Чек-лист руководителя ИБ: 15 шагов подготовки к проверке РКН в 2026 году

С 30 мая 2025 года штрафы по ст. 13.11 КоАП выросли, а за повторную утечку ПДн предусмотрены оборотные штрафы до 500 млн ₽. Этот чек-лист помогает подготовиться к проверке Роскомнадзора заранее: каждый пункт привязан к норме.

Что проверяет РКН при внеплановой проверке

Предмет контроля — соблюдение операторами обязательных требований 152-ФЗ и принятых в соответствии с ним актов (ч. 2 ст. 23.1 152-ФЗ). Внеплановые мероприятия со взаимодействием проводятся по основаниям п. 1, 3–5, 7 и 9 ч. 1 и ч. 3 ст. 57 248-ФЗ (п. 39 Положения, утверждённого постановлением Правительства от 29.06.2021 № 1046) — в том числе при сведениях о причинении вреда или угрозе вреда и при выявлении индикаторов риска. Индикаторы утверждены приказом Минцифры от 15.11.2021 № 1187.

Чек-лист: 15 пунктов

1. 1.Уведомление в РКН: Уведомление о намерении обрабатывать ПДн подано до начала обработки и актуально (ч. 1, 7 ст. 22 152-ФЗ). Запись можно проверить на pd.rkn.gov.ru. Регистрацию оператора в реестре проверяют тарифы Стандарт и Deep сканера AXIOMA.
2. 2.Политика обработки ПДн на сайте: Опубликована на страницах сбора ПДн вместе со сведениями о реализуемых требованиях к защите (ч. 2 ст. 18.1 152-ФЗ). Наличие и содержание политики проверяет уже бесплатный экспресс-скан.
3. 3.Согласия в формах: Если основание обработки — согласие, оно оформлено отдельно от иных информации и документов (ч. 1 ст. 9). Формы сбора ПДн на сайте проверяет экспресс-скан.
4. 4.Приказ о назначении ответственного: Юрлицо назначило ответственного за организацию обработки ПДн (ч. 1 ст. 22.1); ФИО и контакты в уведомлении актуальны (п. 7.1 ч. 3, ч. 7 ст. 22).
5. 5.Поручения обработки: Подрядчики, обрабатывающие ПДн по поручению (CRM, хостинг, рассылки), работают по поручению с перечнем ПДн, действий и целей обработки (ч. 3 ст. 6). Сторонние сервисы на сайте выявляют тарифы Стандарт и Deep.
6. 6.Локализация баз данных (ч. 5 ст. 18): При сборе ПДн граждан РФ запись, хранение и извлечение ведутся с использованием баз данных в России. Локализацию и трансграничную передачу на сайте проверяют тарифы Стандарт и Deep.
7. 7.Угрозы безопасности ПДн: Угрозы определены для информационных систем ПДн (п. 1 ч. 2 ст. 19); уровень защищённости — по требованиям, утверждённым постановлением Правительства № 1119, меры — по приказу ФСТЭК № 21.
8. 8.Регистрация действий с ПДн: Действия с ПДн в информационной системе регистрируются и учитываются (п. 8 ч. 2 ст. 19); срок хранения записей определяет оператор. В кабинете AXIOMA журнал действий ведётся с цепочкой хешей SHA-256.
9. 9.Инциденты и уведомления РКН: Инциденты учитываются; РКН уведомляется в течение 24 часов об инциденте и в течение 72 часов — о результатах внутреннего расследования (ч. 3.1 ст. 21; порядок — приказ РКН № 187). В кабинете AXIOMA есть мастер уведомлений в эти сроки.
10. 10.Согласие на cookie: Если аналитические cookie обрабатывают ПДн на основании согласия, трекеры не загружаются до его получения, а отказ сохраняется. Cookie-баннер проверяет экспресс-скан.
11. 11.Ограничение доступа по ролям: Правила доступа к ПДн в информационной системе установлены и документированы (п. 8 ч. 2 ст. 19).
12. 12.Ознакомление и обучение сотрудников: Работники, обрабатывающие ПДн, ознакомлены с законодательством о ПДн, политикой и локальными актами оператора и (или) обучены (п. 6 ч. 1 ст. 18.1).
13. 13.Оценка эффективности мер: Эффективность мер по обеспечению безопасности ПДн оценена до ввода информационной системы в эксплуатацию (п. 4 ч. 2 ст. 19).
14. 14.Порядок ответа на запросы субъектов: Сведения об обработке — в течение 10 рабочих дней с продлением не более чем на 5 (ч. 3 ст. 14); уточнение, блокирование и уничтожение — в сроки ст. 20 и 21. В кабинете AXIOMA есть раздел запросов субъектов ПДн.
15. 15.Журнал расходов на ИБ: Расходы на мероприятия по ИБ, проведённые лицензиатами, не менее 0,1% выручки ежегодно в течение трёх лет — одно из трёх условий снижения штрафа за повторную утечку (ч. 3.4-2 ст. 4.1 КоАП); остальные — документально подтверждённое соблюдение требований к защите ПДн за 12 месяцев и отсутствие отягчающих обстоятельств.

Что закрывают сканер и кабинет AXIOMA

Остальные пункты — 4, 7, 11, 12 и 13 — требуют документов и организационных мер самой компании.

Что делать прямо сейчас (план на 2 недели)

1. 1.День 1: экспресс-скан: Запустите бесплатный скан на axioma-ai.ru/152fz-check: 6 модулей проверки, обычно до 5 минут. Увидите нарушения по политике, согласиям в формах и cookie-баннеру (пункты 2, 3 и 10).
2. 2.День 1–2: пакет доказательств: Подключите кабинет AXIOMA (по запросу на info@axioma-ai.ru) и соберите пакет доказательств за нужный период.
3. 3.День 3–5: устранение нарушений: Исправьте нарушения по пунктам 2–3 (политика, согласия).
4. 4.День 6–10: документы: Подпишите актуальные приказы (пункт 4), обновите поручения обработки (пункт 5), утвердите порядок ответа на запросы субъектов (пункт 14).
5. 5.День 11–14: журнал расходов на ИБ: Начните вести журнал расходов на ИБ (пункт 15): он понадобится, если придётся подтверждать условия снижения штрафа за повторную утечку.