В условиях тотальной цифровизации экономики и государственного управления надзор в сфере информационных технологий (ИТ) и защиты персональных данных перестал быть исключительно технической функцией․ Сегодня это комплексный правовой и организационный механизм, направленный на обеспечение национальной безопасности, прав граждан и устойчивости бизнеса․ Статья рассматривает ключевые особенности такого надзора в Российской Федерации, опираясь на актуальное законодательство и практику применения․

Нормативно-правовая база: многоуровневая система регулирования

Российская модель надзора отличается жесткой вертикалью власти и секторным подходом․ Основные правовые акты формируют «слоеный пирог» требований:

• Федеральный закон № 152-ФЗ «О персональных данных», базовый документ, определяющий права субъектов, обязанности операторов и полномочия Роскомнадзора․
• Федеральный закон № 149-ФЗ «Об информации, информационных технологиях и о защите информации» — регулирует деятельность по распространению информации, в т․ч․ требования к локализации данных (ст․ 18․1)․
• Федеральный закон № 187-ФЗ «О безопасности критической информационной инфраструктуры (КИИ) Российской Федерации», вводит специальный режим защиты для объектов КИИ (банки, энергетика, связь, госорганы и др;)․
• Федеральный закон № 374-ФЗ «О суверенном интернете» (поправки к 149-ФЗ и Закону о связи) — устанавливает требования к устойчивости Рунета, средствам противодействия угрозам и централизованному управлению трафиком в критических ситуациях․
• Постановления Правительства и подзаконные акты ФСТЭК, ФСБ, Роскомнадзора, Банка России — детализируют технические требования (средства защиты информации, модели угроз, категории защищенности)․

Специфика extraterриториального действия

Важнейшая особенность современного российского права — экстерриториальность․ Согласно ст․ 11․1 ФЗ-152 и ст․ 18․1 ФЗ-149, обязанности по локализации баз данных и соблюдению прав субъектов распространяются на иностранные компании, обрабатывающие данные граждан РФ, даже если у них нет юрлица в России․ Надзор за такими компаниями осуществляется через внесение в реестр нарушителей (п․ 5․1 ст․ 18․1 ФЗ-149) с последующей блокировкой доступа к ресурсам на территории РФ․

Субъекты надзора: кто и за чем отвечает

В России нет единого «супер-регулятора» ИТ․ Функции распределены между ведомствами по отраслевому и функциональному признакам:

Формы и методы реализации надзора

Плановые и внеплановые проверки

С 2021 года (ФЗ-248) введен «режим тишины» для малого и среднего бизнеса (плановые проверки запрещены до 2030 г․, за исключением КИИ и высокорисковых сфер)․ Однако внеплановые проверки по обращениям граждан, сообщениям СМИ или данным о утечках данных проводятся активно․ Особенность: проверки часто носят комплексный характер (одновременно ПДн + КИИ + лицензирование)․

Профилактика и «мягкая сила»

Роскомнадзор и ФСТЭК активно используют профилактические меры:

• Направление предупреждений о недопустимости нарушений (ст․ 19․1 ФЗ-152)․
• Проведение профилактических визитов (без составления акта проверки)․
• Публикация разъяснений, рекомендаций, чек-листов (например, по оформлению согласия, назначению ответственного за ПДн, оценке рисков)․

Технический надзор и автоматизация

• СОРМ (Система оперативно-разыскных мероприятий): Обязательное оснащение оборудованием для предоставления спецслужбам доступа к трафику и метаданным абонентов (провайдеры связи, хостинг, мессенджеры)․
• ГосСОПКА: Автоматизированный обмен данными об инцидентах․ Субъекты КИИ обязаны передавать события ИБ в НЦКИ (Национальный координационный центр) в режиме реального времени․
• Реестры: Реестр операторов ПДн, реестр нарушителей закона о локализации, реестр КИИ, реестр сертифицированных средств ЗИ․ Надзор ведется за актуальностью записей в этих реестрах․

Ключевые тренды и «болезненные точки» практики

Жесточайшая ответственность за утечки и нарушение локализации

Штрафы за нарушение ст․ 18․1 ФЗ-149 (локализация) для повторных нарушений — до 18 млн рублей (или 1-6% от выручки в РФ по проектам законов)․ За утечки ПДн (ст․ 13․11 КоАП) — до 15 млн руб․ за повторное нарушение․ Практика показывает рост сумм штрафов и переход к применению максимальных санкций․

Требования к трансфертным механизмам (передача данных за рубеж)

После принятия поправок к ФЗ-152 (вступ․ в силу с ) передача ПДн за границу возможна только при наличии адекватной защиты (решение Роскомнадзора о стране) или заключения стандартизированного договора (утвержден Роскомнадзором) / корпоративных правил (Binding Corporate Rules)․ Надзор за соблюдением процедуры трансфера усилился․

