Кибербезопасность и ответственность директора: что нужно знать и сделать в 2026 году

Утечка клиентской базы. Атака шифровальщика на серверы. Инцидент с персональными данными сотрудников. Во всех трех случаях следователь придет не к системному администратору - он придет к директору.

В 2026 году персональная ответственность руководителя за риски кибербезопасности перестала быть теорией. По статье 274.1 УК РФ лицо, использующее служебное положение при нарушении правил защиты объектов КИИ (критической информационной инфраструктуры - банки, телеком, энергетика, медицина), рискует получить реальный срок до 10 лет. По обновленному 152-ФЗ штрафы за утечку персональных данных выросли до оборотных - от 1 до 3% выручки компании при повторных нарушениях. Административная ответственность должностных лиц фиксируется отдельно от корпоративной.

Большинство руководителей узнают об этом слишком поздно - уже после инцидента.

Эта статья - практическое руководство для директора, который хочет понять: какие риски кибербезопасности существуют в его компании, что конкретно требует от него закон, как выстроить систему управления рисками без погружения в технические детали - и что нужно сделать прямо сейчас, чтобы не оказаться лично ответственным за чужую халатность или системную уязвимость.

---

Почему кибербезопасность - это зона ответственности руководителя, а не IT-отдела

Типичная картина в российском бизнесе: директор подписывает бюджет, системный администратор настраивает антивирус, и все считают вопрос закрытым. Потом происходит инцидент - и выясняется, что антивирус не обновлялся восемь месяцев, резервных копий нет, а политика паролей существовала только на бумаге. Формально за все это отвечает IT-отдел. Юридически - директор.

Этот разрыв между бытовым восприятием и правовой реальностью - главная ловушка для руководителей. Кибербезопасность давно вышла за рамки технической функции. Решения, которые определяют реальный уровень защищенности компании, принимаются не в серверной, а в кабинете директора:

- какой бюджет выделяется на информационную безопасность;
- нанимать штатного специалиста по ИБ или работать с подрядчиком;
- какие данные собирает и хранит компания и как долго;
- подпадает ли организация под требования регуляторов - ФСТЭК, ФСБ, Роскомнадзора, Банка России;
- какие полномочия имеют сотрудники в информационных системах;
- как компания реагирует на инциденты и уведомляет пострадавших.

Каждое из этих решений - управленческое. Каждое при неблагоприятном исходе станет предметом разбирательства. И ни одно из них нельзя делегировать айтишнику с формулировкой "разберись сам".

Кибербезопасность превратилась в бизнес-риск того же уровня, что пожарная безопасность или охрана труда. Директор не обязан лично настраивать межсетевые экраны - но он обязан обеспечить систему, в которой все это делается правильно, документируется и контролируется. Именно так на это смотрит российское законодательство.

---

Законодательная база: что грозит руководителю при инцидентах ИБ

Российское законодательство в области информационной безопасности за последние три года претерпело существенные изменения: санкции выросли, круг обязанных субъектов расширился, правоприменение перешло от предупреждений к реальным санкциям. Руководителю достаточно знать ключевые законы и то, чем конкретно каждый из них грозит лично ему.

152-ФЗ после реформы 2024-2025 годов. Поправки, вступившие в силу 30 мая 2025 года (ФЗ №420-ФЗ), кардинально изменили систему ответственности. При утечке данных от 1 000 до 10 000 человек штраф на должностное лицо составит от 200 000 до 400 000 рублей, при утечке от 10 000 до 100 000 человек - от 300 000 до 500 000 рублей. При повторных нарушениях для должностных лиц штраф достигает 1,2 млн рублей, для компании - от 1 до 3% годовой выручки, но не менее 20 млн рублей. Отдельно введена уголовная ответственность (ст. 272.1 УК РФ) за незаконное использование и распространение персональных данных - до 10 лет лишения свободы при тяжких последствиях.

