Сценарий 500 млн ₽ выручки + повторная утечка
С 30.05.2025 ст. 13.11 КоАП действует в редакции ФЗ-420 от 30.11.2024: 18 частей вместо прежних семи. Центральная новация — оборотный штраф по ч. 15, который применяется при повторной крупной утечке. Для CEO компании с выручкой 500 млн ₽ этот сценарий означает фиксированный платёж от 20 млн ₽ без права на досрочную скидку. Ниже — механика расчёта, условия применения, законные инструменты снижения и то, что происходит, если ничего не предпринять.
Как работает оборотный штраф по ч. 15 ст. 13.11 КоАП?
Ч. 15 ст. 13.11 КоАП применяется, когда компания уже привлекалась по ч. 12, 13, 14, 16, 17 или 18 ст. 13.11 и допустила новую утечку. Это не просто «повторное нарушение» в общем смысле — закон требует предшествующего постановления о привлечении именно по перечисленным частям. Вступление первого постановления в силу запускает «оборотный» режим.
Для компании с выручкой 500 млн ₽ арифметика выглядит так: 1% = 5 млн ₽, 3% = 15 млн ₽. Оба значения ниже установленного минимума 20 млн ₽. Это означает, что минимальный порог срабатывает автоматически — вне зависимости от конкретного процента, который изберёт суд. Итог: при любом уровне нарушения штраф составит не менее 20 млн ₽.
Ст. 32.2 КоАП предусматривает общее правило об оплате половины штрафа при досрочной уплате. Применительно к ч. 15 ст. 13.11 это правило не даёт выгоды ниже установленного минимума: 50% от 20 млн = 10 млн ₽, что ниже 20 млн. Судебная практика 2025–2026 годов пока формируется, но буквальное толкование нормы исключает выход за нижнюю границу.
Что считается «повторной утечкой» и как это доказывается?
Повторность по ч. 15 ст. 13.11 КоАП — формальный юридический факт. Нужны два условия одновременно: вступившее в силу постановление по ч. 12–14, 16–18 ст. 13.11 и новый факт утечки в период, когда лицо считается подвергнутым административному наказанию (ст. 4.6 КоАП — один год с момента исполнения). Если первое постановление обжаловалось и ещё не вступило в силу — повторности нет.
На практике Роскомнадзор фиксирует утечку через информацию в открытых источниках, сообщения из НКЦКИ, жалобы субъектов или собственные мониторинговые инструменты. Момент «обнаружения» утечки самим оператором и момент «фиксации» регулятором — разные точки отсчёта для разных норм. Для 24-часового уведомления по ч. 3.1 ст. 21 ФЗ-152 отсчёт идёт от момента обнаружения оператором. Для квалификации повторности — от даты совершения нового нарушения.
Первая утечка уже была — что делать прямо сейчас?
Если по компании уже вынесено постановление по ч. 12–14 ст. 13.11 КоАП, у вас есть конечный период до истечения годичного срока по ст. 4.6 КоАП, когда любой новый инцидент автоматически квалифицируется как повторный. Именно сейчас имеет смысл провести аудит инфраструктуры, закрыть известные уязвимости и зафиксировать инвестиции в ИБ — это единственный законный инструмент снижения оборотного штрафа по ст. 4.1 КоАП.
Защитить от штрафа 13.11+7 (983) 510-38-76 · info@vitveteam.ru · Telegram
Какие инструменты снижают оборотный штраф по ч. 15 ст. 13.11?
Закон предусматривает два легальных пути снижения. Первый — общие смягчающие обстоятельства по ст. 4.2 КоАП: добровольное устранение нарушения, содействие расследованию, своевременное уведомление РКН об утечке за 24 и 72 часа. Суд учитывает эти факторы при определении конкретного процента в диапазоне 1–3%, но они не позволяют выйти ниже минимума 20 млн ₽.
Второй путь — специальная норма примечания к ст. 4.1 КоАП (введено ФЗ-420). Если оператор документально подтверждает инвестиции в информационную безопасность в размере не менее 0,1% совокупной выручки за три предшествующих года, штраф по оборотным составам (ч. 15, ч. 18 ст. 13.11) рассчитывается как 1/10 от минимального размера, но не менее 15 млн ₽ и не более 50 млн ₽. Для компании с выручкой 500 млн ₽ это означает потенциальный штраф 15 млн ₽ вместо 20 млн ₽.
