Что именно передаётся в Роскомнадзор в первые 24 часа?

Реквизиты оператора, контакты ответственного лица, дата и время обнаружения инцидента, предварительные обстоятельства и предполагаемые причины, ориентировочное число пострадавших субъектов и категории затронутых данных, а также уже предпринятые меры. Точных цифр на этом этапе не требуется — регулятор ждёт добросовестную предварительную сводку, а не готовый отчёт.

Нужно ли уведомлять самих субъектов персональных данных, а не только РКН?

Прямой законодательной обязанности уведомлять каждого субъекта нет — Приказ №187 регулирует только отчётность перед регулятором. Но при утечке чувствительных данных (пароли, документы, финансовые сведения, спецкатегории) публичное или адресное уведомление снижает репутационный ущерб и учитывается как элемент добросовестного поведения оператора.

Какой штраф грозит за нарушение сроков уведомления?

Неуведомление или нарушение сроков подачи уведомления об утечке — самостоятельный состав, отдельный от штрафа за саму утечку: 1–3 млн рублей для юрлиц. Компания может заплатить дважды — за утечку и отдельно за пропущенный регламент 24/72 часа.

Приказ Роскомнадзора №187: регламент уведомления об утечке шаг за шагом

Q: Что входит в отчёт через 72 часа?

Итоги внутреннего расследования: точно установленная причина инцидента, точное число пострадавших субъектов и перечень категорий утёкших данных, принятые меры по устранению уязвимости и план дальнейших организационных и технических действий. Если расследование не завершено, указываются промежуточные результаты — перенос срока не предусмотрен.

Приказ Роскомнадзора №187 от 14.11.2022 — не просто «нужно сообщить об утечке». Это формализованный регламент с двумя жёсткими контрольными точками, конкретным перечнем сведений на каждую и требованием фиксировать хронологию инцидента так, чтобы её потом можно было предъявить проверяющему. Большинство компаний узнаёт детали регламента уже во время самого инцидента — когда времени на разбор документа почти не остаётся.

Ниже — регламент в виде, который можно распечатать и держать под рукой до того, как утечка персональных данных случится: что именно передавать на каждом шаге, кто подписывает, через какой канал и как вести журнал хронологии.

Из чего состоит регламент Приказа №187

Приказ вводит не одно уведомление, а систему из двух контрольных точек с разным содержанием и общей точкой отсчёта — моментом, когда оператор персональных данных узнал об инциденте, а не моментом самой утечки.

Контрольная точка	Срок от обнаружения	Суть
Первичное уведомление	24 часа	Сообщить сам факт, даже без завершённой картины
Отчёт о расследовании	72 часа	Передать точные итоги: причину, масштаб, меры

Общий обзор этого регламента по шагам и часам уже разобран в статье «Что делать при утечке персональных данных: регламент 24 и 72 часов», а образец текста обоих уведомлений — в статье «Уведомление в Роскомнадзор об утечке персональных данных: образец и порядок подачи». Здесь — именно регламентная часть: что передаётся, кто отвечает и как вести документацию инцидента, чтобы обе статьи выше можно было применить без сбоев.

Шаг 1. Что именно передаётся за 24 часа

Первичное уведомление — это не отчёт, а предварительная сводка. Регулятор рассчитывает получить максимум известного на момент подачи, а не исчерпывающее расследование. Обязательный минимум сведений:

наименование, ИНН и адрес оператора;
ФИО и контакты ответственного за организацию обработки ПДн;
дата и время обнаружения инцидента (не дата самой утечки, если она произошла раньше);
предполагаемые обстоятельства и причины — в объёме, известном на этот момент;
категории персональных данных, ставших доступными третьим лицам;
ориентировочное число субъектов персональных данных, чьи данные затронуты;
уже предпринятые меры по локализации инцидента.

Если по пунктам о причинах и точном масштабе пока есть только предположения — это нормально и ожидаемо для первых суток. Ошибка большинства компаний — задержать подачу, пытаясь собрать полную картину. За нарушение срока в 24 часа штрафуют независимо от качества последующего расследования.

Шаг 2. Что входит в отчёт через 72 часа

Второй документ — это уже не предположения, а зафиксированные факты внутреннего расследования:

точно установленная причина — техническая уязвимость, ошибка конфигурации, действия сотрудника или подрядчика;
точное число пострадавших субъектов (вместо ориентировочной оценки из первого уведомления);
точный перечень категорий и объёма утёкших данных;
меры, уже принятые для устранения уязвимости;
план дальнейших организационных и технических действий — аудит доступов, обучение персонала, доработка систем защиты.

Если расследование объективно не укладывается в 72 часа, в отчёт включают промежуточные результаты и статус работы. Закон не предусматривает переноса срока ни при каких обстоятельствах — это одна из типичных развилок, на которой компании теряют время, ожидая «закрытия» дела перед подачей.

Через какой канал подавать

Основной канал — личный кабинет оператора персональных данных на портале pd.rkn.gov.ru, тот же, где подавалось уведомление об обработке ПДн. Отдельная регистрация для уведомления об утечке не требуется, если учётная запись оператора уже есть.

