Ответственность за нарушения в области КИИ: штрафы КоАП, ст. 274.1 УК и проверки ФСТЭК в Самаре
Когда обсуждают 187-ФЗ и категорирование критической информационной инфраструктуры, руководители чаще всего задают один вопрос: «Что реально будет, если ничего не делать или ошибиться?» Страшилки о внезапных проверках и «уголовке для директора» не помогают принять взвешенное решение. Поэтому разберём без мифов: какие санкции действительно предусмотрены Кодексом об административных правонарушениях и Уголовным кодексом, когда наступает ответственность и как именно проверяет ФСТЭК в Самаре.
Вы узнаете, какие штрафы грозят должностным лицам и юридическим лицам, в каких случаях возможна уголовная ответственность по ст. 274.1 УК РФ, как проходят плановые и внеплановые проверки, какие нарушения встречаются чаще всего и что можно сделать, чтобы не попасть в статистику протоколов.
Коротко
- Основные административные составы — ст. 13.12.1 КоАП (безопасность значимых объектов), ст. 19.7.15 КоАП (сведения во ФСТЭК) и новая ст. 13.12.2 КоАП (правила эксплуатации и доступа).
- Максимальные штрафы: для юридических лиц — до 500 тыс. ₽, для должностных лиц — до 100 тыс. ₽ (по разным составам).
- Уголовная ответственность по ст. 274.1 УК — только при умышленных деяниях или тяжких последствиях; максимальное наказание — лишение свободы до 10 лет.
- Плановые проверки ФСТЭК проводятся не чаще одного раза в 3 года после включения объекта в реестр.
- Проверить, является ли ваша организация субъектом КИИ, можно бесплатно до оплаты категорирования — с письменным заключением.
Административная ответственность
Штрафные составы для субъектов КИИ сосредоточены в трёх статьях КоАП. Важно не путать их: часть нарушений касается систем безопасности уже категорированных значимых объектов, другая — порядка представления сведений во ФСТЭК, третья — правил эксплуатации.
| Нарушение | Статья | Должностные лица | Юридические лица |
|---|---|---|---|
| Требования к созданию систем безопасности значимых объектов КИИ или к обеспечению их безопасности (ч. 1 ст. 13.12.1) | ст. 13.12.1, ч. 1 | 10–50 тыс. ₽ | 50–100 тыс. ₽ |
| Порядок информирования об инцидентах и реагирования на них (ч. 2 ст. 13.12.1) | ст. 13.12.1, ч. 2 | 10–50 тыс. ₽ | 100–500 тыс. ₽ |
| Порядок обмена информацией об инцидентах (ч. 3 ст. 13.12.1) | ст. 13.12.1, ч. 3 | 20–50 тыс. ₽ | 100–500 тыс. ₽ |
| Непредставление, нарушение сроков или недостоверность сведений о категорировании во ФСТЭК (ч. 1 ст. 19.7.15) | ст. 19.7.15, ч. 1 | 10–50 тыс. ₽ | 50–100 тыс. ₽ |
| Непредставление информации в ГосСОПКА (ч. 2 ст. 19.7.15) | ст. 19.7.15, ч. 2 | 10–50 тыс. ₽ | 100–500 тыс. ₽ |
| Повторное нарушение по ч. 1 ст. 19.7.15 (ч. 3 ст. 19.7.15) | ст. 19.7.15, ч. 3 | 50–100 тыс. ₽ | 100–200 тыс. ₽ |
| Нарушение правил эксплуатации средств и систем КИИ или правил доступа, если нет признаков преступления (новый состав) | ст. 13.12.2 | 10–50 тыс. ₽ | 100–500 тыс. ₽ |
Обратите внимание: самый частый протокол — за непредставление или несвоевременное представление сведений о категорировании. Даже если объект не подпадает под критерии значимости, субъект обязан направить сведения об отсутствии необходимости присвоения категории. Игнорирование этой обязанности — уже основание для ч. 1 ст. 19.7.15 КоАП.
Уголовная ответственность: ст. 274.1 УК
Статья 274.1 УК РФ — специальный состав для преступлений в сфере КИИ. Применяется не за «неправильное оформление документов», а за умышленные вредоносные действия либо за нарушения, повлёкшие уничтожение, блокирование, модификацию или копирование информации. В редакции Федерального закона от 09.04.2026 № 76-ФЗ (по имеющимся данным) части выглядят так:
- ч. 1 — создание и распространение вредоносных программ для КИИ: принудительные работы до 5 лет либо лишение свободы на 2–5 лет со штрафом 0,5–1 млн ₽.