Для активации льготы оператор должен представить документальные доказательства: договоры с подрядчиками по ИБ, акты выполненных работ, расходные накладные на СЗИ, лицензии ФСТЭК. Минимальная сумма инвестиций при выручке 500 млн ₽ — 1,5 млн ₽ за три года (0,1% × 500 млн × 3 года в упрощённом расчёте). На практике суды требуют документы именно за три предшествующих календарных года.
Если вы CEO и инцидент уже произошёл — у вас 24 часа на уведомление РКН (ч. 3.1 ст. 21 ФЗ-152). Промедление лишает смягчающих обстоятельств при расчёте штрафа по ч. 15.
Защитить от штрафа 13.11Три сценария для компании с выручкой 500 млн ₽
Сценарий А. Первая утечка без оборотного режима. Компания допустила утечку 15 000 субъектов — квалификация по ч. 13 ст. 13.11 (от 10 000 до 100 000 субъектов), штраф 5–10 млн ₽. Постановление вступает в силу. С этого момента начинается годичный период по ст. 4.6 КоАП. Стратегия: обжалование в интересах снижения к нижней границе (5 млн ₽), документирование инвестиций в ИБ, немедленный аудит инфраструктуры.
Сценарий Б. Повторная утечка в оборотном периоде — штраф до льготы. В течение года после первого постановления произошла вторая утечка 5 000 субъектов. Квалификация: ч. 12 ст. 13.11 (от 1 000 до 10 000 субъектов) + ч. 15 как повторная. Расчёт: 1% от 500 млн = 5 млн ₽, минимум 20 млн срабатывает. Итог без льготы: 20 млн ₽. Инвестиции в ИБ на момент нарушения не задокументированы — льгота по ст. 4.1 недоступна.
Сценарий В. Повторная утечка с активированной льготой по ст. 4.1 КоАП. Те же факты, но компания заблаговременно провела аудит ФСТЭК, заключила договор с SOC-провайдером и за три предшествующих года израсходовала на ИБ 2,1 млн ₽ (> 0,1% × 500 млн × 3 = 1,5 млн). Льгота применяется: штраф = 1/10 от минимума, но не менее 15 млн ₽. Итог: 15 млн ₽ вместо 20 млн ₽. Дополнительно: своевременное 24-часовое уведомление РКН снижает процент от выручки к нижней границе диапазона.
Что подготовить для защиты от оборотного штрафа
- Документы об инвестициях в ИБ за три предшествующих календарных года (договоры, акты, накладные) на сумму не менее 0,1% выручки за период.
- Актуальный приказ о назначении ответственного за обработку ПДн по ст. 22.1 ФЗ-152 и регламент реагирования на инциденты.
- Журнал уведомлений РКН об инцидентах с отметками о времени подачи (24 ч / 72 ч по Приказу РКН №187).
- Отчёт о проведённом аудите соответствия 152-ФЗ с датой не позднее 12 месяцев до инцидента — подтверждает добросовестность оператора.
- Переписка с РКН об устранении ранее выявленных нарушений — доказывает системную работу, а не разовые меры под давлением.
Кейсы: как суды рассматривают дела по новым нормам ст. 13.11
Кейс 1. В деле о крупной утечке, рассмотренном арбитражным судом Москвы в начале 2026 года (дело № А40-263126/2025), утечка затронула более 26 млн записей. Несмотря на масштаб, суд назначил минимальный штраф 150 000 ₽: нарушение произошло до 01.06.2025, поэтому применялась старая редакция ч. 1 ст. 13.11. Этот кейс наглядно показывает, что дата нарушения — ключевой параметр: после 30.05.2025 тот же масштаб квалифицировался бы по ч. 14 (10–15 млн ₽) или по ч. 15 при повторности.
Кейс 2. Арбитражный суд Санкт-Петербурга и Ленинградской области (дело № А56-4733/2026, март 2026) рассмотрел утечку около 70 000 субъектов в результате хакерской атаки. Квалификация — ч. 14 ст. 13.11 (более 100 000 субъектов по совокупности идентификаторов). Суд применил смягчающие обстоятельства: оперативное уведомление РКН в 24-часовой срок, сотрудничество со следствием, документированные меры по устранению. Штраф назначен ближе к нижней границе диапазона. Кейс демонстрирует: своевременное уведомление остаётся главным смягчающим фактором даже при крупном нарушении.
Какова подсудность дел после ФЗ-508 и кто выносит постановления?
С 28.12.2025 дела по ст. 13.11 КоАП снова рассматривают мировые судьи. ФЗ-508 от 28.12.2025 вернул прежний порядок: в период с 30.05.2025 по 27.12.2025 дела проходили через арбитражные суды, что создало разрыв в сложившейся практике. Теперь протоколы об административных правонарушениях составляет Роскомнадзор, а постановления о назначении наказания выносят мировые судьи по месту совершения нарушения или по месту нахождения юрлица.
