую невозможность/нецелесообразность меры․
• Предписание об устранении нарушений: Обязательно к исполнению‚ если не обжаловано․ Сроки исполнения — реалистичные? Требования — пропорциональные риску? Можно ходатайствовать об отсрочке/рассрочке (ст․ 22 294-ФЗ)․
• Протокол об административном правонарушении (КоАП РФ ст․ 13․11‚ 19․7․1-19․7․10‚ 20․25 и др․): Составляется отдельно․ Юрист должен участвовать в составлении‚ вписывать позицию защиты‚ требовать прикрепления материалов дела․ Обжалование в вышестоящее ведомство или суд — 10 дней․

Судебная практика и позиции регуляторов (тренды 2025–2026)

Анализ судебной практики показывает ключевые векторы‚ которые юрист должен использовать в защите:

1. Пропорциональность наказания: Суды все чаще отменяют штрафы за «формальные» нарушения (нет приказа о назначении ответственного‚ но ИБ обеспечена технически)‚ если не доказана реальная угроза утечки․ Позиция: «Нарушение не создавало реальной угрозы безопасности»․
2. Доказательство вины: Регулятор должен доказать‚ что нарушение совершено умышленно или по неосторожности․ Отсутствие бюджета на закупку сертифицированного СКЗИ — не вина ИБ-специалиста‚ а риск управления компании․
3. Использование несертифицированных СЗИ/СКЗИ: Жесткая позиция ФСБ/ФСТЭК: использование «коробочных» решений без сертификата (OpenSSL без сертификата ФСБ‚ самописное шифрование), грубое нарушение․ Даже если защита «работает»․
4. Инциденты и утечки: Отсутствие уведомления Роскомнадзора/субъектов ПДн за 24 часа — автоматический протокол (ст․ 19․7․1 КоАП)․ Наличие отработанного IR-плана и факта уведомления — основание для минимизации штрафа․
5. КИИ: Отсутствие модели угроз / профиля безопасности — самая частая статья предписаний ФСТЭК․ Документы должны быть «живыми» (версионирование‚ даты обновления при изменении инфраструктуры)․

Чек-лист «Express-аудит» для юриста перед визитом инспектора

Резюме: Новая роль юриста ИБ, «Legal Engineer»

В 2026 году юрист в сфере ИБ не может ограничиваться чтением законов․ Он должен:

• Понимать техническую архитектуру защищаемых систем (чтобы отличать реальную меру защиты от «бумажной»)․
• Уметь переводить технические риски на язык правовых последствий (штрафы‚ уголовка‚ остановка бизнеса) для топ-менеджмента․
• Строить доказательную базу (Legal Evidence) заранее: логи‚ акты‚ скриншоты‚ версии конфигов‚ подписанные регламенты, это единственный язык‚ который понимают инспекторы и суды․
• Следить за динамикой подзаконного регулирования (Приказы ФСТЭК‚ ФСБ‚ Постановления Правительства‚ Методики ФСТЭК) — они меняются быстрее законов․

Главное правило: Инспекция — это не экзамен‚ который можно «сдать» за одну ночь․ Это аудит зрелости процессов управления ИБ․ Задача юриста — обеспечить‚ чтобы процессы были зрелыми‚ документированными и защищаемыми в суде каждый день‚ а не только в день прихода проверяющих․

Данная статья подготовлена на основе актуального на года законодательства (152-ФЗ‚ 187-ФЗ‚ 294-ФЗ‚ КоАП РФ‚ УК РФ)‚ нормативных актов ФСТЭК России (в т․ч․ Приказ № 239‚ новые акты 2025-2026 гг․)‚ ФСБ России и Роскомнадзора‚ а также судебной практики; Рекомендуеться верифицировать конкретные номера и даты приказов на официальных сайтах регуляторов перед применением в работе․