187-ФЗ и критическая информационная инфраструктура. Если компания относится к субъектам КИИ - банки, телеком, энергетика, транспорт, здравоохранение, оборонные предприятия - должностные лица несут персональную уголовную ответственность по ст. 274.1 УК РФ. Часть 4 статьи прямо указывает на использование служебного положения как квалифицирующий признак. Важный нюанс: уголовное преследование ведется следователями ФСБ России, а ст. 274.1 распространяется даже на владельцев систем, которые не провели категорирование и не считают себя субъектами КИИ.

Уголовная ответственность наступает не только при умышленных действиях. Халатность - недостаточный контроль, отсутствие регламентов, игнорирование предписаний регулятора - при наступлении тяжких последствий также может стать основанием для уголовного дела.

---

Что такое риск кибербезопасности: язык, понятный руководителю

Технические специалисты говорят об уязвимостях и векторах атак. Руководителю важно другое - понимать, что конкретно может произойти с бизнесом, сколько это будет стоить и кто за это ответит.

Риск в информационной безопасности - это конкретное сочетание трех элементов: угроза (кто или что может причинить вред), уязвимость (слабое место, через которое угроза реализуется) и ущерб (последствия для бизнеса). Риск возникает только тогда, когда все три присутствуют одновременно.

С позиции руководителя риски кибербезопасности делятся на пять групп:

Риски не существуют изолированно. Один инцидент запускает цепную реакцию сразу в нескольких группах. Атака шифровальщика - это одновременно операционный риск (остановка работы), финансовый (выкуп и потеря выручки), репутационный (огласка) и правовой (если в зашифрованных данных были персональные данные клиентов). Именно поэтому управление рисками требует системного, а не точечного подхода.

Источником риска далеко не всегда является внешний злоумышленник. Значительная доля инцидентов в российских компаниях связана с действиями собственных сотрудников - умышленными или случайными. Сотрудник, открывший фишинговое письмо, менеджер, отправивший клиентскую базу на личную почту, бухгалтер с одним паролем на все системы - все это реализованные риски без какого-либо внешнего взлома. Ответственность за необученный и неконтролируемый персонал лежит на руководителе.

---

Основные этапы управления рисками кибербезопасности

Управление рисками кибербезопасности - непрерывный цикл: выявили риски - оценили - приняли меры - проверили результат - выявили новые. Руководителю не нужно разбираться в каждом техническом шаге, но понимать свою роль на каждом этапе - обязательно.

Шаг 1. Идентификация активов и угроз

Прежде чем управлять рисками, нужно понять, что защищать и от чего. Активы в контексте кибербезопасности - это не только серверы и компьютеры:

- персональные данные клиентов, сотрудников, контрагентов;
- финансовая и бухгалтерская информация;
- коммерческая тайна, технологические разработки, тендерная документация;
- учетные записи и пароли в корпоративных системах;
- производственные системы автоматизированного управления - для промышленных предприятий;
- репутация и деловые связи компании.

Параллельно определяются актуальные угрозы с учетом отрасли и размера компании. Для производственного предприятия приоритетной угрозой может быть атака на производственные системы управления. Для розничной торговли - утечка клиентской базы. Для финансовой организации - компрометация платежных реквизитов.

Шаг 2. Оценка рисков

Каждый риск оценивается по двум параметрам: вероятность реализации и потенциальный ущерб. Их сочетание дает приоритет - он определяет, на что тратить ресурсы в первую очередь.

В российской практике оценка рисков проводится в соответствии с ГОСТ Р ИСО/МЭК 27005 и методиками ФСТЭК. Качественная оценка - риски ранжируются по шкале "высокий - средний - низкий": быстро и доступно. Количественная оценка - риски выражаются в денежном эквиваленте, что дает руководителю конкретные цифры для бюджетных решений.

Результат - реестр рисков с приоритетами. Это живой документ, который ведется постоянно и обновляется при каждом значимом изменении в инфраструктуре или угрозах.

