На 08 февраля 2026 года ситуация с контролем за соблюдением законодательства о персональных данных (152-ФЗ) достигла нового уровня жесткости. Роскомнадзор (РКН) системно усиливает надзор, а особое внимание регулятора сфокусировано на операторах критической информационной инфраструктуры (КИИ). Для данных субъектов цена ошибки измеряется не только миллионными штрафами, но и рисками уголовной ответственности, а также угрозой приостановки деятельности жизненно важных объектов.

Нормативная база и «троица» регуляторов

Работа с персональными данными в секторе КИИ регулируется комплексом законов, формально независимых, но на практике тесно переплетенных:

• 152-ФЗ «О персональных данных» — база правовых требований к обработке, правам субъектов, уведомлению РКН.
• 187-ФЗ «О безопасности критической информационной инфраструктуры РФ» — требования к устойчивости ИТ-инфраструктуры, категорированию объектов, инцидент-менеджменту.
• Постановления ФСТЭК и ФСБ — технические и лицензионные аспекты защиты.

В ходе проверок взаимодействует три госоргана, каждый со своей зоной ответственности:

1. Роскомнадзор, основной регулятор по 152-ФЗ. Проверяет правовые меры: наличие политики обработки, корректность получения согласий, локальные акты, уведомления в реестр, работу сайтов и фактические процессы обработки.
2. ФСТЭК России — определяет меры технической защиты информации (уровни защищенности ИСПДн), проводит аттестацию объектов КИИ.
3. ФСБ России — проверяет наличие лицензии на деятельность по технической защите конфиденциальной информации (для подрядчиков) и соответствие требованиям криптографической защиты.

Виды и периодичность проверок в 2025–2026 гг.

С 2025 года вступил в силу ужесточенный порядок проведения контрольных мероприятий. Ключевые изменения:

• Плановые выездные проверки по отношению к объектам умеренного риска проводятся не чаще одного раза в 6 лет (документарная или выездная).
• Объекты высокого риска (к которым относится большинство операторов КИИ) проверяются существенно чаще и глубже.
• Внеплановые проверки инициируются при обращениях субъектов ПДн, сообщениях в СМИ, выявлении утечек данных или инцидентов безопасности.
• Профилактические визиты — не являются проверками, но позволяют инспекторам оценить готовность и выявить грубые нарушения без составления протоколов (рекомендательный характер).
• Мониторинг сайтов — РКН начал массовую автоматизированную проверку веб-ресурсов организаций на соответствие требованиям 152-ФЗ (наличие политики, форм согласия, корректная обработка cookie).

Специфика фокуса на операторах КИИ: где пересекаются 152-ФЗ и 187-ФЗ

Для операторов КИИ проверка Роскомнадзора — это не просто аудит документов по 152-ФЗ. Инспекторы оценивают, как защита персональных данных встроена в систему обеспечения безопасности КИИ.

Ключевые точки пересечения:

• Категорирование объектов КИИ и уровни защищенности ИСПДн. ФСТЭК устанавливает 4 уровня защищенности в зависимости от категории ПДн и их объема. РКН проверяет, соответствуют ли реализованные меры установленному уровню.
• Обработка ПДн в государственных информационных системах. Если ПДн включены в ГИС, созданные для защиты безопасности государства, применяются специальные режимы.
• Облачная инфраструктура. Использование облаков не снимает ответственность с оператора. Даже если провайдер обеспечивает доступ, действия оператора по управлению данными считаются обработкой. Проверяется соответствие договора с облачным провайдером ст. 28 152-ФЗ.
• Инцидент-менеджмент. Утечка ПДн на объекте КИИ тянет за собой обязательство уведомить не только РКН и субъектов, но и ФСТЭК (как инцидент безопасности КИИ) в установленные сроки.

Что проверяет Роскомнадзор на практике: Документы vs Реальность

Главный тренд последних лет: инспекторы оценивают фактические процессы, а не только папки с заказными приказами.

Обязательный пакет документов (базовый чек-лист):

1. Приказ о назначении ответственного за организацию обработки ПДн (и уполномоченного представителя при проверке).
2. Уведомление Роскомнадзора об обработке ПДн (проверяется актуальность: изменения вносятся в течение 10 дней). Актуальность можно проверить по адресу: pd.rkn.gov.ru;
3. Политика обработки персональных данных (опубликованная на сайте/доступная субъектам).
4. Локальные нормативные акты (ЛНА): Положение о защите ПДн, инструкции по работе с носителями, регламенты инцидентов, правила доступа.
5. Документы на ИСПДн: Паспорт ИСПДн, отчет об аттестации (если пройдена), модель угроз.
6. Согласия субъектов (формы, журналы учета, доказательства информирования). Новые требования к форме и содержанию согласий (с 2025 г.) проверяются особенно тщательно.
7. Договоры с операторами/подрядчиками (ст. 28 152-ФЗ) с обязательными условиями защиты данных.
8. Акты инвентаризации носителей ПДн и журналы учета доступа.

