Регламент реагирования на инциденты ИБ и утечки ПДн в Бийске: сроки уведомления 2026

Случилось то, к чему вы готовились в теории: подозрительная активность в CRM, шифровальщик в корпоративной сети или письмо от внешнего сервиса о том, что база клиентов «утекла». В первые часы после обнаружения руководителю в Бийске нужно решить не только техническую задачу — остановить атаку, — но и юридическую: кого, как и в какие сроки уведомить. Роскомнадзор и НКЦКИ работают с чёткими регламентными сроками, и их пропуск превращает инцидент в самостоятельный штраф.

Разберём, какие документы фиксируют порядок действий при утечке персональных данных и компьютерном инциденте, кому направлять уведомления, какие сроки действуют с учётом изменений 2026 года и как подготовить регламент, который не останется формальной бумагой.

Кого и в какие сроки уведомлять

Порядок уведомления зависит от вида инцидента: утечка персональных данных регулируется 152-ФЗ и административным регламентом РКН, а компьютерные инциденты на значимых объектах КИИ — приказом ФСБ № 547. Для большинства коммерческих компаний в Бийске актуален первый сценарий, но если организация входит в реестр субъектов КИИ, действуют обе обязанности параллельно.

Важно: для РКН срок отсчитывается не с момента утечки, а с момента, когда оператор узнал или должен был узнать об инциденте. Поэтому в регламенте критично зафиксировать процедуру выявления и время фиксации. НКЦКИ информируется только в случае значимых объектов КИИ, которые включены в реестр; для обычных компаний эта обязанность не применяется, если иное не установлено в договоре.

Структура регламента

Единого типового регламента в законе нет: оператор вправе самостоятельно определить структуру и состав разделов, исходя из своих процессов и рисков. Ниже — состав, который на практике считаем минимально достаточным для коммерческой организации, обрабатывающей ПДн.

Регламент утверждается руководителем организации и доводится до всех работников, которые обрабатывают ПДн или администрируют информационные системы. Отдельно полезно предусмотреть шаблоны уведомлений и памятку для первой линии поддержки: в стрессовой ситуации это экономит часы.

План реагирования для значимых объектов КИИ

Если организация включена в реестр субъектов КИИ и имеет значимые объекты, помимо регламента уведомления РКН требуется отдельный план реагирования на компьютерные инциденты по приказу ФСБ № 547. Он разрабатывается в течение 90 дней с момента включения объекта в реестр, а его копия направляется в НКЦКИ не позднее 7 дней с даты утверждения.

План должен определять порядок действий при компьютерных атаках, роли участников, каналы связи с ГосСОПКА, а также содержать перечень мероприятий по локализации и восстановлению. Приказ ФСБ № 548 дополнительно устанавливает порядок непрерывного взаимодействия владельцев значимых объектов с ГосСОПКА; его содержание в открытом доступе не опубликовано, поэтому при подготовке документов необходимо опираться на актуальные разъяснения регулятора.

Обратите внимание: для всех юридических лиц — субъектов КИИ Указ Президента № 250 допускает привлечение сторонних организаций к мероприятиям по ИБ исключительно при наличии лицензии ФСТЭК на техническую защиту конфиденциальной информации. Компания «МелданаСБ» не является лицензиатом ТЗКИ, поэтому для таких заказчиков мы предлагаем помощь через партнёра-лицензиата, а правовой контур (ПДн, коммерческая тайна, оповещение) готовим самостоятельно.

Штрафы за утечки

С 2025 года ответственность за утечки и несоблюдение порядка уведомления стала существенно строже. КоАП в редакции от 04.08.2026 (ст. 13.11) выделяет отдельный состав за неподачу или несвоевременное уведомление об инциденте, а также прогрессивные штрафы за сами утечки в зависимости от числа пострадавших субъектов.

ИП приравниваются к юридическим лицам по составам утечек и уведомлений (примечание 1 к ст. 13.11 КоАП). Отдельно отметим: смягчение оборотного штрафа возможно только при расходах на ИБ через лицензированные организации ФСТЭК или ФСБ. Документы, подготовленные без лицензии, в зачёт такого смягчения не идут.

Типовые ошибки

• ✗ Считать, что уведомлять нужно только после подтверждения утечки. РКН информируется о «факте неправомерной передачи» уже в момент, когда есть достаточные основания полагать, что инцидент произошёл. Ждать результатов экспертизы — риск пропустить 24-часовой срок.
  Как правильно: фиксировать инцидент немедленно и направлять первичное уведомление, как только он выявлен; позже дополнить итогами расследования.
• ✗ Не фиксировать время обнаружения. Без журнала инцидентов или записи в SIEM доказать, что уведомление отправлено «в течение 24 часов», будет сложно.
  Как правильно: в регламенте предусмотреть обязательную запись даты и времени обнаружения, ответственного и принятых мер.
• ✗ Путать роли и не назначать ответственного за уведомление. Если в регламенте не указано, кто готовит сообщение в РКН, в критический момент никто не возьмёт ответственность.
  Как правильно: назначить конкретного сотрудника (например, ответственный за организацию обработки ПДн) и прописать его обязанности в должностной инструкции.
• ✗ Использовать неактуальные сроки или старые формы. Например, применять прежние правила уведомления РКН или считать, что для ИП уведомление не обязательно.
  Как правильно: регулярно сверять регламент с действующей редакцией 152-ФЗ и приказами РКН; с 01.09.2022 уведомление подают все операторы, включая тех, кто обрабатывает только ПДн работников.
• ✗ Не доводить регламент до работников. Документ, о котором знает только юрист, не работает. Бухгалтер, менеджер или системный администратор должны знать, что делать при подозрении на утечку.
  Как правильно: организовать ознакомление под подпись и короткий инструктаж; хранить листы ознакомления.

Чем поможет МелданаСБ

Для коммерческих компаний в Бийске мы готовим правовой контур реагирования на инциденты с ПДн: регламент уведомления РКН (24/72 часа), шаблоны сообщений, приказ о фиксации инцидентов и порядок внутреннего расследования. Это часть комплекта документов по 152-ФЗ, который адаптируется под ваши процессы, а не выдается пустым шаблоном. Утверждает документы руководитель заказчика.

Если ваша организация — субъект КИИ или эксплуатирует значимые объекты, мы не выполняем работы по ИБ самостоятельно: по Указу № 250 такие мероприятия проводятся только организациями с лицензией ФСТЭК. МелданаСБ поможет с организационной и правовой частью (ПДн, коммерческая тайна) и при необходимости скоординирует работу с партнёром-лицензиатом.

Частые вопросы

Готовый регламент — это не просто бумага, а рабочая инструкция, которая экономит часы при реальной утечке и снижает риск штрафов. Начните с комплекта документов по информационной безопасности или получите отдельную консультацию по документам по персональным данным. Если нужен расчёт для конкретного объекта, свяжитесь с нами — ответим в течение рабочего дня.