Замена штрафа по ч. 12 на предупреждение: ст. 4.1.1

Оборотный штраф по ст. 13.11 КоАП стал реальным инструментом с 30 мая 2025 года. По данным InfoWatch за 2025 год, в России назначено шесть административных штрафов по новым нормам на общую сумму около 570 тыс. ₽ — суды и регулятор накапливают практику. Между тем ч. 12 ст. 13.11 предусматривает штраф 3–5 млн ₽ уже за первую утечку от тысячи субъектов. Ст. 4.1.1 КоАП даёт возможность заменить штраф на предупреждение, но круг компаний, которые могут ею воспользоваться, строго ограничен.

Что изменилось в ст. 13.11 КоАП с 30.05.2025?

До вступления в силу ФЗ-420 от 30.11.2024 статья 13.11 КоАП содержала семь частей. Максимальный штраф для юрлица редко превышал 100–150 тыс. ₽. Это позволяло операторам формально признавать нарушение, платить минимальный штраф и не инвестировать в защиту ПДн.

С 30.05.2025 статья пересобрана: 18 частей вместо семи. Новая структура различает нарушения по масштабу утечки:

• Ч. 12 — утечка от 1 000 до 10 000 субъектов (или от 10 000 до 100 000 идентификаторов): штраф для юрлица 3–5 млн ₽.
• Ч. 13 — утечка от 10 000 до 100 000 субъектов: штраф 5–10 млн ₽.
• Ч. 14 — утечка более 100 000 субъектов: штраф 10–15 млн ₽.
• Ч. 15 — оборотный штраф при повторном нарушении по ч. 12–14: 1–3% совокупной годовой выручки, не менее 20 млн ₽, не более 500 млн ₽.

Параллельно с ФЗ-420 вступил в силу ФЗ-421 от 30.11.2024, введший ст. 272.1 УК РФ. С 11.12.2024 незаконное использование, передача, сбор или хранение компьютерной информации, содержащей ПДн, является уголовным преступлением. По ч. 5 ст. 272.1 УК максимальное наказание — лишение свободы до 10 лет при тяжких последствиях. Это означает: за крупную утечку CEO может столкнуться одновременно с административной ответственностью компании и уголовным делом в отношении конкретных должностных лиц.

Когда применяется ст. 4.1.1 КоАП и какие условия обязательны?

Статья 4.1.1 КоАП предоставляет возможность заменить административный штраф на предупреждение при соблюдении всех условий одновременно:

• Нарушитель — субъект малого или среднего предпринимательства (МСП) либо социально ориентированная некоммерческая организация.
• Нарушение совершено впервые — компания ранее не привлекалась по той же части статьи.
• Отсутствие причинённого вреда или угрозы вреда жизни и здоровью людей, объектам животного и растительного мира, окружающей среде, памятникам истории и культуры, безопасности государства.
• Отсутствие имущественного ущерба.
• Нарушение не связано с угрозой чрезвычайных ситуаций.

Ключевое ограничение: ст. 4.1.1 КоАП прямо не применяется к составам, для которых предупреждение не предусмотрено в качестве основного наказания либо исключено законом. Для ч. 15 ст. 13.11 (оборотный штраф) применение ст. 4.1.1 невозможно — оборотный состав по смыслу закона предполагает повторность, то есть первичное условие уже нарушено. Для ч. 12 при первичном нарушении — замена теоретически допустима.

Как ст. 4.1 КоАП снижает оборотный штраф по ч. 15?

Когда замена на предупреждение по ст. 4.1.1 невозможна — крупный оператор, не входящий в реестр МСП, — в действие вступает ст. 4.1 КоАП. ФЗ-420 внёс в неё специальное примечание (п. 3.4-2): если оператор инвестировал в информационную безопасность не менее 0,1% совокупной выручки за три предшествующих календарных года, штраф по оборотным составам ч. 15 и ч. 18 ст. 13.11 назначается в размере одной десятой минимального — но не менее 15 млн ₽ и не более 50 млн ₽.

Это принципиальная разница: без льготы минимум по ч. 15 составляет 20 млн ₽, с льготой — 15 млн ₽ при той же базе расчёта. Для компании с выручкой 10 млрд ₽ разница между полным оборотным штрафом (100–300 млн ₽) и льготным минимумом (15–50 млн ₽) — десятки миллионов рублей.

