В 2026 году в России вступает в силу обновлённый Кодекс об административных правонарушениях (КоАП), в котором появилась отдельная глава, посвящённая информационной безопасности. Новые нормы затрагивают как граждан, так и организации, и направлены на защиту персональных данных, предотвращение кибератак и обеспечение устойчивости критической информационной инфраструктуры.

Ключевые изменения

• введение административной ответственности за утечку персональных данных;
• повышение штрафов за распространение вредоносного ПО;
• обязанность компаний в течение 24 часов сообщать о инцидентах информационной безопасности в ФСТЭК или Роскомнадзор;
• новые требования к операторам критической информационной инфраструктуры (ОКИИ).

Основные статьи и санкции

Статья 13;1. Нарушение требований к защите персональных данных

Нарушение: незаконная обработка, хранение или передача персональных данных без согласия субъекта.
Штраф:

• для граждан — 3 000–5 000 ₽;
• должностных лиц — 20 000–50 000 ₽;
• юрлиц — 100 000–300 000 ₽.

При повторном нарушении возможна приостановка деятельности на срок до 90 суток.

Статья 13.2. Несвоевременное уведомление об инциденте ИБ

Нарушение: компания не сообщила в ФСТЭК о кибератаке в течение 24 часов.
Штраф: 300 000–700 000 ₽.
Дополнительно: могут приостановить доступ к информационным системам до устранения уязвимости.

Статья 13.3. Распространение вредоносного ПО

Нарушение: распространение вирусов, троянов, программ-вымогателей.
Штраф:

• граждане — 5 000–10 000 ₽;
• юрлица — 500 000–1 000 000 ₽.

Конфискация: оборудование, использованное для распространения вредоносного ПО.

Статья 13.4. Нарушение требований к защите критической ИТ-инфраструктуры

Нарушение: ОКИИ не провели обязательную оценку устойчивости, не выполнили требования ФСТЭК.
Штраф: 1 000 000–3 000 000 ₽.
Дополнительно: приостановка государственных закупок у нарушителя на 1 год.

Кому важно знать новые правила

1. Операторы связи и интернет-провайдеры — обязаны блокировать доступ к запрещённым ресурсам и фиксировать инциденты.
2. Банки и финансовые организации — должны регулярно проводить аудит ИБ и информировать ЦБ об уязвимостях.
3. Интернет-магазины и маркетплейсы — несут ответственность за защиту данных клиентов и продавцов.
4. Госучреждения и госкорпорации — подлежат плановым проверкам ФСТЭК и ФСБ.

Практические рекомендации

Что делать компании прямо сейчас

• Провести аудит процессов обработки персональных данных и привести документацию в соответствие с ФЗ-152.
• Назначить ответственного по ИБ и защите персональных данных (DPO) в штат.
• Внедрить систему обнаружения и реагирования на инциденты (SOC/IRT).
• Заключить договор с аккредитованной лабораторией ФСТЭК для регулярного тестирования на уязвимости.

Что делать гражданину

• Не устанавливать подозрительные приложения и не открывать неизвестные вложения.
• Использовать сложные уникальные пароли и включить двухфакторную аутентификацию.
• При обнаружении утечки своих данных — немедленно писать в Роскомнадзор через официальный портал.

Контролирующие органы и порядок проверок

Как оспорить штраф

1. В течение 10 дней после получения постановления подать жалобу в вышестоящий орган (например, региональное управление ФСТЭК).
2. Приложить доказательства устранения нарушения: скриншоты, акты проверок, письма от подрядчиков.
3. Если жалоба не удовлетворена, обжаловать в районный суд по месту регистрации компании.

Новые положения КоАП делают Россию одной из первых стран, где административные санкции за нарушения ИБ выведены в отдельный комплексный блок. Компании и граждане, которые заблаговременно подготовятся — устранят уязвимости, обучат персонал и внедрят системы мониторинга — минимизируют риск штрафов и сохранят доверие клиентов.