- ч. 2 — неправомерный доступ, повлёкший уничтожение, блокирование, модификацию или копирование информации: принудительные работы до 5 лет либо лишение свободы на 2–6 лет со штрафом 0,5–1 млн ₽.
- ч. 3 — нарушение правил эксплуатации или доступа, повлёкшее те же последствия: принудительные работы до 5 лет либо лишение свободы до 6 лет, с лишением права занимать определённые должности до 3 лет или без такового.
- ч. 4 — деяние группой лиц или с использованием служебного положения: 3–8 лет.
- ч. 5 — то же, повлёкшее тяжкие последствия: 5–10 лет.
Важная деталь: в новой редакции появилось примечание — лицо освобождается от ответственности по ч. 3, если активно способствовало раскрытию преступления и сохранению следов атаки. На практике руководитель организации привлекается по этой статье крайне редко, если не участвовал в умысле. Основные риски для организации связаны с административными штрафами, а не с «уголовкой для директора».
Проверки ФСТЭК
Контроль за соблюдением 187-ФЗ ведёт ФСТЭК России. Плановые и внеплановые проверки проходят по правилам ст. 13 Федерального закона № 187-ФЗ.
Плановые проверки
Основание — истечение трёх лет с момента внесения объекта в реестр значимых объектов КИИ либо с окончания последней плановой проверки. Периодичность — не чаще одного раза в три года. Проверяется, в том числе, правильность отнесения объекта к значимым.
Внеплановые проверки
Основаниями являются: истечение срока исполнения ранее выданного предписания; инцидент на значимом объекте с негативными последствиями; приказ руководителя ФСТЭК, изданный по поручению Президента или Правительства РФ либо по требованию прокурора. По итогам проверки при выявлении нарушений выдаётся предписание со сроком исполнения.
Кроме того, отраслевые регуляторы вправе проводить мониторинг достоверности сведений о категорировании (п. 19(2)–19(3) Правил, утв. ПП № 127). Они могут выезжать на объекты и передавать информацию о нарушениях во ФСТЭК в течение 30 дней.
Что проверяют чаще всего
Статистика ФСТЭК, озвученная на «Инфофоруме-2026», показывает типичную картину. По выборке из 700 объектов надлежащий уровень защиты зафиксирован лишь в 36% случаев. В 2025 году составлено 603 протокола, причём 492 из них — за непредставление или несвоевременное представление сведений во ФСТЭК (по данным 3dnews). Это говорит о том, что проблемы чаще возникают не из-за кибератак, а из-за слабой организационной дисциплины.
Эксперты ФСТЭК выделяют наиболее частые нарушения:
- разрыв между информационной безопасностью и бизнес-процессами;
- неполный учёт ИТ-активов, «теневые» системы;
- недостоверные сведения в реестре значимых объектов;
- отсутствие централизованного управления средствами защиты информации;
- эпизодический мониторинг безопасности;
- резервные копии, хранящиеся в той же среде, что и продуктивная система.
Новые составы и проекты
Законодательство продолжает ужесточаться. Из принятых норм стоит отметить:
- Ст. 13.12.2 КоАП — введена Федеральным законом от 09.04.2026 № 77-ФЗ, действует с 20.04.2026. Наказывает за нарушение правил эксплуатации средств и систем КИИ или правил доступа, если нет признаков преступления. Штрафы: граждане 5–10 тыс. ₽, должностные лица 10–50 тыс. ₽, юрлица 100–500 тыс. ₽.
- Приказ ФСТЭК № 220 от 16.07.2026 — вступает в силу 01.03.2027. Вводит расчёт показателя защищённости Кзи не реже раза в 6 месяцев и показателя зрелости Узи не реже раза в 3 года. Результаты нужно направлять во ФСТЭК.
В стадии проекта пока находятся: показатель киберзащищённости (KPI), требования к поставщикам ИТ для КИИ, а также постановление о порядке и сроках перехода на российское ПО. Отдельного принятого состава КоАП за неиспользование российского ПО на значимых объектах нет — это важно учитывать, чтобы не путать обязанности по импортозамещению с текущей ответственностью.
Типовые ошибки
-
✗ «Если объект не значим, ничего подавать не нужно».
Как правильно: субъект КИИ обязан направить во ФСТЭК сведения об отсутствии необходимости присвоения категории. Иначе — ст. 19.7.15 КоАП. -
✗ «Срок категорирования — один год, а перечень объектов — во ФСТЭК».
Как правильно: эти нормы отменены. Сейчас в течение 10 рабочих дней со дня утверждения акта направляются сведения о результатах категорирования по форме ФСТЭК. -
✗ «Штраф по ч. 1 ст. 13.12.1 для должностных лиц — от 20 тыс. ₽».
Как правильно: ч. 1 ст. 13.12.1 — от 10 до 50 тыс. ₽. От 20 тыс. начинается только ч. 3 этой же статьи. -
✗ «Сообщать об инциденте нужно всегда в течение 24 часов».
Как правильно: для значимых объектов срок — 3 часа, для иных объектов КИИ — 24 часа (приказ ФСБ № 547, действует с 30.01.2026). -
✗ «ЖКХ и водоканалы — это сфера КИИ».
Как правильно: в перечне сфер 187-ФЗ ЖКХ и водоснабжения нет. Но организация может стать субъектом КИИ, если ведёт деятельность в другой сфере (например, теплоснабжающая организация — это энергетика, а госучреждение с системами в здравоохранении — здравоохранение).
Чем поможет МелданаСБ
Мы не обещаем «ФСТЭК точно примет с первого раза» и не проводим лицензируемые работы по аттестации и внедрению СЗИ. Мы готовим документы, на основании которых ваша комиссия принимает решение, и сопровождаем сведения до их принятия ФСТЭК. Аттестацию и поставку сертифицированных СЗИ на значимых объектах выполняем через партнёра-лицензиата ФСТЭК.
Состав работ по категорированию:
- проверка, является ли организация субъектом КИИ (по ОКВЭД, лицензиям, уставу и фактическим видам деятельности);
- проект приказа о постоянно действующей комиссии;
- инвентаризация ИС, ИТКС и АСУ и сопоставление с перечнем типовых отраслевых объектов (распоряжение № 360-р) и отраслевыми особенностями, если они приняты;
- расчёт показателей значимости по ПП № 127 по наихудшему сценарию;
- проект акта категорирования (единый допускается на несколько объектов);
- сведения о результатах категорирования по форме ФСТЭК (приказ № 236 в ред. № 247);
- сопровождение до принятия сведений ФСТЭК, правки по замечаниям — бесплатно.
Проверка «субъект или нет» с письменным заключением — бесплатно при заказе категорирования. Стоимость ниже рыночной за счёт отработанных типовых решений и дистанционного формата. Документы готовит специалист по защите информации.
| Вариант | Рынок | МелданаСБ | Срок |
|---|---|---|---|
| Категорирование + перечень + сведения для ФСТЭК | 80–300 тыс. ₽ | от 29 900 ₽ | 7–10 раб. дней |
| Модель угроз ИБ | 20–50 тыс. ₽ | от 12 900 ₽ | по опроснику, обычно 5–7 раб. дней |
| Категорирование + модель угроз | 100–350 тыс. ₽ | от 39 900 ₽ | по опроснику, совокупный срок |
Точная цена рассчитывается по опроснику бесплатно в течение рабочего дня. Если объект не относится к КИИ, мы скажем об этом до оплаты и укажем, какие ещё требования (например, по персональным данным) могут применяться.
✓ Подготовим документы и сведения для ФСТЭК в течение 7–10 рабочих дней
✓ Сопроводим до принятия сведений, правки по замечаниям — бесплатно
Частые вопросы
Какой штраф за непредставление сведений о категорировании во ФСТЭК?
Может ли директору грозить уголовная ответственность по ст. 274.1 УК?
Когда ФСТЭК может прийти с плановой проверкой?
Какие сроки давности привлечения к ответственности?
Как подготовиться к проверке в Самаре?
Если вы ещё не уверены, относится ли ваша организация к субъектам КИИ, начните с проверки и категорирования объектов КИИ. Для значимых объектов потребуется разработка модели угроз информационной безопасности. Если параллельно нужно закрыть вопросы по персональным данным, посмотрите готовые решения по 152-ФЗ.
Категорирование КИИ по отраслям
- Здравоохранение: клиники, больницы, лаборатории
- Наука и образование: вузы, НИИ
- Госорганы, учреждения, ГИС
- Железнодорожный транспорт и метро
- Авиация и аэропорты
- Морской, речной, автотранспорт и логистика
- Связь: операторы, провайдеры, ЦОД
- Электроэнергетика: генерация, сети, сбыт
- ТЭК: нефть, газ, АЗС, нефтебазы
- ЖКХ: водоканалы, теплоснабжение
- Металлургия
- Химическая промышленность
- Горнодобывающая промышленность
- Оборонная промышленность
- Банки и кредитные организации
- Финансовый рынок: страховщики, МФО, брокеры, НПФ
Пошаговое руководство