Шаг 3. Выбор стратегии обработки риска

Для каждого риска выбирается одна из четырех стратегий:

- снижение - внедрение мер, уменьшающих вероятность или последствия риска. Основная стратегия для большинства значимых рисков;
- принятие - риск признается допустимым. Оправдано только при низкой вероятности и незначительном ущербе;
- передача - ответственность за последствия перекладывается на третью сторону: киберстрахование, аутсорсинг ИБ с четким распределением ответственности в договоре;
- уклонение - отказ от деятельности, порождающей риск. Например, решение не собирать избыточные персональные данные.

Выбор стратегии - управленческое решение. Руководитель определяет допустимый уровень риска, исходя из бизнес-целей, бюджета и регуляторных требований.

Шаг 4. Внедрение мер защиты

Меры защиты делятся на три группы:

- технические - средства защиты информации, межсетевые экраны, шифрование данных, многофакторная аутентификация, резервное копирование, и тд;
- организационные - политика ИБ, регламенты доступа, процедуры реагирования на инциденты, правила работы с подрядчиками и пр.;
- кадровые - обучение сотрудников, проверка при найме, разграничение прав доступа по должности, дисциплинарная ответственность за нарушения и др.

Роль руководителя - обеспечение ресурсов, утверждение политик и личный пример. Политика ИБ, которую директор подписал и сам же игнорирует, не работает.

Шаг 5. Мониторинг и пересмотр

Угрозы меняются, законодательство обновляется - реестр рисков двухлетней давности может быть устаревшим. Для руководителя мониторинг означает конкретные практики:

- регулярные отчеты от ответственного за ИБ - не реже раза в квартал;
- рассмотрение результатов аудитов;
- анализ произошедших инцидентов;
- контроль исполнения предписаний регуляторов в установленные сроки;
- пересмотр бюджета при существенных изменениях в бизнесе или угрозах

---

Как выстроить систему управления рисками: практические шаги

Реальная защита начинается тогда, когда управление рисками становится не набором документов, а работающей системой. Вот последовательность шагов, которую руководитель может начать реализовывать немедленно.

1. Назначить ответственного за информационную безопасность. Штатный специалист, сотрудник IT-отдела с расширенными полномочиями или внешний подрядчик - у этого человека должны быть реальные полномочия, прямой доступ к руководителю и бюджет. Ответственный без ресурсов - это имитация, а не система.

2. Провести аудит текущего состояния защищенности. Аудит дает объективную картину: что уже защищено, где критические уязвимости, какие требования регуляторов не выполнены. Его результаты становятся основой для всех последующих управленческих решений. Компания, которая провела аудит и устраняет нарушения, находится в принципиально иной правовой позиции при проверке регулятора.

3. Разработать и утвердить политику информационной безопасности. Минимальный необходимый состав документации: политика ИБ, регламент управления доступом, инструкция по работе с персональными данными (обязательна по 152-ФЗ), процедура реагирования на инциденты, регламент резервного копирования, правила работы с внешними подрядчиками. Все документы утверждаются подписью руководителя.

4. Выделить бюджет на основе оценки рисков. Ориентир: от 5 до 15% IT-бюджета - для компаний среднего размера. Для организаций, работающих с КИИ или большими объемами персональных данных, эта доля выше. Конкретные цифры определяются результатами оценки рисков, а не произвольно.

5. Обеспечить обучение персонала. Минимальная программа: базовые правила цифровой гигиены, распознавание фишинга и социальной инженерии, правила работы с корпоративными данными, порядок действий при подозрении на инцидент. Проводится не реже раза в год и при найме новых сотрудников.

6. Выстроить процедуры реагирования на инциденты. План реагирования должен отвечать на вопросы: кто принимает решения, кто уведомляет регуляторов и в какие сроки, кто взаимодействует со СМИ и клиентами, как восстанавливается работоспособность систем. Этот план должен быть известен ключевым сотрудникам и периодически проверяться на практике.