На что смотрят инспекторы «в полях» (фактическая проверка):

• Соответствие реальных процессов описанным в ЛНА (например, реальный доступ к базе данных vs матрица доступа в приказе).
• Наличие технических средств защиты (СЗИ, ДЛП, SIEM, антивирусы) и их работоспособность (логи, настройки, актуальность сигнатур).
• Обеспечение прав субъектов: реальная возможность отозвать согласие, получить доступ к своим данным, потребовать удаления.
• Трансграничная передача: наличие оснований (адекватная защита, соглашение, согласие субъекта) и уведомление РКН.
• Удаление/обезличивание данных по достижении целей обработки.

Ужесточение ответственности: штрафы и риски 2025–2026

Рост штрафов стал главным драйвером комплаенса. Нарушения в сфере ПДн приводят к:

• Административной ответственности (КоАП РФ ст. 13.11): штрафы для юрлиц до 15–20 млн руб. за повторные нарушения или утечки больших объемов данных. Для должностных лиц — до 500 тыс. руб. или дисквалификация.
• Уголовной ответственности (УК РФ ст. 272, 273, 274.1): за несанкционированный доступ, создание вредоносных программ, нарушение правил эксплуатации средств хранения/передачи/защиты информации (если повлекло тяжкие последствия).
• Приостановке деятельности (до 90 дней) за грубые нарушения требований 152-ФЗ.
• Репутационным рискам и искам субъектов ПДн о компенсации морального вреда.

Стратегия подготовки к проверке: от аудита до модели угроз

Подготовка к визиту РКН для оператора КИИ — это непрерывный процесс, а не разовая акция за неделю до приезда.

Этапы системной подготовки:

1. Внутренний аудит (GAP-анализ): Сравнение текущего состояния с требованиями 152-ФЗ, подзаконными актами, приказами ФСТЭК (№ 17, № 21) и категорией КИИ.
2. Приведение документации в соответствие: Обновление политики, ЛНА, уведомления РКН, договоров с подрядчиками под актуальные требования 2025–2026 гг.
3. Техническая аттестация ИСПДн: Прохождение аттестации на требуемый уровень защищенности (1–4) аккредитованным центром. Без акта аттестации оператор КИИ не может подтвердить соответствие требованиям ФСТЭК.
4. Обучение персонала: Документированное ознакомление ответственных лиц и сотрудников, имеющих доступ к ПДн, с ЛНА и инструкциями.
5. Разработка модели угроз и профиля атаки: Обязательно для КИИ (требование ФСТЭК), используется для обоснования выбранных мер защиты перед РКН.
6. Отработка сценариев инцидентов: Учебные учения по утечке ПДн, восстановлению ИСПДн, взаимодействию с РКН, ФСТЭК, ФСБ, прокуратурой.
7. Подготовка «папки для инспектора»: Сборный комплект документов (копии приказов, уведомлений, актов аттестации, журналов), который передается инспектору по требованию в первые часы проверки.

Особенности взаимодействия с инспекторами во время выездной проверки

• Приказ о представителе: Заранее издайте приказ о лице, уполномоченном представлять интересы компании при проверке. Только оно подписывает протоколы и дает объяснения.
• Предоставление доступа: Инспекторы имеют право запрашивать документы, копировать их, осматривать помещения, серверные, рабочие места. Отказ в доступе, основание для протокола о препятствовании.
• Сроки: Выездная проверка обычно занимает до 20 рабочих дней (с возможностью продления до 30). Документарная, до 30 дней (продление до 60).
• Обжалование: Акт проверки и предписание можно обжаловать в вышестоящее управление РКН или в суд в течение 10 дней с момента получения копии.

Трансграничная передача и облачные технологии: зоны риска

В 2026 году РКН уделяет пристальное внимание передаче данных за рубеж и использованию публичных облаков.

• Проверяется наличие уведомления РКН о трансграничной передаче (если передача идет в страну без адекватной защиты).
• Анализируются договоры с облачными провайдерами: локализация данных (хранение баз с ПДн граждан РФ на территории РФ — ст. 18 152-ФЗ), права доступа персонала провайдера, меры шифрования.
• Использование SaaS-решений (CRM, почта, коллаборация) требует аудита: где физически лежат данные, кто является оператором, есть ли согласия субъектов на передачу третьим лицам.

Для операторов критической информационной инфраструктуры проверка Роскомнадзора по 152-ФЗ — это неотъемлемая часть комплексной оценки устойчивости организации. В 2026 году стратегия «документы для галочки» гарантированно провалится. Регулятор смотрит на зрелость процессов: как защита ПДн встроена в жизненный цикл ИСПДн, как обеспечивается непрерывность КИИ при инцидентах, как соблюдаются права граждан на каждом этапе.

Единственный надежный путь — системная работа: регулярный внутренний аудит, актуализация модели угроз, своевременная аттестация ИСПДн, обучение людей и прозрачная политика обработки. Инвестиции в комплаенс сегодня стоят в десятки раз дешевле штрафов, простоев бизнеса и репутационных потерь завтра.

Данная статья подготовлена на основе анализа законодательства (152-ФЗ, 187-ФЗ, КоАП РФ, УК РФ), нормативных актов ФСТЭК и ФСБ, а также практики применения норм по состоянию на февраль 2026 года. Материал носит информационный характер и не является правовой консультацией.