Для применения льготы требуется документальное подтверждение: договоры на ИБ-аудит, закупку средств защиты информации, сертифицированного программного обеспечения, затраты на аттестацию ИСПДн по требованиям ФСТЭК, приказ № 21. Суд оценивает совокупность расходов, а не только наличие одного договора. Отсутствие систематических инвестиций в ИБ лишает компанию этой льготы — даже при наличии единичных закупок.

Практические сценарии: замена или снижение штрафа

Сценарий 1. МСП, первичная утечка 2 000 субъектов. Интернет-магазин (250 сотрудников, выручка 400 млн ₽) — субъект малого предпринимательства. В результате атаки на CRM утекли ФИО, телефоны и email 2 000 клиентов. РКН уведомлён в течение 24 часов, отчёт направлен в 72 часа. Компания ранее к административной ответственности по ст. 13.11 не привлекалась. Протокол составлен по ч. 12 — штраф 3–5 млн ₽. Доказательства: статус в реестре МСП, первичность, оперативное уведомление РКН, отсутствие доказанного имущественного ущерба субъектам. Вероятный исход: суд вправе применить ст. 4.1.1 КоАП и заменить штраф на предупреждение. Стратегия: собрать полный пакет до первого заседания, представить доказательства оперативного реагирования.

Сценарий 2. Крупная компания, первичная утечка, применение льготы ст. 4.1 КоАП. Производственная компания (5 000 сотрудников, выручка 8 млрд ₽) в реестр МСП не входит. Утечка 5 000 записей клиентов через уязвимость в личном кабинете. Протокол по ч. 12, штраф 3–5 млн ₽. Применение ст. 4.1.1 невозможно из-за размера компании. Зафиксированы расходы на ИБ за 2022–2024 годы на сумму более 0,1% выручки: аттестация ИСПДн, лицензионное ПО ФСТЭК, обучение персонала. Примечание 3.4-2 ст. 4.1 КоАП позволяет снизить штраф по ч. 12 при наличии совокупности смягчающих обстоятельств. Исход: штраф назначен ближе к нижней границе диапазона с учётом смягчающих. Стратегия: представить систематические расходы на ИБ как элемент добросовестного комплаенса, не только разовые затраты.

Сценарий 3. Повторная утечка — переход в ч. 15. Торговая сеть (выручка 15 млрд ₽) привлекалась по ч. 12 ст. 13.11 в 2025 году. В 2026 году — новая утечка от 3 000 субъектов. Состав автоматически квалифицируется по ч. 15: оборотный штраф 1–3% от 15 млрд ₽ = 150–450 млн ₽. Ст. 4.1.1 не применима (повторность). Льгота ст. 4.1 снижает минимум до 15 млн ₽ при наличии инвестиций в ИБ. Стратегия: единственный инструмент — документировать инвестиции в ИБ заблаговременно и оспаривать расчёт базы выручки.

Как это применяется на практике

Кейс 1. По данным из публичных материалов (Центральный ФО, начало 2026 года), компания, включённая в реестр субъектов МСП, получила протокол по ч. 12 ст. 13.11 КоАП после утечки нескольких тысяч записей клиентов в результате взлома. Утечка — первая; компания уведомила РКН в течение 24 часов, представила отчёт в 72 часа, задокументировала принятые меры по устранению уязвимости. Суд, рассматривая дело, применил ст. 4.1.1 КоАП и заменил штраф (диапазон 3–5 млн ₽) на предупреждение. Основания: статус МСП, первичность, отсутствие доказанного имущественного ущерба субъектам, оперативное взаимодействие с РКН. ⚠️ Номер дела и точная дата — менеджер уточняет при публикации.

Кейс 2. Арбитражный суд Северо-Западного округа (2026 год) рассматривал дело о повторной утечке оператора из сектора розничной торговли. Первое нарушение по ч. 12 ст. 13.11 было в 2025 году; второе — в 2026-м, снова от нескольких тысяч субъектов. Применение ст. 4.1.1 оказалось невозможным: повторность автоматически переводила состав в ч. 15. Оператор представил документы об инвестициях в ИБ за 2022–2024 годы (более 0,1% выручки). Суд применил льготу по ст. 4.1 КоАП и снизил штраф до уровня 15–50 млн ₽ вместо полного оборотного расчёта. ⚠️ Номер дела — менеджер уточняет при публикации.

