Дата публикации: 02 августа 2026 г. | Автор: Аналитический центр
2026 год стал переломным моментом в системе административного надзора в Российской Федерации. Регуляторы окончательно ушли от модели «плановых проверок раз в три года» к непрерывному, автоматизированному и рискоориентированному контролю. Ключевым драйвером изменений стало стремление государства к обеспечению технологического суверенитета и защите критической информационной инфраструктуры (КИИ) на фоне внешних вызовов и внутренней цифровизации экономики.
Главное изменение года, смена парадигмы: надзорные органы (Роскомнадзор, ФСТЭК, ФСБ, Прокуратура) переходят от выборочных проверок к системным и массовым мониторингам с использованием цифровых платформ и межведомственного обмена данными.
Роскомнадзор: рискоориентированная модель и автоматический мониторинг
Обновленная классификация рисков (Постановление № 1286)
С 5 сентября 2025 года вступил в силу обновленный механизм присвоения категорий риска операторам персональных данных (ПП РФ № 1046 в ред. Постановления № 1286). В 2026 году это напрямую определяет, кого будут проверять планово, а кто попадет в поле зрения только при жалобах или инцидентах.
- Категория А (Высокий риск): Госсектор, КИИ, биометрия, большие объемы ПДн, межграничная передача. Плановые проверки ежегодны.
- Категория Б (Значительный риск): Медорганизации, финансы, телеком, большие ритейлеры. Плановые проверки — раз в 2 года.
- Категория В (Умеренный риск): Малый и средний бизнес с обработкой ПДн клиентов/сотрудников. Плановые проверки, раз в 3 года (или отсутствуют при отсутствии нарушений).
- Категория Г (Низкий риск): ИП без сотрудников, обработка только открытых данных. Исключены из плановых проверок.
Важно: С 1 января 2026 года Роскомнадзор применяет новые критерии присвоения категорий. Пересчет категорий происходит автоматически на основе данных реестров и отчетности. Компании могут проверить свою категорию по ИНН на сайте ведомства.
Автоматизированный контроль сайтов и доменов
В 2026 году Роскомнадзор масштабировал использование автоматических сканеров для мониторинга веб-ресурсов. Процент выявленных нарушений вырос в разы за счет исключения человеческого фактора на этапе первичного отбора.
Чек-лист автоматического контроля (что боты проверяют в первую очередь):
- Наличие и актуальность политики конфиденциальности (п. 2 ст. 18.1 Закона № 152-ФЗ).
- Наличие согласия на обработку ПДн перед формами сбора данных.
- Идентификация оператора (ИНН, ОГРН, адрес, email) в футере/разделе «Контакты».
- Соответствие доменного имени законодательству (запрет на введение в заблуждение, защита прав РОССИЙСКОЙ ФЕДЕРАЦИИ).
- Наличие возрастной метки (18+, 16+ и т.д.) для контентных проектов.
- Работоспособность формы обращения субъекта ПДн (ст. 21 Закона № 152-ФЗ).
Риск: Автоматическое выявление нарушения генерирует предписание или протокол без визита инспектора. Игнорирование ведет к штрафам до 20 млн руб. (ч. 5 ст. 13.11 КоАП РФ) и блокировке ресурса.
Лицензирование и новые административные регламенты
Приказ Роскомнадзора от № 8 утвердил новый Административный регламент по лицензированию деятельности в области связи. Ужесточены требования к:
- Квалификации ключевого персонала;
- Наличию собственного оборудования (для определенных видов связи);
- Готовности к взаимодействию с ГосСОПКА и системами технических средств защиты информации (СТЗИ).
Критическая информационная инфраструктура (КИИ): расширение периметра ответственности
Поправки к 187-ФЗ: ответственность подрядчиков
Федеральный закон № 187-ФЗ «О безопасности КИИ РФ» получил значительные поправки, вступающие в силу в 2025–2026 гг. Главный тренд 2026 года — распространение требований по безопасности КИИ на подрядчиков, включая ИТ-поставщиков, разработчиков ПО и интеграторов.
Теперь владелец объекта КИИ несет ответственность не только за свой периметр, но и за безопасность цепочки поставок (Supply Chain Security).
Эволюция мониторинга: от отчетов к непрерывному контролю
Согласно экспертным данным (Хабр, Компьютерра), в 2025–2026 гг. произошел переход:
- Было: Годовая отчетность по результатам категорирования, аудита, инцидентов.
- Стало: Автоматизация контроля и непрерывность взаимодействия с государственными системами (ГосСОПКА, ЕРПИИ).
Внедряются требования к непрерывной валидации средств защиты информации (СЗИ) и передаче телеметрии в реальном времени. Формальный отчет «для галочки» больше не работает — регулятор видит картину онлайн.