7. Проводить регулярный пересмотр системы. Не реже раза в год, а также внепланово при существенных изменениях: смена инфраструктуры, выход на новые рынки, слияния и поглощения, крупные инциденты.

Типичные ошибки руководителей в управлении рисками ИБ

1.  "Это все к айтишникам" - делегирование без ресурсов, полномочий и контроля. Ответственный есть, системы нет.

2.  Формальное выполнение требований - документы в папке, реальные меры не внедрены. При проверке - штраф, при инциденте - уголовное дело.

3.  Реактивный бюджет - деньги на ИБ появляются только после инцидента. Ликвидация последствий в среднем в 5-10 раз дороже превентивной защиты.

4.  Игнорирование человеческого фактора - все внимание технике, обучение персонала не проводится. Большинство успешных атак начинается именно с сотрудника.

5.  Отсутствие плана реагирования - компания не готова к инциденту. Потери в таком сценарии максимальны.

6.  Разовый подход - аудит однажды, документы подписаны, и на этом все. Угрозы эволюционируют, защита стоит на месте.

---

Роль аудита кибербезопасности в управлении рисками

Руководитель не может управлять тем, чего не видит. Аудит информационной безопасности - это систематическая проверка того, насколько реальный уровень защиты соответствует требованиям законодательства, регуляторов и собственной политики ИБ компании. Он дает три принципиально важные вещи.

Первое - объективная картина рисков. Не мнение штатного специалиста, который может не видеть проблем изнутри системы, а независимая оценка со стороны.

Второе - обоснование для бюджетных решений. Конкретный отчет переводит разговор об ИБ с уровня "нам нужно больше денег на безопасность" на уровень "вот конкретный риск с конкретной ценой - принимаем решение".

Третье - доказательная база. Компания, которая регулярно проводит аудит и устраняет нарушения, демонстрирует регулятору и суду добросовестность руководителя.

Виды аудита информационной безопасности

- внутренний - силами собственных специалистов по установленному графику. Позволяет отслеживать текущее состояние. Ограничение - субъективность оценки;
- внешний - независимой организацией с лицензиями ФСТЭК и ФСБ. Дает объективную оценку, необходим для подтверждения соответствия требованиям регуляторов;
- технический (пентест) - специалисты имитируют действия реального злоумышленника. Показывает не то, что должно быть защищено по документам, а то, что реально устоит перед атакой;
- аудит на соответствие регуляторным требованиям - проверка соответствия конкретному нормативному акту: 152-ФЗ, 187-ФЗ, ГОСТ Р 57580 для финансовых организаций, требованиям ФСТЭК для государственных информационных систем.

Периодичность: внутренний - не реже раза в квартал, внешний комплексный - не реже раза в год, внеплановый - после любого значимого инцидента или существенных изменений в инфраструктуре.

После получения отчета необходимо: рассмотреть нарушения на уровне руководства, приоритизировать их по критичности и ущербу, назначить ответственных с конкретными сроками, выделить бюджет, зафиксировать план устранения и контролировать его исполнение.

Если провести аудит самостоятельно не позволяют ресурсы или компетенции, имеет смысл привлечь внешнего подрядчика. Специалисты БелИнфоНалог проводят аудит безопасности бизнес-процессов и аудит на соответствие требованиям ФСТЭК, ФСБ и Роскомнадзора. По итогам руководитель получает отчет с перечнем нарушений, оценкой рисков и пошаговым планом устранения - готовую основу для управленческих решений.

Киберстрахование как инструмент управления рисками

Профессиональное управление рисками всегда включает не только меры по их снижению, но и инструменты управления последствиями. Киберстрахование - передача части финансовых последствий киберинцидента страховой компании. Компания не устраняет риск, но ограничивает максимальный финансовый ущерб от его реализации.

