Ведёте CRM с телефонами клиентов, принимаете заказы через форму на сайте или просто храните базу в Google Таблице — по закону вы уже владелец информационной системы с персональными данными, а значит, обязаны эту систему защищать. С 19 июня 2026 года за провал в этой защите в КоАП появилась отдельная статья со штрафом до 200 базовых величин для юрлица. Разбираемся, кого это касается на практике и что сделать, чтобы не попасть на проверку врасплох.

Откуда взялась обязанность защищать свою систему

Требование не новое — оно действует с 2013 года, просто до недавнего времени о нём редко вспоминали за пределами банков и госорганов. Указ Президента от 16 апреля 2013 г. № 196 «О некоторых мерах по совершенствованию защиты информации» и статья 28 закона от 10 ноября 2008 г. № 455-З «Об информации, информатизации и защите информации» требуют: если информационная система обрабатывает информацию, распространение которой ограничено, — а персональные данные клиентов и сотрудников относятся именно к такой категории, — эксплуатировать её можно только с применением системы защиты информации, аттестованной Оперативно-аналитическим центром при Президенте.

Проще говоря: есть у вас личный кабинет на сайте, CRM, база клиентов в облаке или даже просто таблица с именами, телефонами и адресами доставки — вы владелец информационной системы, которая подпадает под это требование. Исключений для размера бизнеса закон не делает: обязанность формально одинакова и для банка, и для ИП с интернет-магазином на три товара.

Новое в этой истории — административная ответственность: обязанность наконец подкрепили штрафами. Указ Президента от 14 февраля 2023 г. № 40 «О кибербезопасности» ввёл понятие киберинцидента и обязал владельцев информационных систем выстраивать защиту системно, а не для галочки. А с 19 июня 2026 года в Кодекс об административных правонарушениях вступили статьи 23.11 и 23.12, которые впервые дали этим требованиям штрафную цену.

Что именно наказывает статья 23.11 КоАП

Статья устроена иначе, чем большинство норм КоАП: наказание привязано к последствиям, а не к наличию документов. Штраф грозит за так называемый киберинцидент высокого уровня — событие определённого масштаба: вирус-шифровальщик остановил работу кассы или склада на несколько часов, произошла утечка базы клиентов, систему использовали для атаки на кого-то ещё, сайт полностью лёг под DDoS-атакой. Если неудачную попытку взлома удалось отбить без последствий — это инцидент низкого уровня, под статью он не подпадает.

Внутри статьи четыре состава с разными штрафами:

  • система могла законно работать без аттестованной защиты (обрабатывает только общедоступную информацию), но даже базовые организационные меры не соблюдались — до 100 базовых величин для юрлица (4 500 рублей при базовой величине 45 рублей);
  • защита формально есть, но настроена или используется с нарушениями (отключены обновления антивируса, доступы розданы кому попало) — до 125 базовых величин (5 625 рублей);
  • система обязана работать только с аттестованной защитой, а её не было вообще — до 200 базовых величин (9 000 рублей);
  • отдельная, самая суровая планка — до 600 базовых величин (27 000 рублей) — для центров кибербезопасности, которые оказывали услуги защиты на аутсорсе и не справились с этой работой.

Пример: сбой, за который штрафуют

Интернет-магазин одежды хранит базу покупателей и историю заказов в CRM без выделенного ответственного за безопасность и без обновлений антивируса на рабочих компьютерах. Сотрудник открывает фишинговое письмо, в сеть магазина попадает вирус-шифровальщик, база недоступна два дня, заказы обработать нельзя. Это и есть киберинцидент высокого уровня: остановка бизнес-процессов из-за пренебрежения базовыми мерами защиты — именно тот случай, под который написана статья 23.11 КоАП.

Отвечают по этой статье юрлица, ИП и должностные лица, отвечающие за информационную безопасность. Рядового сотрудника, который по неосторожности открыл заражённый файл, к административной ответственности по этой статье не привлекут — для таких случаев, если ущерб действительно серьёзный, есть отдельные статьи Уголовного кодекса, но это уже совсем другой уровень истории.