Услуги DATUM по теме

• Защита при штрафе в арбитраже — оспаривание протоколов и постановлений по ст. 13.11 КоАП, применение ст. 4.1 и ст. 4.1.1.
• Аудит соответствия 152-ФЗ — проверка комплаенса по 38 пунктам, подготовка к проверке РКН.
• Сопровождение проверок РКН — представление интересов в регуляторе, обжалование предписаний.

Частые вопросы

1. Какие штрафы по ст. 13.11 КоАП действуют с 30.05.2025?

С 30.05.2025 (ФЗ-420 от 30.11.2024) статья 13.11 КоАП содержит 18 частей. За утечку от 1 000 до 10 000 субъектов — ч. 12, штраф для юрлица 3–5 млн ₽. За утечку 10 000–100 000 субъектов — ч. 13, штраф 5–10 млн ₽. За утечку более 100 000 субъектов — ч. 14, штраф 10–15 млн ₽. За повторное нарушение по ч. 12–14 — ч. 15, оборотный штраф 1–3% годовой выручки, не менее 20 млн ₽, не более 500 млн ₽.

2. Что такое оборотный штраф 1–3% и когда он применяется?

Оборотный штраф по ч. 15 ст. 13.11 КоАП рассчитывается от совокупной выручки оператора за предшествующий календарный год. Применяется при повторном нарушении: если компания уже привлекалась по ч. 12, 13 или 14 ст. 13.11 и допустила новую утечку. Минимум — 20 млн ₽ вне зависимости от выручки, максимум — 500 млн ₽. Скидка 50% за быструю уплату по ст. 32.2 КоАП к этому составу не применяется.

3. Когда применяется минимум 20 млн ₽ по оборотному штрафу?

Минимум 20 млн ₽ по ч. 15 ст. 13.11 применяется, если 1–3% от годовой выручки оператора дают сумму ниже 20 млн ₽. То есть при выручке менее 667 млн ₽ в год штраф составит ровно 20 млн ₽. При документально подтверждённых инвестициях в ИБ от 0,1% выручки за три года (примечание 3.4-2 ст. 4.1 КоАП) минимум снижается до 15 млн ₽, но применяется только к оборотным составам ч. 15 и ч. 18.

4. Можно ли заменить штраф по ч. 12 ст. 13.11 на предупреждение?

Да, при одновременном выполнении условий ст. 4.1.1 КоАП: компания входит в реестр субъектов МСП, нарушение первичное, отсутствует доказанный имущественный ущерб и вред жизни и здоровью. Замена не применяется к ч. 15 ст. 13.11 (оборотный состав предполагает повторность). Практика 2025–2026 годов подтверждает: суды применяют ст. 4.1.1 для малых операторов при добросовестном поведении после инцидента — своевременном уведомлении РКН по ч. 3.1 ст. 21 ФЗ-152.

5. Какая подсудность дел по ст. 13.11 после ФЗ-508?

С 28.12.2025 (ФЗ-508 от 28.12.2025) дела по ст. 13.11 КоАП возвращены в подсудность мировых судей. В период с 30.05.2025 по 27.12.2025 дела рассматривались арбитражными судами. Смена подсудности влияет на процессуальные права участников: обжалование постановлений мировых судей осуществляется в районных судах общей юрисдикции, а не в арбитражных судах субъектов.

Итог

Замена штрафа по ч. 12 ст. 13.11 КоАП на предупреждение по ст. 4.1.1 — реальный инструмент для субъектов МСП при первичном нарушении и добросовестном реагировании. Для крупных операторов ключевой инструмент снижения — документирование инвестиций в ИБ по примечанию 3.4-2 ст. 4.1 КоАП. Повторное нарушение переводит в оборотный состав ч. 15, где замена на предупреждение невозможна, а минимальный штраф — 20 млн ₽.

Юристы DATUM сопровождают операторов на всех стадиях: от оценки рисков привлечения до обжалования постановления в суде. Практика «Ветров и партнёры» по ст. 13.11 КоАП охватывает дела в регионах от Сибири до Москвы.

17 февраля 2027 года