Импортозамещение как объект надзора

Для субъектов КИИ и госорганов переход на российский софт (Единый реестр российских программ) становится обязательным (Постановление № 1800, указы Президента)․ Проверки включают верификацию отсутствия запрещенного ПО (ИБП, СУБД, ОС, средства защиты) и соответствия профилям защищенности․

Инцидент-менеджмент и обязательное уведомление

Операторы ПДн обязаны уведомлять Роскомнадзор и субъектов о нарушении безопасности ПДн в течение 24 часов (п․ 5 ст․ 22 ФЗ-152)․ Субъекты КИИ — уведомлять НЦКИ ФСТЭК о компьютерных инцидентах по регламенту ГосСОПКА․ Неуведомление — отдельный состав правонарушения․

Организационные меры: что проверяют в первую очередь

При любой проверке (документальной или выездной) инспекторы запрашивают «пакет документов ИБ»․ Отсутствие любого элемента — основание для предписания и штрафа:

1. Локальный нормативный акт (ЛНА) по защите ПДн / Политика ИБ․
2. Приказ о назначении ответственного за защиту ПДн / Ответственного за ИБ (КИИ)․
3. Модель угроз (для КИИ — утвержденная ФСТЭК/ФСБ; для остальных — своя)․
4. Перечень информационных систем, содержащих ПДн / КИИ․
5. Карта обработки ПДн (жизненный цикл: сбор, хранение, передача, уничтожение)․
6. Оценка рисков / Анализ защищенности (протокол испытаний СЗИ)․
7. Сертифицированные средства ЗИ (СКЗИ, МЭ, антивирусы, СИЭМ, DLP, WAF) — соответствие профилю защищенности (1-4 кл․ для ПДн, 1-3 кл․ для КИИ)․
8. Журналы учета (доступов, инцидентов, работ с СЗИ, обучения персонала)․
9. Договоры с подрядчиками (с условиями защиты ПДн, ст․ 28 ФЗ-152)․
10. План реагирования на инциденты (Incident Response Plan)․

Специфика надзора в отраслях (секторный подход)

• Финансовый сектор (ЦБ РФ): Самый строгий надзор․ Требования 823-П (СОС ИБ), обязательное участие в ФИНЦЕРТ, событийный мониторинг, пентесты раз в год, защита платежных данных (PCI DSS по аналогии)․
• Критическая инфраструктура (КИИ): Двойной контур: ФСТЭК (техзащита, режимы) + ФСБ (криптозащита, СОРМ) + ГосСОПКА (мониторинг)․ Категории значимости (1-3) определяют жесткость мер․
• Медицина (ЕМИАС, ЭМК): Строгие требования к ИС ПДн (3-й класс защищенности минимум), интеграция с ЕГИСЗ, контроль за доступом врачей/страховых․
• Телеком и IT-гиганты: Фокус на локализации (18․1 ФЗ-149), СОРМ, удалении запрещенной информации, борьбе с фишингом/спамом․

Перспективы развития надзора (2024–2026 гг․)

1. Цифровизация надзора: Развитие АИС «Надзор» Роскомнадзора, автоматическая проверка реестров, сканирование открытых портов и уязвимостей регуляторами без визита на объект․
2. Расширение понятия «Персональные данные»: Включение биометрии, данных геолокации, куков/ID устройств в строгий режим защиты․
3. Регулирование ИИ и Big Data: Появление требований к прозрачности алгоритмов, этике ИИ, защите обучающих выборок (законопроекты по ИИ)․
4. Усиление уголовной ответственности: Статьи 272, 273, 274 УК РФ применяются активнее к инсайдерам и хакерским группам; обсуждается введение ответственности за недобросовестное проектирование ИБ․
5. Международное сотрудничество: Работа в формате БРИКС, ШОС, СНГ по взаимному признанию адекватности защиты и प्रत्यделению киберпреступников․

Надзор в сфере ИТ и защиты данных в России эволюционировал из формальной проверки наличия бумаг в непрерывный процесс управления рисками кибербезопасности․ Ключевые особенности текущей модели:

• Многоагентность (Роскомнадзор + ФСТЭК + ФСБ + Отраслевые регуляторы)․
• Техническая привязка (сертифицированные СЗИ, ГосСОПКА, СОРМ, отечественный софт)․
• Высокая ценность ошибки (миллионные штрафы, блокировки, уголовные дела)․
• Обязательность инцидент-менеджмента (уведомление за 24 часа)․

Для бизнеса и госсектора единственная устойчивая стратегия, переход от «подготовки к проверке» к построению зрелой системы управления ИБ (СУИБ) по стандартам серии ISO 27001 / ГОСТ Р ИСО/МЭК 27001 с учетом российских специфических требований (ФСТЭК, ФСБ, 152-ФЗ)․ Только системный подход позволяет не просто «пройти проверку», а реально защитить активы и обеспечить непрерывность бизнеса в условиях современных угроз․

Данная статья носит информационный характер и не является правовой консультацией․ Законодательство меняется; для принятия управленческих решений обращайтесь к актуальным текстам законов и квалифицированным юристам/аудиторам ИБ․