Кому реально нужна аттестованная система защиты

Здесь важно не запутаться в масштабах. Постановление Совета Министров от 14 мая 2026 г. № 246 «О центрах кибербезопасности» касается не малого бизнеса, а конкретного перечня госорганов и крупных организаций, которые обязаны создавать собственные центры мониторинга (SOC) или покупать такие услуги у аккредитованных подрядчиков. Если вы ИП или небольшое ООО — этот список не про вас, и строить собственный центр кибербезопасности не нужно.

А вот требование аттестовать систему защиты информации касается куда более широкого круга — ровно потому, что завязано не на размер компании, а на тип обрабатываемых данных. Проверить, относитесь ли вы к этому кругу, можно одним вопросом: обрабатывает ли ваша система персональные данные или другую информацию с ограниченным распространением? Если у вас есть хотя бы одно из перечисленного — вы, скорее всего, в зоне требования:

  • CRM-система или база клиентов с телефонами, адресами, историей заказов;
  • личный кабинет или форма регистрации на сайте;
  • система онлайн-оплаты с данными покупателей;
  • кадровый учёт сотрудников — ФИО, паспортные данные, зарплаты;
  • почта с перепиской, где фигурируют имена и контакты клиентов.

Персональные данные по закону — это не только паспорт и прописка. Телефон, e-mail, адрес доставки, IP-адрес, файлы cookie на сайте — тоже они. Поэтому практически у любого бизнеса, который хоть как-то ведёт учёт клиентов не на бумажке в кармане, формально есть информационная система, подпадающая под требование аттестации.

С чего начать, если раньше об этом не думали

Паниковать и срочно бежать за дорогой аттестацией не нужно: сама по себе бумага от штрафа не спасает — отвечать придётся за конкретный серьёзный инцидент. Но привести дела в порядок стоит заранее, а не после того, как что-то случится:

  1. Проведите инвентаризацию. Выпишите все системы, где у вас есть данные клиентов или сотрудников: сайт, CRM, бухгалтерская программа, облачное хранилище, почта.
  2. Определите, какая информация там хранится. Если это только общедоступные сведения — требование аттестации к вам не относится. Если есть персональные данные — относится.
  3. Назначьте ответственного. Даже в небольшой компании должен быть человек (необязательно отдельный айтишник), который отвечает за информационную безопасность и знает, что делать при сбое.
  4. Уберите самые дешёвые риски. Лицензионный, а не пиратский антивирус с актуальными обновлениями, разграничение доступа к базам по принципу «только тем, кому действительно нужно», резервное копирование данных, двухфакторная аутентификация там, где это возможно — большая часть нарушений статьи 23.11 как раз про игнорирование этих базовых вещей.
  5. Оцените масштаб. Если у вас серьёзный объём персональных данных или критичные для бизнеса системы, имеет смысл обратиться к подрядчику, который специализируется на аттестации СЗИ, и передать ему весь процесс или отдельные его этапы — от аудита до получения аттестата.

Аттестацию придётся поддерживать: обновления, проверки прав доступа, обучение сотрудников элементарным правилам цифровой гигиены. Для большинства небольших компаний основная работа всё равно укладывается в наведение порядка с тем, что уже должно быть: обновлённый софт, разграниченные пароли, резервные копии. Строить серверную с нуля не придётся.

Эта тема перекликается с тем, что мы уже разбирали про работу с персональными данными клиентов: закон о персональных данных требует от оператора принимать меры защиты, а требование аттестации СЗИ — конкретный технический инструмент, которым эта обязанность исполняется на практике. Если вы уже навели порядок с основаниями обработки данных и согласиями клиентов, разобраться с защитой систем будет проще — вы уже понимаете, какие данные у вас есть и зачем.

Источники: