---
title: "Приказ Роскомнадзора №187: регламент уведомления об утечке шаг за шагом"
description: "Разбираем Приказ РКН №187 как регламент: что передаётся за 24 часа, что за 72, кто подписывает и как вести хронологию инцидента. Проверьте сайт бесплатно."
created_at: 2026-08-30
updated_at: 2026-08-30
category: "Утечки персональных данных"
tags:
  - "Приказ 187"
  - "уведомление РКН"
  - "152-ФЗ"
  - "регламент реагирования"
  - "утечка персональных данных"
source_url: "https://152fztest.ru/blog/prikaz-187-roskomnadzor-uvedomlenie-ob-utechke/"
source: "152fztest.ru"
---

Приказ Роскомнадзора №187 от 14.11.2022 — не просто «нужно сообщить об утечке». Это формализованный регламент с двумя жёсткими контрольными точками, конкретным перечнем сведений на каждую и требованием фиксировать хронологию инцидента так, чтобы её потом можно было предъявить проверяющему. Большинство компаний узнаёт детали регламента уже во время самого инцидента — когда времени на разбор документа почти не остаётся.

Ниже — регламент в виде, который можно распечатать и держать под рукой до того, как утечка [персональных данных](/glosarij/personalnye-dannye/) случится: что именно передавать на каждом шаге, кто подписывает, через какой канал и как вести журнал хронологии.

## Из чего состоит регламент Приказа №187

Приказ вводит не одно уведомление, а систему из двух контрольных точек с разным содержанием и общей точкой отсчёта — моментом, когда [оператор персональных данных](/glosarij/operator-personalnyh-dannyh/) **узнал** об инциденте, а не моментом самой утечки.

| Контрольная точка | Срок от обнаружения | Суть |
|---|---|---|
| Первичное уведомление | 24 часа | Сообщить сам факт, даже без завершённой картины |
| Отчёт о расследовании | 72 часа | Передать точные итоги: причину, масштаб, меры |

Общий обзор этого регламента по шагам и часам уже разобран в статье [«Что делать при утечке персональных данных: регламент 24 и 72 часов»](/blog/chto-delat-pri-utechke-personalnyh-dannyh-24-72-chasa/), а образец текста обоих уведомлений — в статье [«Уведомление в Роскомнадзор об утечке персональных данных: образец и порядок подачи»](/blog/uvedomlenie-roskomnadzor-ob-utechke-obrazec/). Здесь — именно регламентная часть: что передаётся, кто отвечает и как вести документацию инцидента, чтобы обе статьи выше можно было применить без сбоев.

## Шаг 1. Что именно передаётся за 24 часа

Первичное уведомление — это не отчёт, а предварительная сводка. Регулятор рассчитывает получить максимум известного на момент подачи, а не исчерпывающее расследование. Обязательный минимум сведений:

- наименование, ИНН и адрес оператора;
- ФИО и контакты ответственного за организацию обработки ПДн;
- дата и время обнаружения инцидента (не дата самой утечки, если она произошла раньше);
- предполагаемые обстоятельства и причины — в объёме, известном на этот момент;
- категории персональных данных, ставших доступными третьим лицам;
- ориентировочное число [субъектов персональных данных](/glosarij/subekt-personalnyh-dannyh/), чьи данные затронуты;
- уже предпринятые меры по локализации инцидента.

Если по пунктам о причинах и точном масштабе пока есть только предположения — это нормально и ожидаемо для первых суток. Ошибка большинства компаний — задержать подачу, пытаясь собрать полную картину. За нарушение срока в 24 часа штрафуют независимо от качества последующего расследования.

## Шаг 2. Что входит в отчёт через 72 часа

Второй документ — это уже не предположения, а зафиксированные факты внутреннего расследования:

1. точно установленная причина — техническая уязвимость, ошибка конфигурации, действия сотрудника или подрядчика;
2. точное число пострадавших субъектов (вместо ориентировочной оценки из первого уведомления);
3. точный перечень категорий и объёма утёкших данных;
4. меры, уже принятые для устранения уязвимости;
5. план дальнейших организационных и технических действий — аудит доступов, обучение персонала, доработка систем защиты.

Если расследование объективно не укладывается в 72 часа, в отчёт включают промежуточные результаты и статус работы. Закон не предусматривает переноса срока ни при каких обстоятельствах — это одна из типичных развилок, на которой компании теряют время, ожидая «закрытия» дела перед подачей.

## Через какой канал подавать

Основной канал — личный кабинет оператора персональных данных на портале **pd.rkn.gov.ru**, тот же, где подавалось [уведомление об обработке ПДн](/blog/kak-podat-uvedomlenie-v-roskomnadzor/). Отдельная регистрация для уведомления об утечке не требуется, если учётная запись оператора уже есть.

Отдельный нюанс, который часто упускают: если информационная система, где произошёл инцидент, дополнительно отнесена к объектам критической информационной инфраструктуры (КИИ) — банки, часть госсектора, крупные операторы связи и аналогичные субъекты — параллельно с уведомлением РКН нужно сообщить о компьютерном инциденте в ГосСОПКА через НКЦКИ. Это отдельный регуляторный режим, установленный законодательством о безопасности КИИ, и он не заменяет, а дополняет уведомление по Приказу №187. Для подавляющего большинства операторов — интернет-магазинов, сервисов, обычных сайтов с формами — эта дополнительная обязанность не применяется, и оба уведомления по регламенту 24/72 часа подаются только через личный кабинет РКН.

## Кто подписывает уведомление

Формально Приказ №187 не требует личной подписи руководителя на электронной подаче через личный кабинет — документ отправляется от имени учётной записи оператора, привязанной к юрлицу. Но на практике имеет смысл закрепить внутренним регламентом:

- кто **готовит** текст уведомления — обычно ответственный за организацию обработки ПДн или руководитель ИБ;
- кто **утверждает** финальную версию перед отправкой — как правило, генеральный директор или иное уполномоченное лицо, если оператор — юрлицо со сложной структурой согласований;
- кто физически **нажимает «отправить»** в личном кабинете и сохраняет квитанцию о подаче.

Если в компании нет чёткого распределения этих трёх ролей, в момент инцидента согласование каждого уведомления рискует растянуться на часы — а резерва по времени при сроке в 24 часа практически нет.

## Как вести хронологию инцидента

Регулятор при проверке смотрит не только на содержание уведомлений, но и на то, можно ли подтвердить соблюдение сроков документально. Универсальный формат — простой журнал хронологии инцидента, который начинают вести с первой минуты:

| Время (дата, часы, минуты) | Событие | Кто зафиксировал |
|---|---|---|
| — | Получен сигнал об инциденте (алерт, жалоба, публикация) | |
| — | Инцидент подтверждён, назначен ответственный | |
| — | Скомпрометированный доступ локализован | |
| — | Собраны предварительные данные для первичного уведомления | |
| — | Первичное уведомление отправлено в РКН | |
| — | Установлена точная причина инцидента | |
| — | Определено точное число пострадавших субъектов | |
| — | Отчёт о расследовании отправлен в РКН | |

Первая строка этого журнала — самая важная. Именно момент обнаружения, а не момент фактической утечки, служит точкой отсчёта обоих сроков. Без письменной фиксации этой даты компании нечем подтвердить, что 24 и 72 часа были соблюдены — а при проверке регулятор ориентируется на дату, которую сможет установить сам, по логам, перепискам и внутренним документам.

## Готовый регламент на одну страницу

Если у компании ещё нет внутреннего документа на случай утечки, минимальный рабочий вариант — короткое положение, включающее:

- ответственного за реагирование и порядок его замещения на время отпуска или болезни;
- три роли из раздела выше: кто готовит, кто утверждает, кто подаёт уведомление;
- ссылку на личный кабинет pd.rkn.gov.ru и учётные данные (хранить в защищённом месте, не в общем чате);
- шаблон журнала хронологии инцидента (таблица выше);
- контрольный список из обязательных полей первичного уведомления и отчёта о расследовании (разделы «Шаг 1» и «Шаг 2»);
- ссылку на образец текста уведомлений — из статьи [«Уведомление в Роскомнадзор об утечке персональных данных: образец и порядок подачи»](/blog/uvedomlenie-roskomnadzor-ob-utechke-obrazec/).