Практическое значение для CEO: мировой судья — суд первой инстанции, апелляция — районный суд, кассация — суд субъекта. Арбитражная ветка (характерная для корпоративных споров) здесь не применяется. Это означает, что защитники по ст. 13.11 должны иметь опыт именно в административных производствах судов общей юрисдикции, а не только в арбитраже.
Услуги DATUM по теме
- Защита при штрафе в арбитраже — оспаривание протокола и постановления, применение ст. 4.1 и ст. 4.1.1 КоАП для снижения
- Аудит соответствия 152-ФЗ — документирование мер защиты и инвестиций в ИБ для снижения оборотного штрафа
- Сопровождение проверок РКН — подготовка к проверке, представление интересов, обжалование предписания
Частые вопросы
1. Какие штрафы по ст. 13.11 КоАП с 30.05.2025?
С 30.05.2025 действует редакция ст. 13.11 КоАП по ФЗ-420 от 30.11.2024 — 18 частей вместо семи. Основные диапазоны для юрлиц: ч. 12 (утечка 1 000–10 000 субъектов) — 3–5 млн ₽; ч. 13 (10 000–100 000) — 5–10 млн ₽; ч. 14 (более 100 000) — 10–15 млн ₽; ч. 15 (повторная утечка, оборотный) — 1–3% выручки, не менее 20 млн ₽, не более 500 млн ₽. Штрафы по ч. 1–7 за нарушения без утечки — от 30 000 до 700 000 ₽ в зависимости от состава.
2. Что такое оборотный штраф 1–3%?
Оборотный штраф по ч. 15 ст. 13.11 КоАП — это санкция, рассчитываемая как процент от совокупной выручки юрлица за предшествующий календарный год. Диапазон — от 1 до 3%. Суд определяет конкретный процент с учётом смягчающих и отягчающих обстоятельств. Нижний порог составляет 20 млн ₽, верхний — 500 млн ₽. Если расчётная сумма меньше 20 млн ₽ — применяется минимум. Механизм применяется только при повторном нарушении по ч. 12–14, 16–18 ст. 13.11.
3. Когда применяется минимум 20 млн ₽?
Минимум 20 млн ₽ применяется всегда при квалификации по ч. 15 ст. 13.11 КоАП, когда расчётная сумма (1–3% от выручки) оказывается ниже этого порога. Для компаний с выручкой до 667 млн ₽ (1% × выручка = менее 6,67 млн, 3% = менее 20 млн) минимум срабатывает автоматически. При активации льготы по ст. 4.1 КоАП (инвестиции в ИБ ≥ 0,1% выручки за 3 года) минимум снижается до 15 млн ₽.
4. Можно ли заменить штраф на предупреждение?
Замена штрафа на предупреждение по ст. 4.1.1 КоАП применима только к микропредприятиям и субъектам МСП при первичности нарушения и отсутствии причинённого вреда. По ч. 15 и ч. 18 ст. 13.11 КоАП (оборотные составы) замена на предупреждение прямо исключена законом. Таким образом, для компании с выручкой 500 млн ₽ при повторной утечке этот инструмент недоступен — актуальны только смягчающие обстоятельства и льгота по ст. 4.1 КоАП.
5. Какая подсудность дел после ФЗ-508?
С 28.12.2025 дела по ст. 13.11 КоАП рассматривают мировые судьи — ФЗ-508 от 28.12.2025 вернул прежний порядок. В промежутке с 30.05.2025 по 27.12.2025 дела проходили через арбитражные суды. Сейчас: протокол — Роскомнадзор, первая инстанция — мировой суд, апелляция — районный суд, кассация — суд субъекта РФ. Административное судопроизводство в судах общей юрисдикции, а не арбитражный процесс.
Итог
Для компании с выручкой 500 млн ₽ оборотный штраф по ч. 15 ст. 13.11 КоАП начинается с 20 млн ₽ при любом сценарии повторной утечки. Единственный законный инструмент снижения — документированные инвестиции в ИБ по примечанию к ст. 4.1 КоАП, которые опускают минимум до 15 млн ₽. Своевременное 24-часовое уведомление РКН снижает конкретный процент внутри диапазона, но не обнуляет штраф.
Практика DATUM по защите от штрафов по ст. 13.11 КоАП включает сопровождение производств с момента составления протокола, документирование смягчающих обстоятельств и подготовку доказательной базы по ст. 4.1 КоАП — включая аудит инвестиций в ИБ за три года.
14 февраля 2028 года