Кому грозят штрафы за нарушения работы с КИИ: ответ экспертов

Изменения вступили в силу 20 апреля

Закон, вводящий административную ответственность за нарушения правил эксплуатации объектов критической информационной инфраструктуры (КИИ), фактически вывел нарушения эксплуатационной дисциплины из категории внутренних ИТ-проблем в полноценный административный риск. Об этом пишет «Телеспутник» со ссылкой на профильных экспертов. 

Изменения вступили в силу с 20 апреля. Под действие статьи подпадают ошибки в настройке доступа, несоблюдение регламентов работы с данными, нарушение конфигурации систем и режима функционирования объектов КИИ.

Размер штрафов зависит от статуса нарушителя: гражданам грозит до 10 тыс. рублей, должностным лицам — до 50 тыс. рублей, а юридическим лицам — до 500 тыс. рублей. Как пояснила управляющий партнер O2 Consulting Анна Никитченко, теперь контролирующим органам не требуется ждать инцидента или ущерба — основанием для привлечения к ответственности может стать сам факт неправильной эксплуатации инфраструктуры.

Требования к эксплуатации КИИ включают как федеральные нормы, так и внутренние регламенты организаций. Основой выступает Федеральный закон № 187-ФЗ «О безопасности критической информационной инфраструктуры РФ», который обязывает владельцев объектов категорировать системы и обеспечивать их защиту на всех этапах жизненного цикла. Дополнительные подзаконные акты регулируют процессы от ввода объекта в эксплуатацию до его вывода из работы.

Директор департамента информационной безопасности «Рексофт» Сергей Бабкин напомнил, что и ранее в законодательстве существовали санкции за нарушения требований к безопасности значимых объектов КИИ и за несвоевременное информирование об инцидентах. Однако новая статья отдельно вводит ответственность именно за нарушения эксплуатационной дисциплины.

По словам адвоката «ССП-Консалт» Анастасии Третинниковой, ужесточение законодательства связано с масштабной цифровизацией государственных и отраслевых систем. Она отметила, что критически важные процессы — от работы госуслуг до транспортной и энергетической инфраструктуры — все сильнее зависят от устойчивости цифровых платформ, а любые сбои способны затронуть миллионы пользователей.

Директор по развитию UDV Group Максим Хараск добавил, что количество атак на критическую инфраструктуру продолжает расти, тогда как возможности надзорных органов ограничены. На этом фоне государство делает ставку на более понятную модель ответственности: нарушение правил эксплуатации автоматически становится поводом для санкций. Как подчеркнула Анна Никитченко, новый закон повышает цену неформального подхода к управлению КИИ и стимулирует компании строже соблюдать регламенты. Срок давности привлечения к административной ответственности составляет один год с момента нарушения. Уголовная ответственность по статьям 274.1 и 274.2 УК РФ по-прежнему применяется только в случаях причинения вреда.