14 октября 2025 года и 17 декабря 2025 года Государственная Дума в трёх чтениях приняла пакет ключевых поправок в Кодекс Российской Федерации об административных правонарушениях (КоАП РФ), касающихся ответственности за нарушения в информационной и кибербезопасной среде. В статье разбираемся, что изменилось, кого коснётся новая ответственность и как подготовиться к 2026 году.
Законодательная рамка: от бухгалтерского учета до киберинцидентов
Новые нормы вошли в КоАП РФ в рамках реализации п. 2.7 «Плана мероприятий по реализации основных направлений государственной политики в сфере бухгалтерского учета, финансовой отчетности и государственных закупок», а также в рамках законопроекта «О разделении ответственности за киберинциденты в критической информационной инфраструктуре».
Ключевая цель изменений
- ускорить реагирование на киберинциденты;
- распределить ответственность между государственными органами, операторами критической инфраструктуры (КИИ) и их подрядчиками;
- усилить контроль в сфере государственных закупок, где всё чаще встречаются цифровые сервисы и облачные технологии.
Что считается нарушением?
Киберинциденты в критической инфраструктуре
Киберинцидент теперь официально определён как событие, которое «приводит или может привести к нарушению функционирования объектов критической информационной инфраструктуры».
| Вид нарушения | Примеры | Штраф для юр. лица, ₽ |
|---|---|---|
| Несвоевременное уведомление о киберинциденте | Оператор КИИ не сообщил в ФСТЭК в течение 2 часов | от 500 000 до 1 000 000 |
| Неисполнение предписаний ФСТЭК/ФСБ | Не устранены «уязвимости нулевого дня» | до 3 000 000 |
| Нарушение требований при закупке ПО для КИИ | Закуплено ПО без сертификата ФСТЭК/ФСБ | от 300 000 до 700 000 |
Нарушения в сфере государственных закупок
Новые статьи КоАП (ст. 19.30.2 – 19.30.5) прямо касаются:
- несоблюдения требований к защите информации при электронных закупках;
- отказа от размещения (обновления) отчётности в ЕИС в установленные сроки;
- предоставления недостоверных сведений в электронной форме (включая поддельные ЭЦП или неверные реквизиты).
Кто отвечает: «субъекты ответственности»
- Операторы КИИ – за несвоевременное уведомление и устранение инцидентов.
- Генеральные подрядчики и поставщики ИТ-продуктов – за несоответствие программного обеспечения требованиям безопасности.
- Государственные и муниципальные заказчики – за нарушения процедуры закупок, связанные с ИТ-компонентами.
Порядок привлечения к ответственности
Этап 1. Выявление нарушения
Проверки проводятся Роскомнадзором, ФСТЭК, ФСБ и контрольными органами в сфере закупок (ФАС, ФНС).
Этап 2. Протокол и постановление
После составления протокола в течение 10 дней выносится постановление. Для юр. лиц предусмотрено право добровольного устранения нарушения в «кратчайший срок» с уменьшением штрафа на 50 %.
Этап 3. Обжалование
Обжаловать постановление можно в течение 10 суток в вышестоящий орган или в суд.
Как подготовиться к 2026 году: чек-лист для бизнеса
- Провести аудит безопасности всех ИТ-систем, связанных с КИИ и закупками.
- Обновить регламенты по реагированию на инциденты и уведомлению регуляторов.
- Подписать договоры с аттестованными центрами сертификации ФСТЭК/ФСБ для своих продуктов.
- Обучить персонал основам кибербезопасности и новым срокам подачи отчётности в ЕИС.
- Настроить автоматические оповещения внутренней службы безопасности и внешних регуляторов.
Краткий итог
Законодательство 2025 года сделало административную ответственность в информационной сфере более детализированной и жёсткой. Компании, работающие с КИИ, государственными закупками и любой чувствительной информацией, уже с 1 января 2026 года должны быть готовы к немедленному реагированию на инциденты и к новым штрафам. Подготовка сейчас – это не только избежание штрафов, но и сохранение доверия партнёров и государства.
Полезные ссылки:
- Официальный сайт ФСТЭК России
- Единая информационная система в сфере закупок (ЕИС)
- КоАП РФ в актуальной редакции