❗️Комитет ГД одобрил законопроект о введении административной ответственности за нарушение правил эксплуатации объектов КИИ

Кроме того, комитетом также был одобрен законопроект об освобождении от уголовной ответственности за преступления в этой сфере, если совершивший их активно способствовал расследованию, сообщает ТАСС.

Законопроект о штрафах предполагает наказывать за нарушения правил эксплуатации КИИ штрафами, если эти деяния не содержат признаков преступления. Предлагаемые размер штрафов:

— для граждан от 5 до 10 тыс. рублей,
— для должностных лиц от 10 до 50 тыс. рублей,
— для юрлиц от 100 до 500 тыс. рублей.

В данный момент за подобные нарушения законом предусмотрена только уголовная ответственность. Законопроект также предполагает зафиксировать, за какие именно правонарушения она наступает. На текущий момент это происходит при любом неправомерном доступе к охраняемой информации в критической информационной инфраструктуре, а также за нарушение правил эксплуатации, обработки или хранения информации, если они нанесли вред КИИ. Поправки уточняют, что уголовная ответственность может наступить, если неправомерный доступ к охраняемой информации или нарушение правил эксплуатации средств хранения повлекли уничтожение, блокирование, модификацию или копирование информации в КИИ.

Наконец, согласно поправкам, правонарушитель может быть освобожден от уголовной ответственности, если он активно способствовал раскрытию преступления, в том числе принял меры по сохранению следов неправомерного воздействия на КИИ.

Эта инициатива, бесспорно, крайне позитивная. Очевидно, что даже при неукоснительном выполнении всех требований к безопасности, вероятность инцидента на объекте КИИ не равна нулю. Но предлагаемые изменения позволят исключить ситуации, при которых попасть под уголовную ответственность могут ответственные за ИБ, добросовестно выполняющие свою работу. Если инициатива все-таки будет принята (мы в этом почти не сомневаемся), то, как мы считаем, выиграют все: субъекты КИИ смогут привлечь более компетентных специалистов, которые ранее могли опасаться брать на себя ответственность за безопасность, а правоохранительные органы получат мотивированных экспертов, содействующих расследованию киберинцидентов.

Если развивать эту мысль, то окончательным устранением проблемы могли бы быть определенные условия, при которых CISO или иной ответственный за ИБ в принципе освобождается от любых санкций, включая штрафы, если все предписания и требования к безопасности были выполнены. Реализовать это будет куда сложнее — понадобится привлекать третью, независимую сторону, которая могла бы установить, действительно ли все было реализовано. Но, тем не менее, определенно есть, о чем еще подумать.

@finance_ciso