Отдельный нюанс, который часто упускают: если информационная система, где произошёл инцидент, дополнительно отнесена к объектам критической информационной инфраструктуры (КИИ) — банки, часть госсектора, крупные операторы связи и аналогичные субъекты — параллельно с уведомлением РКН нужно сообщить о компьютерном инциденте в ГосСОПКА через НКЦКИ. Это отдельный регуляторный режим, установленный законодательством о безопасности КИИ, и он не заменяет, а дополняет уведомление по Приказу №187. Для подавляющего большинства операторов — интернет-магазинов, сервисов, обычных сайтов с формами — эта дополнительная обязанность не применяется, и оба уведомления по регламенту 24/72 часа подаются только через личный кабинет РКН.

Кто подписывает уведомление

Формально Приказ №187 не требует личной подписи руководителя на электронной подаче через личный кабинет — документ отправляется от имени учётной записи оператора, привязанной к юрлицу. Но на практике имеет смысл закрепить внутренним регламентом:

кто готовит текст уведомления — обычно ответственный за организацию обработки ПДн или руководитель ИБ;
кто утверждает финальную версию перед отправкой — как правило, генеральный директор или иное уполномоченное лицо, если оператор — юрлицо со сложной структурой согласований;
кто физически нажимает «отправить» в личном кабинете и сохраняет квитанцию о подаче.

Если в компании нет чёткого распределения этих трёх ролей, в момент инцидента согласование каждого уведомления рискует растянуться на часы — а резерва по времени при сроке в 24 часа практически нет.

Как вести хронологию инцидента

Регулятор при проверке смотрит не только на содержание уведомлений, но и на то, можно ли подтвердить соблюдение сроков документально. Универсальный формат — простой журнал хронологии инцидента, который начинают вести с первой минуты:

Время (дата, часы, минуты)	Событие	Кто зафиксировал
—	Получен сигнал об инциденте (алерт, жалоба, публикация)
—	Инцидент подтверждён, назначен ответственный
—	Скомпрометированный доступ локализован
—	Собраны предварительные данные для первичного уведомления
—	Первичное уведомление отправлено в РКН
—	Установлена точная причина инцидента
—	Определено точное число пострадавших субъектов
—	Отчёт о расследовании отправлен в РКН

Первая строка этого журнала — самая важная. Именно момент обнаружения, а не момент фактической утечки, служит точкой отсчёта обоих сроков. Без письменной фиксации этой даты компании нечем подтвердить, что 24 и 72 часа были соблюдены — а при проверке регулятор ориентируется на дату, которую сможет установить сам, по логам, перепискам и внутренним документам.

Готовый регламент на одну страницу

Если у компании ещё нет внутреннего документа на случай утечки, минимальный рабочий вариант — короткое положение, включающее:

ответственного за реагирование и порядок его замещения на время отпуска или болезни;
три роли из раздела выше: кто готовит, кто утверждает, кто подаёт уведомление;
ссылку на личный кабинет pd.rkn.gov.ru и учётные данные (хранить в защищённом месте, не в общем чате);
шаблон журнала хронологии инцидента (таблица выше);
контрольный список из обязательных полей первичного уведомления и отчёта о расследовании (разделы «Шаг 1» и «Шаг 2»);
ссылку на образец текста уведомлений — из статьи «Уведомление в Роскомнадзор об утечке персональных данных: образец и порядок подачи».

Этот документ стоит утвердить внутренним приказом заранее и держать доступным всей команде, ответственной за реагирование, — до того, как он понадобится в реальности.

Что будет при нарушении регламента

Неуведомление или нарушение сроков 24/72 часа наказывается отдельно от штрафа за саму утечку:

Нарушение	Штраф для юрлиц
Неуведомление или нарушение сроков уведомления РКН об утечке	1–3 млн ₽
Утечка ПДн 1 000–10 000 субъектов	3–5 млн ₽
Утечка ПДн 10 000–100 000 субъектов	5–10 млн ₽
Утечка ПДн свыше 100 000 субъектов или биометрических/специальных данных	15–20 млн ₽
Повторная утечка (оборотный штраф)	1–3% годовой выручки, минимум 20 млн ₽, максимум 500 млн ₽

Технически безупречное устранение уязвимости не освобождает от санкции за пропущенный срок отчётности — это два независимых основания, и они складываются.

Частые ошибки при работе по регламенту

Нет распределения ролей заранее — согласование текста уведомления в момент инцидента съедает часы, которых и так не хватает.
Не фиксируется момент обнаружения письменно — без даты в журнале хронологии нечем подтвердить соблюдение сроков.
Путаница между ГосСОПКА и уведомлением РКН — для операторов, не относящихся к субъектам КИИ, эта обязанность не применяется, и попытка разобраться в ней в момент утечки — лишняя трата времени.
Ожидание завершённого расследования перед первым уведомлением — первичное уведомление подаётся с предварительными данными, это заложено в саму логику регламента.
Регламент существует только «на словах» — без письменного документа с ролями и шаблонами компания каждый раз тратит время на восстановление процедуры заново.

Регламент реагирования снижает риск при уже случившемся инциденте, но не устраняет саму уязвимость — открытые формы на сайте, отсутствие защищённой передачи данных, слабую политику согласий. Проверить сайт на очевидные точки риска можно бесплатным автоматическим сканером на 152-ФЗ.