Как подготовиться к проверкам Роскомнадзора, ФСБ и ФСТЭК

Проверки Роскомнадзора, ФСБ и ФСТЭК пугают многих. Но на деле это способ убедиться, что бизнес соблюдает требования к информационной безопасности. В статье рассказываем, что и как проверяют, какие ошибки допускают компании и как их избежать.

Надежда Запольских Менеджер продукта Контур.Безопасность

Задача регуляторов — убедиться, что бизнес знает, как защищать данные сотрудников и клиентов. Пугаться стоит не самой проверки, а формального подхода внутри компании. Когда документы давно не проверяли, ответственных не назначили, а процессы есть только на бумаге — визит инспекции закончится предписанием или штрафом. Но если организация разбирается в своих процессах и соблюдает требования регуляторов, проверка пройдет спокойно.

Новым ИП – год Эльбы в подарок

Год онлайн-бухгалтерии на тарифе Премиум для ИП младше 3 месяцев

Попробовать бесплатно

Что проверяют регуляторы

Проверки Роскомнадзора (РКН), ФСБ и ФСТЭК различаются по подходу:

РКН проверяет, как у бизнеса организована работа с персональными данными (ПД): назначены ли ответственные за обработку, есть ли политика в отношении ПД, правильно ли оформлены согласия, не забыли ли уведомить РКН о начале обработки данных. Например, могут попросить показать, где хранятся личные дела сотрудников: если в открытом ящике или на столе — это нарушение.

ФСБ интересует, как организована техническая защита: использует ли бизнес сертифицированные средства криптографической защиты информации (СКЗИ), есть ли лицензии на их применение, как ведут журналы учёта, у кого есть доступ к технике. Например, если сервер с СКЗИ стоит без пломбы или опечатывания и к нему может подойти кто угодно — это повод для предписания.

ФСТЭК тоже следит за технической защитой данных, особенно если бизнес работает с государственными информационными системами или критической инфраструктурой. Регулятора интересует, какие средства защиты информации (СЗИ) использует компания, сертифицированы ли они, а также разработана ли модель угроз с учётом требований ФСБ. Например, если криптосредство закупили, но не используют — это повод для претензий.

Все три регулятора вправе проверить другие требования. Например, РКН может запросить модель угроз — документ, в котором описано, какие риски есть для информации и как организация собирается их снижать.

Проверки бывают плановыми — их проводят по утверждённому графику — и внеплановыми. В 2025 году плановых проверок нет, проводят только внеплановые — при утечке данных, более десяти жалоб в год, недостоверных ответах на запросы или неустранённых нарушениях.

Какие ещё есть проверки:

• Профилактический визит — разъяснение требований без санкций.
• Инспекционный визит — краткая выездная проверка текущего состояния.
• Документарная проверка — запрос и анализ полного пакета документации без выезда.
• Выездная проверка — очная проверка с посещением объектов и систем.

Заранее определите тип проверки — это поможет правильно организовать взаимодействие с регуляторами и сэкономить ресурсы на подготовку.

Проверка Роскомнадзора

Проверки РКН касаются большинства компаний, так как практически любой бизнес работает с персональными данными и считается оператором ПД.

Оператор персональных данных: обязанности в 2025 году

Типичные поводы для проверки: жалоба клиента или конкурента, инцидент с данными. Например, клиент пожаловался, что у него просили скинуть копию паспорта в мессенджере без согласия, или конкурент — на то, что на сайте нет политики обработки ПД. В случаях с жалобами подключаются прокуратура и ФСБ.

За нарушения организация получит предписание и месяц на исправление. Сотрудники РКН обычно настроены на диалог и повышение правовой грамотности, а не на штрафы. Но формальный подход к защите ПД регулятор выявляет быстро — организацию могут оштрафовать на сумму от 30 000 ₽ по статье 13.11 КоАП РФ, а при повторных нарушениях и выше.

Уведомление в Роскомнадзор об обработке персональных данных в 2025 году

Проверка ФСБ

ФСБ предупреждает о проверке максимум за один-два дня, а может приехать и без предварительного уведомления — особенно при инциденте. Проверяют документы, технику, настройки, доступы. Инспекция оценивает как общий уровень защиты информации, так и конкретные рабочие станции, сервера и каналы связи.

За нарушения выпишут предписание об их устранении и назначат штраф от 100 000 ₽ и выше. Например, при нарушении порядка защиты информации и требований к использованию СКЗИ оштрафуют по ст. 13.12 КоАП РФ.

Уменьшайте налог в один клик

Эльба займется налогами и ЕНС, а вы развитием бизнеса. Для новых ИП — 1 год Эльбы бесплатно

Попробовать бесплатно

Проверка ФСТЭК

Хотя проверки ФСТЭК встречаются реже, их не стоит исключать — особенно если организация попадает под требования 187-ФЗ или использует государственные информационные системы.

За нарушения ФСТЭК также выписывает предписание, где указывает срок на их устранение. При нарушении правил защиты информации организацию оштрафуют на сумму от 50 000 ₽ по ст. 13.12 КоАП РФ, при повторных нарушениях штрафы выше. Если нарушение связано с использованием несертифицированных средств защиты, ответственность может наступить и по другим статьям КоАП.

Как подготовиться к проверке

Нельзя подготовиться к проверке за один вечер, особенно если речь идёт о внеплановой проверке. Но можно встроить готовность к проверкам в повседневную работу:

Назначьте не менее двух ответственных. Один — разрабатывает и обновляет документы, взаимодействует с регуляторами и готовит ответы на их запросы. Второй — обеспечивает техническую защиту: контролирует работу СКЗИ, ведёт журналы учёта, следит за безопасностью серверов и рабочих станций.

Организуйте взаимодействие службы ИБ с другими отделами. Обязанности можно распределить так: юристы помогают корректно оформить согласия и договоры, кадровики контролируют работу с ПД и информируют сотрудников, инженеры внедряют и поддерживают технические меры защиты, а служба ИБ объединяет всё это в единую систему и следит, чтобы процессы соответствовали требованиям регуляторов.

Подготовьте документы. Проверьте, чтобы они были понятны и соответствовали реальным бизнес-процессам. Сотрудники должны знать, что и зачем подписывали, какие обязательства на себя взяли, как это отражается на их повседневной работе.

Проверьте процессы. Все процессы обновляются минимум раз в год или если меняется законодательство, а также после инцидентов и по итогам внутренних проверок.

Обучите сотрудников. Работники должны понимать, что они работают с персональной информацией и несут за это ответственность. Проверить это можно через регулярные тестирования после обучения, контрольные опросы, внутренние аудиты и моделирование инцидентов — например, фишинговые тренировки.

Информационная безопасность бизнеса

Контур.Эгида — сервисы информационной безопасности: уменьшение рисков внутренних угроз и утечек конфиденциальных данных, предотвращение атак злоумышленников.

Оставить заявку