Стандартный полис киберстрахования, как правило, покрывает:

- расходы на расследование инцидента и привлечение внешних специалистов по реагированию;
- затраты на восстановление данных и работоспособности систем;
- расходы на уведомление пострадавших субъектов персональных данных - обязательное требование по 152-ФЗ;
- потерю выручки в период вынужденного простоя;
- расходы на юридическую защиту при разбирательствах с регуляторами;
- антикризисные коммуникации и репутационный менеджмент.

Страховая компания не возместит ущерб, если: инцидент стал следствием умышленных действий руководства; компания скрыла существенную информацию о состоянии инфраструктуры при заключении договора; нарушения регуляторных требований носили систематический характер и были известны до инцидента.

Здесь важно сделать принципиальное разграничение. Корпоративный полис покрывает ущерб компании как юридического лица. Персональная уголовная или административная ответственность руководителя как должностного лица страховкой не снимается. Киберстрахование защищает бизнес от финансовых потерь - но не директора от уголовного преследования. Единственная реальная защита руководителя - выстроенная система управления рисками и документально подтвержденная добросовестность.

Подобрать оптимальную программу страховой защиты с учетом отрасли, размера организации и профиля рисков помогут специалисты БелИнфоНалог.

---

Требования регуляторов 2026: что должен знать каждый руководитель

Российская система регулирования ИБ устроена по отраслевому принципу. Для многих компаний требования нескольких регуляторов действуют одновременно. Финансовая организация, обрабатывающая персональные данные клиентов и являющаяся субъектом КИИ, обязана соответствовать требованиям Банка России, Роскомнадзора и ФСТЭК - все требования действуют параллельно.

На что обратить особое внимание в 2026 году

Уведомление об инцидентах стало обязательным и срочным. По требованиям 152-ФЗ оператор персональных данных обязан направить в Роскомнадзор первичное уведомление в течение 24 часов с момента обнаружения инцидента, расширенное - в течение 72 часов. Нарушение этих сроков образует самостоятельный состав правонарушения, который рассматривается независимо от самого факта утечки.

Локализация данных контролируется строже. Персональные данные граждан РФ должны храниться и обрабатываться на серверах, физически расположенных на территории России. Использование зарубежных облачных сервисов для хранения таких данных - нарушение, которое Роскомнадзор выявляет в ходе плановых проверок.

Категорирование КИИ нельзя игнорировать. Организации, которые могут относиться к субъектам КИИ, обязаны самостоятельно провести категорирование и направить сведения в ФСТЭК. Уклонение само по себе является нарушением. Перечень отраслей, относящихся к КИИ, шире, чем многие думают: помимо энергетики и телекома, в него входят здравоохранение, транспорт, банковская сфера, оборонная промышленность, наука и ряд других секторов. Статья 274.1 УК РФ распространяется в том числе на владельцев систем, которые не провели категорирование и не считают себя субъектами КИИ.

Сертифицированные средства защиты - требование, а не опция. Для государственных информационных систем и объектов КИИ применение несертифицированных средств защиты является нарушением требований ФСТЭК. Покупка зарубежного программного обеспечения без проверки наличия сертификата регулятора может стать основанием для предписания.

Практический вывод: прежде чем выстраивать систему управления рисками, необходимо точно определить, под требования каких регуляторов подпадает конкретная организация. Ошибка в этом определении означает, что компания добросовестно выполняет требования одного регулятора и при этом системно нарушает требования другого.

---

Когда стоит привлечь внешних специалистов по кибербезопасности

Выстроить полноценную систему управления рисками исключительно своими силами способны лишь крупные организации с профильными подразделениями. Для большинства российских компаний - среднего бизнеса, региональных предприятий, организаций государственного сектора - дефицит квалифицированных специалистов по ИБ на рынке труда и постоянно усложняющиеся требования регуляторов делают привлечение внешней экспертизы зачастую единственным практичным решением.

