В России уточнили ответственность за киберинциденты на критической инфраструктуре
Госдума приняла в первом чтении законопроекты, вводящие двухуровневую ответственность за инциденты в КИИ. Уголовное преследование сохраняется только за доказанное уничтожение или утечку данных, а за технические ошибки без последствий предусмотрены административные штрафы. Эксперты отмечают, что такая модель может снизить мотивацию бизнеса к инвестициям в дорогостоящие средства защиты, так как штрафы существенно ниже стоимости внедрения. Кроме того, норма о сотрудничестве со следствием может создать конфликт интересов между сотрудником и работодателем.
Государственная Дума РФ приняла в первом чтении два законопроекта, изменяющих систему ответственности за инциденты в области критической информационной инфраструктуры (КИИ). Как указывается в документах, инициатива устанавливает двухуровневую систему, сообщает «Ъ».
Уголовная ответственность по статье 274.1 УК РФ будет применяться за доказанные уничтожение, блокирование, модификацию или копирование данных КИИ. За нарушения правил эксплуатации, не приведшие к таким последствиям, вводится административная ответственность по новой статье КоАП.
Штрафы для граждан составят 5–10 тыс. рублей, для должностных лиц — 10–50 тыс. рублей, для юридических лиц — 100–500 тыс. рублей. Как сообщается в пояснительных материалах, сотрудник, допустивший нарушение, но активно помогавший следствию и сохранивший доказательства, может быть освобожден от уголовной ответственности.
Целью поправок является защита рядовых специалистов от уголовного преследования за технические ошибки. Для квалификации инцидента как административного правонарушения компании необходимо документально подтвердить отсутствие воздействия на информацию.
В экспертной среде, как отмечается в обсуждении инициатив, высказываются опасения, что возможность отделаться штрафом может снизить инвестиции бизнеса в кибербезопасность. Стоимость внедрения комплексных систем защиты может многократно превышать размер возможного штрафа, что делает их экономически неоправданными в такой модели.
При этом повторный инцидент, как подчеркивается, уже может повлечь уголовную ответственность, поскольку штраф не является альтернативой защите. Также существует риск, что норма о сотрудничестве со следствием создаст конфликт интересов между сотрудником и компанией, предпочитающей внутренние разбирательства.
Читайте также
