Облачный провайдер, обрабатывающий данные по поручению, допустил утечку данных клиентов банка или медицинской организации из значимого объекта КИИ. Кого, в каком порядке и в какие сроки нужно уведомить?

Режим персональных данных. Поручение обработчику должно содержать обязанность уведомлять оператора о случаях ч. 3.1 ст. 21 (ч. 3 ст. 6 152-ФЗ); перед субъектами за действия обработчика отвечает оператор, а обработчик отвечает перед оператором (ч. 5 ст. 6). Оператор уведомляет Роскомнадзор в течение 24 часов первично и в течение 72 часов о результатах внутреннего расследования, считая с момента выявления инцидента оператором, Роскомнадзором или иным заинтересованным лицом (ч. 3.1 ст. 21), в порядке приказа РКН от 14.11.2022 № 187. Отдельно оператор информирует ГосСОПКА о компьютерных инцидентах, повлёкших неправомерную передачу персональных данных (ч. 12 ст. 19), по приказу ФСБ от 13.02.2023 № 77: в течение 24 часов напрямую в НКЦКИ, если оператор подключён к его инфраструктуре, или через форму на сайте Роскомнадзора.

Режим КИИ. Субъект КИИ обязан незамедлительно информировать ФСБ (НКЦКИ), а в банковской сфере и Банк России (п. 1 ч. 2 ст. 9 187-ФЗ в ред. 58-ФЗ), и реагировать на инциденты в установленном порядке (п. 3 ч. 3 ст. 9). С 30.01.2026 действует приказ ФСБ от 25.12.2025 № 547, заменивший приказ № 282: об инциденте на значимом объекте сообщают в течение 3 часов с обнаружения, на ином объекте КИИ в течение 24 часов (п. 3), субъект финансового сектора направляет те же сведения в Банк России в те же сроки (п. 4), о результатах реагирования сообщают в течение 48 часов после завершения мер (п. 14). За утечку оператор отвечает по ч. 12–15 ст. 13.11 КоАП РФ в зависимости от числа субъектов и повторности, за неуведомление Роскомнадзора предусмотрена ч. 11 той же статьи; провайдер отвечает перед заказчиком по договору.

Последовательность (Т0 — обнаружение у заказчика): провайдер сообщает заказчику в срок по поручению; Т0 + 3 часа — НКЦКИ и для банка Банк России; Т0 + 24 часа — первичное уведомление Роскомнадзора и информирование ГосСОПКА об инциденте с персональными данными; Т0 + 72 часа — результаты расследования в Роскомнадзор; после завершения мер + 48 часов — результаты реагирования в НКЦКИ. Инженерные рекомендации: прописать в поручении срок оповещения не более 1 часа, круглосуточный канал связи и обязанность сохранить журналы и образы; заранее подготовить шаблоны трёх уведомлений; использовать единое время обнаружения для всех журналов; заранее выяснить, подключена ли организация к технической инфраструктуре НКЦКИ.