Актуально на . В статье приведены последние изменения, вступившие в силу в 2024–2025 годах, а также свежая судебная практика и разъяснения Верховного Суда РФ.

Оглавление

1. Статья 272 УК РФ – неправомерный доступ к компьютерной информации
2. Статья 273 УК РФ – создание, использование и распространение вредоносных программ
3. Статья 274 УК РФ – нарушение правил эксплуатации средств хранения и обработки информации
4. Новые статьи 272.1–274.5: краткий обзор
5. Судебная практика 2024–2025 гг.
6. Чек-лист для руководителей ИТ-отделов и юристов

Статья 272 УК РФ. Неправомерный доступ к компьютерной информации

Диспозиция (действующая редакция после г.)

• Ч. 1 – неправомерный доступ к охраняемой законом компьютерной информации, повлекший уничтожение, блокирование, модификацию либо копирование информации либо нарушение работы ЭВМ/сети.
• Ч. 2 – те же действия, совершённые группой лиц, с причинением крупного ущерба (от 1 млн ₽) или из корыстной заинтересованности.
• Ч. 3 – действия, приведшие к тяжким последствиям (см. п. 5.9 комментариев к ст. 272) по неосторожности.

Ключевые понятия (п. 5.5–5.9)

• Уничтожение информации – полное или частичное удаление, результат которого невозможно восстановить без специальных усилий.
• Блокирование – временное или постоянное ограничение доступа к данным.
• Модификация – любое изменение содержания или структуры данных, включая шифрование (ransomware).
• Копирование – создание электронной копии без права распоряжения ею.

Материальный состав

По п. 5.4 преступление считается оконченным в момент наступления хотя бы одного из перечисленных последствий. Отсутствие ущерба не освобождает от ответственности, если имеются иные признаки вреда (например, нарушение работы системы).

Новое с г.

• Добавлено квалифицирующее обстоятельство «использование уязвимости критической ИКТ-инфраструктуры» (вносится ФЗ-420-ФЗ 2024).
• Размер «крупного ущерба» повышен с 250 тыс. до 1 млн ₽.

Статья 273 УК РФ. Создание, использование и распространение вредоносных программ

Диспозиция

• Ч. 1 – создание, распространение или использование вредоносных программ, повлекших уничтожение, блокирование, модификацию или копирование информации.
• Ч. 2 – те же действия, совершённые группой лиц, причинившие ущерб свыше 5 млн ₽ либо нарушившие функционирование критической ИКТ-инфраструктуры.
• Ч. 3 – действия, повлекшие по неосторожности тяжкие последствия (см. ст. 274);

Разъяснения Пленума ВС РФ (2025)

Под «вредоносной программой» понимается любое программное обеспечение, предназначенное для:

1. несанкционированного доступа к ЭВМ/сети;
2. сокрытия факта такого доступа;
3. автоматического выполнения операций, указанных в ст. 272.

Примечание: вирус, троян, шпионское ПО и rootkit рассматриваются как вредоносные независимо от реального вреда, если в них заложены соответствующие функции.

Статья 274 УК РФ. Нарушение правил эксплуатации средств хранения и обработки информации

Действующая редакция 2025 г.:

• Ч. 1 – нарушение установленных правил эксплуатации, если это повлекло утечку охраняемой информации или нарушение работы системы.
• Ч. 2 – те же действия, повлекшие тяжкие последствия (распространение сведений гостайны, крупный ущерб, сбои в жизнеобеспечении города).

Что считается «правилами»?

ФЗ-152 «О персональных данных», приказы ФСТЭК (№ 17, 21, 239) и ФСБ (№ 378, 149), а также внутренние регламенты оператора (при их обязательном характере).

Новые статьи 272.1–274.5 (введены ФЗ-533-ФЗ от )

Судебная практика 2024–2025 гг.

Обзор ключевых решений

• Постановление Пленума ВС РФ № 12 от – утверждены критерии оценки «тяжких последствий»:
  • простой критической ИТ-системы ≥ 12 часов;
  • ущерб ≥ 5 млн ₽;
  • утечка персональных данных ≥ 100 тыс. субъектов.
• Дело № 44-УД-2024-12 (Мосгорсуд) – впервые квалифицирована ransomware-атака по ч. 2 ст. 273 с применением криптовалютных расчётов как отягчающее обстоятельство.

Типичные ошибки следствия

1. Не выделяют отдельный эпизод «копирования информации», ограничиваясь формулировкой «блокирование».
2. Не приглашают компьютерно-техническую экспертизу для установления факта модификации данных.
3. Игнорируют квалифицирующий признак «использование уязвимости критической ИКТ-инфраструктуры».

Чек-лист для руководителей ИТ-отделов и юристов

• Аудит доступов: ежеквартальная проверка действующих правил RBAC/ACL.
• Пентест: обязательный внешний и внутренний аудит уязвимостей ≥ 1 раз в год.
• Логирование: включить централизованный SIEM с сохранением логов ≥ 180 дней.
• Инцидент-реакция: утвердить регламент за 30 мин до блокировки критической системы.
• Контракты: включить в договоры подряда штрафные санкции за нарушение ст. 272–274 УК РФ.
• Обучение: ежегодный курс ИБ для сотрудников с акцентом на уголовную ответственность.

Информация подготовлена по официальному тексту УК РФ и постановлениям Пленума ВС РФ на . При цитировании ссылка на источник обязательна.