Сигналы, что компании необходима внешняя экспертиза

- В штате нет специалиста по ИБ, а его функции де-факто выполняет системный администратор в дополнение к основным обязанностям. Реальный уровень защищенности, как правило, существенно ниже того, который кажется руководителю приемлемым.
- Предстоит плановая или внеплановая проверка ФСТЭК, Роскомнадзора, ЦБ. Подготовка требует специфических знаний нормативной базы, которыми штатный IT-специалист может не располагать.
- Компания относится или может относиться к субъектам КИИ, но категорирование не проводилось. Это одновременно нарушение 187-ФЗ и серьезный правовой риск для руководителя.
- Произошел инцидент - утечка данных, атака шифровальщика, несанкционированный доступ. Внешние специалисты необходимы для технического реагирования и юридически грамотного взаимодействия с регуляторами.
- Компания масштабируется или переходит на новую инфраструктуру. Каждое из этих изменений создает новые риски, которые нужно оценить до, а не после внедрения.
- Последний аудит проводился более года назад или не проводился никогда. Руководитель принимает управленческие решения без актуальной картины рисков.

Модели привлечения внешней экспертизы

- разовый аудит - внешняя организация проводит проверку и предоставляет отчет с рекомендациями. Оптимально для первичной картины рисков или подготовки к проверке регулятора;
- проектное сопровождение - помощь в разработке политики ИБ, выстраивании системы управления рисками, подготовке документации. Подходит для компаний, которые строят систему с нуля;
- аутсорсинг функций ИБ - внешняя организация берет на себя мониторинг, реагирование на инциденты, взаимодействие с регуляторами, обновление документации.

Оптимальная модель для среднего бизнеса без возможности содержать штатного специалиста по ИБ;
консалтинг для руководителя - помощь в понимании регуляторных требований, оценке персональных рисков и принятии обоснованных управленческих решений.

На что смотреть при выборе подрядчика

- наличие лицензий ФСТЭК России и ФСБ России - без них организация не вправе оказывать ряд ключевых услуг ИБ;
- опыт работы в вашей отрасли и с компаниями сопоставимого размера;
- наличие завершенных проектов и готовность предоставить контакты клиентов для проверки;
- квалификация специалистов - сертификаты, опыт реальных расследований инцидентов;
- прозрачность методологии - подрядчик должен объяснить руководителю на понятном языке, что именно он делает и почему.

БелИнфоНалог работает в сфере информационной безопасности с 2003 года, имеет необходимые лицензии и сертификаты, специализируется на комплексных решениях для бизнеса и государственного сектора по всей России. Спектр услуг охватывает полный цикл управления рисками: от первичного аудита и оценки соответствия требованиям регуляторов до внедрения систем защиты, аутсорсинга функций ИБ и сопровождения при взаимодействии с ФСТЭК, ФСБ и Роскомнадзором.

Заключение

Кибербезопасность в 2026 году - зона персональной управленческой ответственности руководителя. Юридически закрепленной, практически контролируемой и реально применяемой.

Директор, который выстроил систему управления рисками, провел аудит, утвердил политику ИБ и документально подтвердил свою добросовестность, находится в принципиально иной позиции, чем тот, кто делегировал все системному администратору. Разница между двумя этими позициями при инциденте - это разница между административным штрафом и уголовным делом, между управляемым кризисом и катастрофой.

Для начала не нужно делать все и сразу. Первый шаг - получить объективную картину текущего состояния защищенности. Все остальное строится на этом фундаменте.

Обратитесь к специалистам БелИнфоНалог - мы проведем аудит информационной безопасности и дадим четкие ответы на три ключевых вопроса: каков реальный уровень киберрисков в вашей организации, соответствует ли компания требованиям регуляторов и что нужно сделать в первую очередь. Вы получите конкретный план действий, с которым можно работать сразу. Позвоните по номеру 8-800-511-82-81 или оставьте заявку на сайте.