Современный российский бизнес функционирует в условиях ужесточающегося регулирования информационной безопасности (ИБ). Ключевые надзорные органы – ФСТЭК России, ФСБ и Роскомнадзор – устанавливают обязательные требования, нарушение которых влечет значительные штрафы и репутационные риски. Ниже представлен обзор актуальных нормативных актов (по состоянию на ) и практические рекомендации по их соблюдению.

Основные регуляторные требования в 2025 году

• Федеральный закон № 187‑ФЗ «О безопасности критической информационной инфраструктуры» (вступил в силу 2018 г.) – обязателен для операторов КИИ.
• Приказ ФСТЭК России № 117 от «Требования о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений».
• План профилактических визитов Роскомнадзора на 2026 год – более 1000 операторов персональных данных подлежат обязательной проверке.

Федеральный закон 187‑ФЗ: суть и обязательства

Закон направлен на защиту критической информационной инфраструктуры (КИИ), к которой относятся объекты энергетики, транспорта, связи, финансов и др. Основные положения:

1. Определение объекта КИИ и включение его в реестр, ведомый ФСТЭК.
2. Обязанность проводить регулярный аудит защищённости информационных систем (не реже одного раза в год).
3. Внедрение системы обнаружения и предотвращения вторжений (IDS/IPS) и средств криптографической защиты.
4. Ежегодное предоставление отчёта о выполнении требований в ФСТЭК.
5. Ответственность за несоблюдение – штрафы от 500 000 до 5 000 000 рублей, а также возможное приостановление деятельности объекта КИИ.

Приказ ФСТЭК России № 117 от

Документ уточняет технические и организационные меры защиты информации в государственных и смежных секторах. Ключевые пункты:

• Обязательное использование сертифицированных средств защиты информации (СЗИ), включённых в реестр ФСТЭК.
• Внедрение модели угроз на основе Базы данных угроз (БДУ) – требование методики 2021 года, актуализированной в 2024 г.
• Проведение периодического сканирования уязвимостей (не реже квартально) и своевременное применение патчей.
• Обеспечение разделения полномочий и принципа наименьших привилегий при доступе к информации.
• Ведение журнала событий безопасности и хранение журналов не менее 12 мес.

Роль ключевых ведомств в надзоре за ИБ

ФСТЭК России

Основной регулятор в области защиты государственной информации и КИИ. Выполняет функции:

• Утверждения нормативных актов и методических рекомендаций.
• Проведения проверок и выдачи предписаний.
• Ведения реестра объектов КИИ и сертифицированных СЗИ.

Федеральная служба безопасности (ФСБ)

Контролирует соблюдение требований по защите сведений, составляющих государственную тайну, а также участвует в расследовании киберинцидентов высокой значимости.

Роскомнадзор

Надзор за обработкой персональных данных. В 2026 году утверждён перечень более 1000 операторов, которым будут проведены обязательные профилактические визиты. Основные требования:

• Наличие актуальной политики конфиденциальности и внутренних регламентов по обработке ПДн.
• Обеспечение шифрования персональных данных при хранении и передаче.
• Назначение ответственного за защиту персональных данных (ДПД) и проведение обучения персонала.
• Ведение журнала операций с ПДн и обеспечение возможности предоставления информации субъектам данных по их запросу.

Юридические рекомендации для бизнеса

Чтобы минимизировать риски штрафов и обеспечить соответствие надзорным требованиям, рекомендуется следовать следующему алгоритму:

1. Определить категорию объекта (КИИ, ГИС, оператор ПДн и т.д.) и соответствующий нормативный акт.
2. Провести внутренний аудит соответствия текущих ИБ‑мер требованиям выбранного закона/приказа (можно привлечь внешних аудиторов, аккредитованных ФСТЭК).
3. Разработать и утвердить внутренние политики:
   • Политика информационной безопасности;
   • Политика защиты персональных данных;
   • План реагирования на инциденты (IRP).
4. Внедрить технические средства защиты:
   • Сертифицированные СЗИ (КриптоПро, ViPNet и др.) в соответствии с реестром ФСТЭК;
   • Системы обнаружения вторжений (IDS/IPS) и защиты от DDoS;
   • Резервное копирование и план восстановления после аварии (DRP).
5. Обеспечить обучение и повышение квалификации персонала (минимум один раз в год) с акцентом на:
• Основы защиты информации;
• Требования конкретного регулятора;
• Правила обработки ПДн.
6. Вести документацию:
   • Журналы событий безопасности (SIEM);
   • Отчёты о проведённых аудитах и тестах на проникновение;
   • Акты о введении в эксплуатацию СЗИ;
   • Планы мероприятий по устранению выявленных недостатков.
7. Подготовиться к профилактическим визитам:
   • Обеспечить доступ к запрашиваемым документам;
   • Назначить ответственного за взаимодействие с надзорным органом;
   • Провести внутреннюю проверку за 2‑3 недели до визита.

Ответственность за нарушения

В зависимости от характера нарушения и ведомства, осуществляющего надзор, применяются следующие меры:

• ФСТЭК – штрафы от 300 000 до 3 000 000 рублей за несоблюдение требований к КИИ; при повторных нарушениях – приостановление деятельности объекта КИИ на срок до 90 дней.
• ФСБ – штрафы до 4 000 000 рублей за нарушение режима секретности; возможное возбуждение уголовного дела при утечке сведений, составляющих государственную тайну.
• Роскомнадзор – штрафы от 60 000 до 500 000 рублей за нарушение законодательства о персональных данных; при грубых нарушениях – приостановление обработки ПДн на срок до 6 месяцев.

Эффективный надзор в сфере информационной безопасности требует комплексного подхода: от правового анализа и классификации объекта до внедрения технических средств и постоянного обучения персонала. Соблюдение перечисленных выше рекомендаций позволит не только избежать штрафов, но и повысить уровень защищённости информации, что в условиях растущей киберугрозы становится критически важным конкурентным преимуществом любого предприятия.