Этот документ стоит утвердить внутренним приказом заранее и держать доступным всей команде, ответственной за реагирование, — до того, как он понадобится в реальности.

## Что будет при нарушении регламента

Неуведомление или нарушение сроков 24/72 часа наказывается отдельно от штрафа за саму утечку:

| Нарушение | Штраф для юрлиц |
|---|---|
| Неуведомление или нарушение сроков уведомления РКН об утечке | 1–3 млн ₽ |
| Утечка ПДн 1 000–10 000 субъектов | 3–5 млн ₽ |
| Утечка ПДн 10 000–100 000 субъектов | 5–10 млн ₽ |
| Утечка ПДн свыше 100 000 субъектов или биометрических/специальных данных | 15–20 млн ₽ |
| Повторная утечка ([оборотный штраф](/blog/oborotnye-shtrafy-za-utechku-personalnyh-dannyh/)) | 1–3% годовой выручки, минимум 20 млн ₽, максимум 500 млн ₽ |

Технически безупречное устранение уязвимости не освобождает от санкции за пропущенный срок отчётности — это два независимых основания, и они складываются.

## Частые ошибки при работе по регламенту

- **Нет распределения ролей заранее** — согласование текста уведомления в момент инцидента съедает часы, которых и так не хватает.
- **Не фиксируется момент обнаружения письменно** — без даты в журнале хронологии нечем подтвердить соблюдение сроков.
- **Путаница между ГосСОПКА и уведомлением РКН** — для операторов, не относящихся к субъектам КИИ, эта обязанность не применяется, и попытка разобраться в ней в момент утечки — лишняя трата времени.
- **Ожидание завершённого расследования перед первым уведомлением** — первичное уведомление подаётся с предварительными данными, это заложено в саму логику регламента.
- **Регламент существует только «на словах»** — без письменного документа с ролями и шаблонами компания каждый раз тратит время на восстановление процедуры заново.

Регламент реагирования снижает риск при уже случившемся инциденте, но не устраняет саму уязвимость — открытые формы на сайте, отсутствие защищённой передачи данных, слабую политику согласий. Проверить сайт на очевидные точки риска можно бесплатным автоматическим сканером на 152-ФЗ.

## Частые вопросы

### Что именно передаётся в Роскомнадзор в первые 24 часа?

Реквизиты оператора, контакты ответственного лица, дата и время обнаружения инцидента, предварительные обстоятельства и предполагаемые причины, ориентировочное число пострадавших субъектов и категории затронутых данных, а также уже предпринятые меры. Точных цифр на этом этапе не требуется — регулятор ждёт добросовестную предварительную сводку, а не готовый отчёт.

### Что входит в отчёт через 72 часа?

Итоги внутреннего расследования: точно установленная причина инцидента, точное число пострадавших субъектов и перечень категорий утёкших данных, принятые меры по устранению уязвимости и план дальнейших организационных и технических действий. Если расследование не завершено, указываются промежуточные результаты — перенос срока не предусмотрен.

### Нужно ли уведомлять самих субъектов персональных данных, а не только РКН?

Прямой законодательной обязанности уведомлять каждого субъекта нет — Приказ №187 регулирует только отчётность перед регулятором. Но при утечке чувствительных данных (пароли, документы, финансовые сведения, спецкатегории) публичное или адресное уведомление снижает репутационный ущерб и учитывается как элемент добросовестного поведения оператора.

### Какой штраф грозит за нарушение сроков уведомления?

Неуведомление или нарушение сроков подачи уведомления об утечке — самостоятельный состав, отдельный от штрафа за саму утечку: 1–3 млн рублей для юрлиц. Компания может заплатить дважды — за утечку и отдельно за пропущенный регламент 24/72 часа.