Уведомление Роскомнадзора о результатах расследования инцидента в течение 72 часов
Второе, закрывающее уведомление в Роскомнадзор: чем закончилось внутреннее расследование утечки. Срок — семьдесят два часа, и считается он от момента выявления инцидента, а не от подачи первого уведомления.
Зачем нужен документ
Первое уведомление сообщает, что случилось. Второе отвечает на вопросы, на которые через сутки ответа не было: из-за чего это произошло, кого затронуло, какой вред нанесён и что сделано, чтобы не повторилось. Формально это уведомление о результатах внутреннего расследования, фактически — короткий отчёт о разборе инцидента.
Норма устроена так, что второе уведомление обязательно даже тогда, когда добавить почти нечего. Обязанность не привязана к масштабу утечки и не отменяется тем, что причина оказалась банальной. Подать первое и не подать второе — значит нарушить ту же часть 3.1 статьи 21 второй раз, с тем же составом по КоАП.
Практический смысл документа шире формального. Это первый текст, по которому регулятор судит, есть ли в организации управление инцидентами вообще. Отчёт, в котором названы причина, затронутые данные, число субъектов и конкретные технические меры, читается иначе, чем отписка «причины устанавливаются, доступ закрыт». Тон дальнейшего разговора задаётся здесь.
Чем грозит отсутствие
Состав тот же, что и у первого уведомления, — ч. 11 ст. 13.11 КоАП охватывает невыполнение и несвоевременное выполнение обязанности уведомить регулятор при установлении факта неправомерной передачи данных. Отдельной, более мягкой санкции для второй ступени нет.
Как ещё называют этот документ
Что должно быть в документе
Норма называет предмет второго уведомления обобщённо — результаты внутреннего расследования и сведения о лицах, чьи действия стали причиной инцидента. На практике этого мало: содержательный отчёт закрывает пять вопросов.
Требования законодательства
Как связан с другими документами
Второе уведомление — единственный документ пары, который нельзя написать «из головы»: он собирается из внутренних материалов разбора.
Когда обновлять документ
Как и в первой ступени, обновляется заготовка и процедура вокруг неё: шаблон отчёта, внутренние сроки расследования, состав группы разбора.
Что спросит проверяющий
По второй ступени проверяют не столько текст уведомления, сколько наличие настоящего разбора за ним.
Разбор эксперта
Первое, что мы проговариваем с клиентами: семьдесят два часа — это не «трое суток на расследование после уведомления». Оба срока идут от одного и того же момента, значит после подачи первичного уведомления остаётся примерно двое суток, а если утечку обнаружили не вы, а внешний источник, — ещё меньше. Организации, которые считают срок от первого уведомления, опаздывают на сутки и получают ту же ч. 11 ст. 13.11, что и при полном молчании.
Второе — про содержание. Это отчёт, который читают внимательно, потому что организация в нём сама описывает свои процессы. Есть большая разница между «выявлена некорректная настройка прав доступа к хранилищу резервных копий, права пересмотрены, введён ежеквартальный контроль» и «доступ закрыт, ведётся работа». Первое читается как управляемая ситуация, второе — как приглашение проверить всё остальное.
Третье — то, о чём почти не думают заранее. Расследование за двое суток возможно только если есть с чем работать: логи хранятся, доступы разграничены, известно, кто и когда выгружал данные. Организации, у которых журналирование не настроено, физически не могут установить причину в срок — и это выясняется именно на второй ступени. Поэтому подготовка к этому уведомлению делается не в момент инцидента, а тогда, когда настраивается сбор событий безопасности.
Поставьте внутренний срок расследования жёстче внешнего — например, сорок восемь часов с обнаружения, чтобы остался запас на согласование и подачу. Заранее определите, кто формулирует причину и подписывает отчёт: в отличие от первого уведомления, здесь нужен человек, способный принять формулировку о причинах на себя. И проверьте, что логи нужных систем действительно хранятся дольше нескольких дней — без них уложиться в срок не выйдет.
Частые вопросы
От момента выявления инцидента — того же, от которого идут первые 24 часа. Это значит, что после подачи первичного уведомления на расследование остаётся около двух суток, а не трёх. Ошибка в этой арифметике — самая частая причина просрочки.
Да. Обязанность не зависит ни от масштаба утечки, ни от того, насколько банальной оказалась причина. Подать первое и не подать второе — то же нарушение ч. 3.1 ст. 21 152-ФЗ со штрафом по ч. 11 ст. 13.11 КоАП.
Уведомлять в срок тем, что установлено, и прямо указывать, какие вопросы остались открытыми и когда ожидается их закрытие. Молчание до полной ясности квалифицируется как несвоевременное выполнение обязанности.
Сведения о лицах, чьи действия стали причиной инцидента, указываются, если такие лица установлены. Если причина техническая или установить виновных не удалось, это формулируется как результат расследования — придумывать виновного не требуется.
Да, второе уведомление для этого и предназначено: уточнённый масштаб и установленная причина заменяют предварительные оценки. Расхождения нормальны, но их стоит объяснить самостоятельно, а не оставлять регулятору.
Роскомнадзор вправе сам запросить результаты расследования, и такой запрос фиксирует неисполнение обязанности. Санкция — по ч. 11 ст. 13.11 КоАП: для организаций от 1 до 3 млн ₽, для должностных лиц от 400 до 800 тыс ₽.
Руководитель либо лицо, уполномоченное на взаимодействие с регулятором по этому инциденту — то же, чьи данные указаны в первом уведомлении. Полномочия подтверждаются приказом или доверенностью.