Закон об оборотных штрафах точно не является тайной на сегодняшний день - проект поправок кодекса административных правонарушений, которые увеличивают ответственность, направлен нами в Правительство. Насколько я осведомлён, подготовлен проект положительного отзыва на нашу инициативу. По сути наших предложений, напоминаю, что действующее административное законодательство устанавливает максимальную ответственность за такое деяние на уровне до 100.000 руб., без относительной повторности. Безусловно, такие смехотворные штрафы не способствуют активизации бизнеса и других организаций с точки зрения обеспечения своей информационной безопасности, не говоря о том, что сегодня сам механизм проведения проверок крайне затруднён, напомню, что нам пришлось потратить длительное время для того, чтобы правительство сняло мораторий на проверку по утечкам персональным данным, и то снятие это произошло не в полном составе. Поэтому позиция всех заинтересованных ведомств в том, что необходимо установить действительно серьёзную ответственность, которая по нашему предложению будет изменяться в зависимости от содеянного ущерба.
Для юридических лиц:
За утечку от 1 тыс. до 10 тыс. записей субъектов ПД — штраф 3- 5 млн рублей
За утечку от 10 тыс. до 100 тыс. ПД — штраф от 5 до 10 млн рублей
За утечку более 100 тыс. ПД — штраф от 10 до 15 млн рублей
В случае повторных нарушений оборотные штрафы в зависимости от масштаба, от 0, 1% совокупной выручки за предыдущий год, но не менее 15 млн и не более 500 млн. Уверены, что без введения серьезных санкций порядка не наведем.

Х Ответил Хинштейн А.Е. Депутат Госдумы РФ, 21.09.2023

Управленческие, финансово-экономические, производственные, технологические процессы, нарушение или прекращение функционирования, которых может повлечь потенциально наступление негативных последствий, определенных Перечнем показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации, утвержденных постановлением Правительства Российской Федерации от 8 февраля 2018 г. № 127.
Например, если у вас добыча полезных ископаемых, то в процессе нарушения добычи могут возникнуть последствия в виде угрозы жизни, здоровью или экологической катастрофы, тогда этот процесс будет критическим. Если потенциально нарушение этого процесса может привести к реализации негативного события, которое определено критериями, то это процесс является критическим.

Л Ответил Лютиков В.С. заместитель директора ФСТЭК России, 17.02.2022

То, над чем мы сейчас будем работать – это методики или рекомендации по оценке показателей критериев значимости. Это основной и очень непростой вопрос, поэтому мы работаем в этом направлении. Что касается вопроса по поводу банка данных и методик по созданию моделей угроз – он очень популярен. Я еще раз подчеркну, что мы разработали проект новой методики, и разместили его у себя на сайте. Во время пандемии, мы собрали и учли все предложения и замечания по проекту. Проект обновленного документа сейчас готов. Мы его обсудим с экспертами, а потом примем решение: если там существенные замечания, я посмотрю еще раз сам, либо мы размесим как проект для применения, либо мы его представим на утверждение. Речи об изменении каких-то концепций, подходов, решений об изменении концепций по моделированию угроз нет. То есть мы придерживаемся той концепции, которую выложили в проекте документа. Да, с определенными корректировками и добавлениями.
И второй системный вопрос, которым я заканчиваю, над которым мы работаем – это по банку данных угроз. Это должны быть две совмещенные вещи, взаимосвязанные друг с другом. Эту работу мы тоже начали. То есть в части корректировки подсистемы по угрозам безопасности банка данных – этот процесс более длительный, чем методика, но мы тоже к нему подойдем, и мы решаем эту задачу.

Л Ответил Лютиков В.С. заместитель директора ФСТЭК России, 24.09.2020

МЕТОДИЧЕСКИЙ ДОКУМЕНТ МЕТОДИКА ОЦЕНКИ УГРОЗ БЕЗОПАСНОСТИ ИНФОРМАЦИИ. Утвержден ФСТЭК России 5 февраля 2021 г. Опубликован 05.02.2021 г.

Ответил Экспертная группа BISA 24.09.2020