План проверок на 2026 год: приоритеты и график
Роскомнадзор утвердил план проверок на 2026 год. Ключевые приоритеты плановых и внеплановых мероприятий:
| Направление надзора | Ключевые триггеры проверки | Макс. штраф (юридические лица) |
|---|---|---|
| Персональные данные (152-ФЗ) | До 20 млн руб. (ч. 5 ст. 13.11 КоАП РФ) | |
| КИИ / 187-ФЗ | До 1 млн руб. + приостановка деятельности (ст. 19.7.12 КоАП РФ) | |
| Связь / Лицензирование | До 500 тыс. руб. + конфискация оборудования | |
| Интернет-ресурсы / Домены | До 4 млн руб. (повторное) + блокировка |
Мораторий на проверки МСБ: Напоминаем, что для малого и среднего бизнеса (кроме категории А/Б риска) действует мораторий на плановые проверки до конца 2026 года. Однако он не распространяется на:
- Внеплановые проверки (жалобы, инциденты, поручения Президента/Правительства/Прокуратуры);
- Профилактические визиты (без составления акта);
- Автоматизированный мониторинг (он не считается «проверкой» в понимании Кодекса об административном надзоре).
Подготовка бизнеса: стратегия «Выжить и Процветать»
Аудит категории риска и «Цифровой гигиены»
Первый шаг в 2026 году, проверить свою категорию риска по ИНН на сайте Роскомнадзора. Если вы попали в А/Б — готовьтесь к плановой проверке в текущем году. Если В/Г — фокусируйтесь на устранении триггеров для внеплановых проверок (жалоб, утечек).
Документальная готовность (Чек-лист для бухгалтера и юриста)
К моменту требования предоставить документы (срок — 5 рабочих дней) у вас на руках должны быть актуальные версии:
- Политика конфиденциальности (опубликованная на сайте и внутренняя).
- Локальные акты: Положение о защите ПДн, Инструкция по учету носителей, План реагирования на инциденты.
- Акт категорирования объектов ИСПДн (для 152-ФЗ) / Объектов КИИ (для 187-ФЗ).
- Сертификаты ФСТЭК/ФСБ на используемые СЗИ (актуальные, не просроченные).
- Журналы учета: инцидентов, обращений субъектов ПДн, доступа к ПДн, обучения персонала.
- Договоры с подрядчиками (с условиями защиты ПДн/КИИ, ст. 28 152-ФЗ, ст. 10 187-ФЗ).
- Протоколы обучения персонала по защите ПДн и ИБ (проводится ежегодно).
Техническая подготовка: автоматизация ответов
Учитывая автоматический мониторинг сайтов, необходимо внедрить:
- CMP (Consent Management Platform) для корректного сбора согласий (Google Consent Mode v2 / Яндекс.Метрика requirements).
- Автоматизированную обработку запросов субъектов ПДн (удаление, доступ, исправление) — срок ответа 30 дней, но лучше — 3-5 дней.
- Интеграцию с ГосСОПКА (для КИИ) и настройку экспорта логов в SIEM/IRP.
- Мониторинг утечек (Data Leak Prevention) и настройку алертов на появление данных компании в открытых источниках/дамперах.
Работа с подрядчиками (Supply Chain Security)
В 2026 году слабое звено, это ваши подрядчики. Необходимо:
- Провести аудит безопасности ключевых поставщиков ИТ-услуг (SaaS, хостинг, разработка).
- Включить в договоры обязательства по соблюдению 152-ФЗ, 187-ФЗ, требований ФСТЭК.
- Требовать от критичных подрядчиков отчеты о пентестах/аудите ИБ (не старше года).
Штрафы и санкции 2026: цена ошибки
Легализация крупных штрафов (до 20 млн руб. за повторные нарушения 152-ФЗ) и практика наложения их за каждое нарушение (а не за факт проверки) делают некомплаенс экономически нецелесообразным.
Тренд судебной практики 2026: суды все реже снижают штрафы до минимума, ссылаясь на «системный характер нарушений» и «халатность оператора». Единственный способ избежать штрафа, доказать принятие всех необходимых мер (Due Diligence) до момента проверки.
Административный надзор в 2026 году стал прозрачным, предсказуемым и жестким. «Серость» в интерпретации законов минимизирована за счет технических регламентов, профилей ФСТЭК и автоматических чек-листов.
Главная рекомендация: перестаньте готовиться к проверке как к экзамену. Постройте процесс непрерывного соответствия (Continuous Compliance). Внедрите автоматизацию учета ПДн, управления инцидентами и мониторинга подрядчиков. В 2026 году это не «best practice», это условие выживания бизнеса в правовом поле РФ.
Полезные ссылки для самопроверки (актуально на 08.2026):
- Реестр категорий риска Роскомнадзора:
risk.rkn.gov.ru(проверка по ИНН/ОГРН). - План проверок Роскомнадзора на 2026 год: раздел «Деятельность» -> «Планы проверок» на
rkn.gov.ru. - ГосСОПКА / ЕРПИИ: личные кабинеты субъектов КИИ;
- Реестр уведомлений об обработке ПДн:
pdn.rkn.gov.ru.
Данная статья носит информационный характер и не является правовым консультированием. Для принятия управленческих решений рекомендуется обратиться к профильным юристам по защите персональных данных и информационной безопасности.